Als je via deze link een abonnement afsluit, ontvangen wij een commissie van Nord Security — zonder extra kosten voor jou. Dit heeft geen invloed op onze redactionele beoordeling.
GitHub heeft een nieuwe firewall voor npm-packages gelanceerd, die moet voorkomen dat kwaadaardige code al tijdens de installatie op systemen terechtkomt. De functie is beschikbaar als preview voor klanten van GitHub Enterprise Cloud, inclusief de dataresidente variant.
De firewall werkt als een soort poortwachter tussen ontwikkelomgevingen en de publieke npm-registry. Verzoeken van endpoints zoals CI/CD-servers en coding agents lopen voortaan via de firewall in plaats van rechtstreeks naar npm. Die inspecteert zowel metadata-verzoeken als de daadwerkelijke package-downloads op tekenen van kwaadaardige activiteit. Downloads die niet aan het ingestelde beleid voldoen, worden geblokkeerd voordat ze op een systeem landen.
Beheerders kunnen zelf instellen hoe streng dat beleid is. Pakketten met een actieve malware-melding in de GitHub Advisory Database worden standaard altijd geblokkeerd. Daarnaast is er een drempel voor kwetsbaarheidsniveau, standaard alleen kritieke kwetsbaarheden met opties voor hoog, gemiddeld of elke severity, een check op ontbrekende SLSA-attestaties bij nieuwere versies, een blokkade voor packages die plotseling een pre- of postinstall-script toevoegen, en een cooldown-periode die nieuwe versies tijdelijk weert. Die laatste is instelbaar van één tot 365 dagen, met één dag als standaard.
Wordt een package onterecht geblokkeerd, dan kunnen ontwikkelaars een uitzondering aanvragen die een beheerder of security manager moet goedkeuren.
GitHub noemt vooral het risico van geautomatiseerde installaties als aanleiding. AI-agents en CI/CD-runners halen dependencies op zonder dat daar telkens expliciete toestemming aan te pas komt, wat kwaadaardige packages een makkelijke weg naar binnen geeft. De aanpak sluit aan bij een bredere trend: ook npm, Python, Visual Studio Code, Ruby, Bun, pnpm en Yarn hanteren inmiddels cooldown-periodes, en Rust voegt die optie op 12 november toe aan Cargo.
Voor Nederlandse ontwikkelteams die op GitHub Enterprise Cloud draaien, is dit een kans om een extra controlelaag in de supply chain in te bouwen zonder nieuwe tooling erbij. Houd wel rekening met de keerzijde van een cooldown: die kan ook legitieme beveiligingsfixes vertragen. Zonder een duidelijk uitzonderingsproces loop je het risico dat een noodzakelijke patch onnodig blijft hangen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.