GitHub hat ein neues Sicherheitswerkzeug namens Package Firewall vorgestellt, das Entwickler und Unternehmen vor bösartigen Software-Paketen schützen soll. Die Funktion ist nun als öffentliche Vorschau für Enterprise-Cloud-Kunden verfügbar und analysiert automatisch alle Paketabfragen und Downloads.
Das Problem, das die Package Firewall adressiert, ist weit verbreitet: Im npm-Ökosystem (Node Package Manager) werden regelmässig Tausende von Paketen veröffentlicht. Eine wachsende Bedrohung stellen bösartige Pakete dar, die Schadcode enthalten, Abhängigkeiten des Entwicklungsprozesses missbrauchen oder Daten stehlen. Diese werden oft mit normalen, häufig verwendeten Paketnamen getarnt oder bauen auf populäre Pakete auf.
Die Package Firewall arbeitet kontinuierlich im Hintergrund und überprüft Paketquellen sowie deren Inhalte. Sie vergleicht Anfragen gegen eine Datenbank bekannter Bedrohungen und kann verdächtige oder bekannt schädliche Pakete automatisch blockieren. Dies geschieht, bevor der Code tatsächlich in die Entwicklungsumgebung oder die Produktion gelangt.
Für KMU-Entwicklungsteams hat dies unmittelbare Bedeutung. Supply-Chain-Attacken über versteckte Schadcode in Abhängigkeiten sind eine realistische Bedrohung, auch für kleinere Unternehmen. Eine automatisierte Kontrolle reduziert das manuelle Prüfungsaufwand erheblich und schafft eine zusätzliche Sicherheitsebene. Entwickler können sich mehr auf ihre eigentliche Aufgabe konzentrieren, während die Infrastruktur die Gatekeeper-Funktion übernimmt.
Die Verfügbarkeit für Enterprise-Cloud-Kunden bedeutet, dass Unternehmen, die GitHub Enterprise Cloud nutzen, diese Funktion aktivieren können. Der Rollout auf weitere Kunden-Kategorien wird erwartet. Für kleinere Teams könnte GitHub auch kostenlose oder günstigere Varianten anbieten. Unternehmen sollten die Package Firewall in ihre Sicherheitsstrategie einplanen und prüfen, ob und wie sie ihre bestehenden Entwicklungsprozesse optimiert.