GitHubは10月20日（現地時間）、パッケージのメタデータリクエストやダウンロードに悪意ある活動の兆候がないかを検査する「package firewall」を、パブリックプレビューとして提供開始した。GitHub Enterprise Cloud（データレジデンシー対応版を含む）の全顧客が利用できる。
パッケージのコードを実行することなく、インストール時にCI/CDホストや開発者端末の認証情報を窃取するマルウェア攻撃が増えていることに対応する。package firewallはActionsランナーやコーディングエージェントなどのエンドポイントと、上流のパッケージリポジトリの間に位置する。
管理者はエンタープライズ単位でポリシーを設定する。現時点では、クールダウン期間の設定、GitHub Advisory Databaseによるマルウェアや脆弱性アラートの確認、アテステーションのダウングレードなどのサプライチェーンチェックが利用できる。エンドポイントは、上流のレジストリではなくファイアウォールを経由するよう設定して利用する。誤ってブロックされた場合は、ほかのGitHub Advanced Security機能と同様のワークフローで例外を申請できる。
プレビュー期間中は無料で、一般提供開始後はActionsと同様の従量課金となる。現時点で対応するのはnpmパッケージのみ。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
