Mengenal Ancaman Software Supply Chain Attack: Audit Dependensi Package Manager

Sebagian besar kode dalam aplikasi modern bukan kode yang ditulis tim internal, melainkan susunan ratusan pustaka open-source. Kerentanan pada satu pustaka kecil dapat membahayakan seluruh sistem.

Menghitung permukaan serangan yang sebenarnya

Proyek yang mencantumkan dua puluh dependensi langsung biasanya memasang ratusan paket setelah dependensi turunan ikut terpasang. Setiap paket adalah kode yang berjalan dengan hak akses penuh aplikasi, dan setiap pemeliharanya adalah pihak yang secara efektif Anda percayai.

Angka inilah yang jarang dilihat. Memeriksa daftar dependensi lengkap — bukan hanya yang tertulis di berkas manifest — sering menjadi pengalaman yang mengubah cara tim memandang risiko.

Tiga jalur masuk yang paling sering dipakai

Typosquatting mendaftarkan nama paket yang mirip dengan yang populer dan menunggu kesalahan ketik. Pengambilalihan akun menyasar pemelihara pustaka yang terbengkalai, kadang cukup dengan mendaftarkan ulang domain surel yang sudah kedaluwarsa. Kebingungan dependensi memanfaatkan paket internal yang namanya juga tersedia di registri publik, sehingga versi publik yang lebih tinggi terpasang menggantikan yang internal.

Ketiganya memiliki ciri yang sama: kode berbahaya dijalankan pada tahap pemasangan, sering melalui skrip pasca-instalasi, dan sasarannya adalah kredensial di lingkungan pembangunan — token registri, kunci penerapan, variabel lingkungan CI.

Mengunci dan memeriksa

Berkas lock adalah pertahanan pertama karena ia menetapkan versi persis yang dipasang, bukan rentang yang bisa berubah. Pastikan berkas ini ikut disimpan di kendali versi dan bahwa proses penerapan memasang dari berkas lock, bukan menyelesaikan ulang dependensi.

Pemindaian kerentanan otomatis pada alur integrasi menangkap paket yang sudah diketahui bermasalah. Perlu diingat batasnya: pemindaian hanya mengetahui kerentanan yang sudah dilaporkan, sehingga tidak melindungi dari paket yang baru saja disusupi.

Membatasi kerusakan yang mungkin terjadi

Karena pencegahan tidak pernah sempurna, pembatasan dampak menjadi lapisan yang menentukan. Nonaktifkan skrip pasca-instalasi bila memungkinkan. Jalankan pemasangan dependensi pada lingkungan yang tidak memiliki akses ke kredensial produksi.

Terapkan prinsip hak istimewa terkecil pada token: token penerapan tidak perlu izin menulis ke registri, dan token CI tidak perlu akses ke basis data produksi. Serangan rantai pasok yang berhasil pada lingkungan yang dibatasi dengan baik berakhir sebagai insiden yang merepotkan, bukan sebagai kebocoran yang menghancurkan.