为什么现有漏洞扫描工具失效Packj带来的革命性供应链安全检测方案【免费下载链接】packjPackj stops :zap: Solarwinds-, ESLint-, and PyTorch-like attacks by flagging malicious/vulnerable open-source dependencies (weak links) in your software supply-chain项目地址: https://gitcode.com/gh_mirrors/pa/packj在当今数字化时代软件供应链安全面临着前所未有的挑战。Solarwinds、ESLint和PyTorch等重大安全事件频繁发生让人们不得不重新审视现有的漏洞扫描工具。Packj作为一款革命性的供应链安全检测方案正以其独特的技术优势为解决这一难题带来新的希望。现有漏洞扫描工具的局限性传统的漏洞扫描工具存在着致命的缺陷它们假设第三方开源代码是良性的因此只关注因意外编程错误导致的漏洞如Log4J等CVE漏洞。这种局限性使得它们无法应对Solarwinds式的现代软件供应链攻击这些攻击往往是由恶意行为者通过供应链渠道中的新漏洞传播的恶意代码引起的包括依赖混淆、打字错误 squatting、抗议软件破坏、账户劫持和社会工程学等手段。最近2022年12月的一个例子是PyTorch包因依赖混淆漏洞而被入侵但却没有分配CVE编号这充分暴露了现有工具的不足。Packj的革命性检测方案多维度综合检测技术Packj采用了静态代码分析、动态跟踪和元数据分析相结合的综合检测技术能够全面识别恶意软件。静态分析将包解析为语法代码组件如函数、语句分析敏感语言API的使用情况例如JavaScript https.get后跟eval这通常用于下载和执行恶意代码。然而由于静态分析是在不执行代码的情况下进行的Packj还执行动态分析以捕获包及其所有依赖项的运行时行为。最后进行元数据分析以检查几个风险属性例如过期的作者电子邮件暗示缺乏双因素认证、缺乏公共源代码库或缺少已发布版本等。深度代码分析能力Packj目前使用静态分析来分析整个包代码程序行为并推导所需的权限例如包是否访问文件或需要网络访问与服务器通信。因此如果恶意软件直接使用open()或connect()调用Packj可以检测到。而且Packj还能指出通常用于混淆恶意代码的base64解码调用。幸运的是恶意软件为了实现其功能必须使用这些APIopen、connect、decode、eval等这是无法避免的。动态行为监控考虑到复杂的恶意软件可以更好地隐藏自己以逃避静态分析Packj还通过在strace下安装包并监控其运行时行为来执行动态分析。收集的跟踪将被分析以查找敏感系统调用例如读取文件、生成进程、网络连接等。同样恶意软件必须使用这些系统调用来访问系统资源如文件/网络堆栈。Packj的实际应用价值Packj不仅可以审计CVE漏洞还能检测出各种风险行为和属性如生成shell、使用SSH密钥、GitHub代码与打包代码不匹配来源、缺乏双因素认证等。这些不安全的属性不符合CVE的标准这也是现有工具无法标记它们的原因。Packj可以标记恶意的、打字错误的、废弃的、易受攻击的和其他不安全的依赖项薄弱环节在软件供应链中。例如Packj将KrisQianv0.0.7标记为可疑原因是缺乏源代码库以及在包安装期间在setup.py中使用敏感API网络、代码生成。经过深入研究发现该包是恶意的。如何开始使用Packj要开始使用Packj来保护您的软件供应链安全您可以按照以下步骤进行克隆仓库git clone https://gitcode.com/gh_mirrors/pa/packj参考项目中的相关文档和代码如packj/audit/main.py等了解Packj的具体实现和使用方法。Packj作为一款从博士研究项目起步目前正在各种政府资助下开发的工具为软件供应链安全带来了新的思路和方法。它的出现填补了现有漏洞扫描工具在检测恶意代码方面的空白为保障软件供应链的安全提供了有力的支持。【免费下载链接】packjPackj stops :zap: Solarwinds-, ESLint-, and PyTorch-like attacks by flagging malicious/vulnerable open-source dependencies (weak links) in your software supply-chain项目地址: https://gitcode.com/gh_mirrors/pa/packj创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考