![Новые данные по атаке на Polyfill[.]io: затронуты 380 тысяч хостов](https://www.anti-malware.ru/files/styles/imagesize400w/public/images/source/polyfill_new_info_news.png?itok=-ffdVz6T)
Платформа CodeScoring представила новый сервис OSA Proxy — инструмент для контроля безопасности компонентов с открытым исходным кодом ещё до того, как они попадут в корпоративную инфраструктуру. Решение стало частью модуля CodeScoring.OSA и ориентировано на защиту цепочки поставок ПО на самом раннем этапе разработки.
В отличие от классического подхода, когда композиционный анализ проводится уже после загрузки зависимостей, OSA Proxy работает в момент установки пакетов.
Сервис перехватывает запросы пакетных менеджеров к внешним индексам и проверяет сторонние компоненты на соответствие заданным политикам безопасности. Если версия пакета признана небезопасной, её можно заблокировать ещё до появления в среде разработки.
OSA Proxy поддерживает популярные экосистемы и репозитории, включая Maven Central, NPM, PyPI, NuGet, Go Modules и пакеты Debian, а также альтернативные хранилища, совместимые с официальными спецификациями. При этом сервис не привязан к конкретным хранилищам артефактов и может работать как с ними, так и вовсе без них — в зависимости от того, как устроена инфраструктура в компании.
Технически решение выступает в роли прокси между пакетным менеджером и внешним репозиторием. Оно может фильтровать небезопасные версии, изменять ответы репозиториев, пересчитывать контрольные суммы и перенаправлять ссылки, сохраняя корректность форматов и стабильность работы сборки. Предусмотрены разные режимы использования — от пассивного мониторинга до активной блокировки компонентов.
Сканирование выполняется как на уровне манифестов зависимостей, так и для отдельных пакетов. В основе сервиса лежит асинхронная модель обработки запросов и механизм автоматических повторов, что позволяет ему устойчиво работать при высокой нагрузке или временных сбоях внешних сервисов.
OSA Proxy доступен всем пользователям модуля CodeScoring.OSA и ориентирован на компании, которые хотят усилить контроль за использованием open source без серьёзных изменений в существующих процессах разработки и инфраструктуре.
Платформа CodeScoring представила новый сервис OSA Proxy — инструмент для контроля безопасности компонентов с открытым исходным кодом ещё до того, как они попадут в корпоративную инфраструктуру. Решение стало частью модуля CodeScoring.OSA и ориентировано на защиту цепочки поставок ПО на самом раннем этапе разработки.
В отличие от классического подхода, когда композиционный анализ проводится уже после загрузки зависимостей, OSA Proxy работает в момент установки пакетов. Сервис перехватывает запросы пакетных менеджеров к внешним индексам и проверяет сторонние компоненты на соответствие политикам безопасности. Если версия пакета признана небезопасной, её можно заблокировать ещё до появления в среде разработки.
OSA Proxy поддерживает основные экосистемы и репозитории — Maven Central, NPM, PyPI, NuGet, Go Modules и пакеты Debian, а также альтернативные хранилища, совместимые с официальными спецификациями. При этом сервис не привязан к конкретным хранилищам артефактов и может работать как с ними, так и вовсе без них — в зависимости от архитектуры инфраструктуры.
Технически решение выступает в роли прокси между пакетным менеджером и внешним репозиторием. Оно анализирует манифесты зависимостей и отдельные пакеты, может фильтровать небезопасные версии, изменять ответы сторонних репозиториев, пересчитывать контрольные суммы и перенаправлять ссылки, сохраняя корректность форматов и стабильность сборки.
Для команд предусмотрены разные режимы работы — от мониторинга до активной блокировки компонентов. Это позволяет настраивать уровень контроля в зависимости от требований конкретного проекта. В основе сервиса используется асинхронная модель обработки запросов и механизм автоматических повторов, что обеспечивает стабильную работу даже при высокой нагрузке или временных сбоях внешних сервисов.
OSA Proxy доступен всем пользователям модуля CodeScoring.OSA и рассчитан на компании, которые хотят усилить контроль за использованием компонентов с открытым исходным кодом без существенных изменений в существующих процессах разработки и инфраструктуре.
