GitHub package firewall
GitHub package firewall (github.blog)
要約
GitHubは、パッケージインストール時のマルウェア攻撃に対抗するため、新しい「パッケージファイアウォール」機能をパブリックプレビューで提供開始しました。この機能は、Actionsランナーやコーディングエージェントとパッケージリポジトリの間に位置し、メタデータリクエストとパッケージダウンロードを検査して悪意のあるアクティビティを検出します。現在はnpmパッケージのみをサポートし、GitHub Enterprise Cloudの顧客が利用可能です。
全文翻訳
GitHub Package Firewall がパブリックプレビューに
パッケージのインストール時にシステムを悪用し、パッケージのコードを実行することなく CI/CD ホストや開発者のワークステーションで認証情報を収集するマルウェア攻撃が増加しています。この攻撃の波を食い止めるため、GitHub は新しい Package Firewall 機能を導入します。Package Firewall は、Actions ランナーやコーディングエージェントのようなエンドポイントと、アップストリームのパッケージリポジトリの間に配置され、メタデータリクエストとパッケージダウンロードの両方を検査して悪意のあるアクティビティの兆候を検出します。Package Firewall は、データ居住性を含むすべての GitHub Enterprise Cloud のお客様向けに、本日よりパブリックプレビューで利用可能です。
仕組み
まず、管理者はエンタープライズのポリシーコントロールを設定します。現在利用可能なコントロールには、設定可能なクールダウン期間、マルウェアや脆弱性アラートの GitHub Advisory Database のチェック、アテステーションのダウングレードのようなサプライチェーンチェックが含まれます。
次に、コーディングエージェントや CI/CD ホストなどのエンドポイントは、アップストリームのパッケージレジストリに直接接続するのではなく、ファイアウォールを使用してリクエストを行うように設定する必要があります。パッケージリストのメタデータリクエストと実際のパッケージダウンロードは、ファイアウォールを通過し、ポリシーに対して評価されます。パッケージが誤ってブロックされた場合、ユーザーは他の GitHub Advanced Security 機能と同様のワークフローで例外をリクエストできます。
利用可能性と制限事項
Package Firewall は、バックエンドのインフラストラクチャをスケールアップし、顧客の要望に基づいて機能を追加し続けるため、パブリックプレビューで提供されています。これは、データ居住性を含む GitHub Enterprise Cloud のお客様が利用できます。プレビュー期間中は無料です。一般提供が開始されると、Actions の請求と同様に、従量課金制になります。
現在、Package Firewall は npm パッケージのみをサポートしています。
使用方法
詳細なセットアップ手順については、Protecting endpoints with package firewall を参照してください。ディスカッションは GitHub Community で参加できます。