Prévu d’ici septembre, le GitLab dependency firewall, annoncé le 26 mars dernier, vise à contrer les attaques de logiciels de la chaîne d’approvisionnement en avertissant l’entreprise ou en bloquant le téléchargement, en fonction de la politique d’un projet. Présentation.
Le contexte : Le proxy de dépendance Maven a été publié dans GitLab 16.8. Cette nouvelle fonctionnalité permet de mettre en cache les paquets d’un dépôt en amont vers un projet GitLab, ce qui peut aider à réduire la dépendance à l’égard des sources externes.
Problème : cette efficacité accrue s’accompagne d’un risque de sécurité supplémentaire lié aux attaques de la chaîne d’approvisionnement des logiciels (lorsque les attaquants tentent d’inciter les développeurs et les pipelines CI/CD à inclure des paquets malveillants afin d’augmenter la surface d’attaque).
Le pare-feu de dépendance aidera les organisations à éviter ces attaques en les avertissant ou en bloquant le téléchargement en fonction de la politique de leur projet.
Mais de quoi parle-t-on ? Le pare-feu des dépendances est la première ligne de défense lors du téléchargement de paquets depuis Internet. La politique de pare-feu pour les dépendances prévue aura deux effets : avertir et faire échouer.
GitLab souhaite intégrer les capacités suivantes dans le firewall : empêcher les paquets malveillants d’entrer dans la chaîne d’approvisionnement des logiciels, vérifier chaque nouveau paquet par rapport à la politique de GitLab, mettre en quarantaine les paquets pour qu’ils soient examinés avant d’être disponibles, gérer les paquets mis en quarantaine et signaler l’utilisation des paquets.
Le nouveau GitLab dependency firewall est prévu pour l’ensemble des utilisateurs et des développeurs d’ici la seconde moitié de 2024.
