npm 의존성 악성코드 탐지 알림
Dependabot이 npm 의존성의 알려진 악성 버전을 탐지해 별도 알림으로 보여줍니다.
교안에 영향
이제 Dependabot alerts 안내에서 악성코드 알림과 취약점 알림이 분리되어 예전 설명처럼 한 범주로만 안내하면 맞지 않습니다.
요약
- Dependabot alerts에 Malware alerts가 추가되어 npm 의존성의 악성 버전을 감지합니다. - Malware alerts는 CVE 기반 취약점 알림과 분리된 하위 범주로 표시됩니다. - 저장소, 조직, 엔터프라이즈 보안 설정에서 새 토글로 malware alerting을 켤 수 있고 보안 구성으로 강제할 수도 있습니다. - Dependabot rule로 malware type, Ecosystem, package scope 또는 name pattern을 세밀하게 조정할 수 있으며, 활성화 시 기존 매칭 항목도 backfill 됩니다.
바뀐 것
새 기능
- Dependabot alerts에 npm 패키지의 알려진 악성 버전을 탐지하는 Malware alerts가 추가되었습니다.
- 저장소, 조직, 엔터프라이즈 보안 설정의 새 토글로 malware alerting을 켤 수 있고 보안 구성으로 강제할 수 있습니다.
- Dependabot rule로 malware type, Ecosystem, package scope 또는 name pattern을 기준으로 알림을 세밀하게 조정할 수 있습니다.
- malware alerting을 켜면 기존 의존성과 일치하는 악성코드 경보를 backfill하여 즉시 확인할 수 있습니다.
개선
- Malware alerts를 CVE 기반 취약점 알림과 분리해 별도 하위 범주로 표시합니다.
기타
- 현재는 npm ecosystem만 지원하며, GitHub Advisory Database의 malware advisories를 사용합니다.