Supply Chain Hardening (Grade B)ترقية سلسلة التوريد: احمِ مشروعك من الهجمات والتأخير

يدعو Supply Chain Hardening (درجة ب)، وهي مهارة تحاليل بيانات مبرمجة بشكل آمن ل Claude AI، إلى تعزيز أمان سلسلة الإمداد ضد هجمات سلاسل الإمداد npm / bun. ويفسر هذا الخبرة تثبيت فترة تأخير عند التثبيت بالنسبة ل (npm / bun) (الأيام الستة كأدنى عمر الإصدار) وتشغيل فحص مركب قبل التثبيت في بيئة مخزنة عندما يتعذر تجاوز الفترة الزمنية. هذه المهارة تستخدم لمنع الهجمات التي تتم من خلال تثبيت حزمة زائرة قبل ملاحظتها مثل هجوم TanStack Mini Shai-Hulud. ويهيكل defense بثلاث طبقات وبسيطة: فترة تأخير عند التثبيت، فحص مركب مخزّن قبل التثبيت، وعدم تجاوز النصيحة المدنية على تثبيت تجاوز فترة التأخير. ويبلغ فترة التأخير السابعة عشر يومًا افتراضيًا. ويطلب هذا الخبرة npm 11+ أو bun 1.3+ يمكن تجاوز فترة البرد بمستوى - من 0 و تشغيل لافتة --ignore-scripts بالنسبة لـ npm, و --minimum-release-age=0 و --ignore-scripts بالنسبة لـ bun . إلا أن هذا يتطلب مراجعة يدوي لتعريف الكود بعد تنزيل السكريبت. الوحدات الأصلية التي تحتاج تعريف السكريبت بعد التثبيت يمكن تشغيل السكريبت يدويًا بعد المراجعة. يمكن تحديد المهارة باستخدام ~/.npmrc أو.project .npmrc لnpm، و ~/.bunfig.toml أو project bunfig.toml لبُن . يتم استخدام المعطيات config المفتوحة المفتاحين min-release-age لnpm و minimumReleaseAge لبن. الفوائد للتعلم لهذا الحد من المضاربة في سلسلة الإمداد، حماية ضد الحزم الخبيثة، وتقدم defense مكونات متعددة. عندما تُدار هذه الخدمة، فهناك حدود و إصابات. قد تمنع هذه الخدمة المبنية على الذكاء الاصطناعي لتثبيت البرامج الشريرة إذا كان فترة البرنامج مُعلقة للغاية. بالإضافة إلى ذلك، من المحتمل أن تجيب عملية التعقيب المُنسحبة عن الإطلاق لا تعرض للضربة المُهلكة المُسبّقة لمُجمل البرامج الشريرة. يحتوي هذا المهارة عدة مميزات، بما في ذلك سحبة زمن التثبيت، والمنصة المعزولة للفحص قبل التثبيت، و تجاوز السرعات الحياتية للبرامج. يشمل الاستخدامات الممكنة لهذا المجهز الدفاع ضد هجمات جريمة التوريق في سلسلة الإمداد والعمل على تصفية وإصلاح الإصدارات القابلة للتلوث، واستخدام الوظائف الآمنة لتثبيت الحزم التي تم النشر حديثًا.