Wird gesichert, bevor es in Ihren Stapel gelangt – kontinuierlich bis zum Ablaufdatum.
Alle Vorteile des Ökosystems. Kein blindes Vertrauen.
SecureChain für Open-Source-Software
Sichere, verifizierte und auf Malware geprüfte npm-Pakete, die so lange geschützt bleiben, wie sie in Ihrem Stack verbleiben
Eine sichere npm-Registry für Unternehmensteams. Profitieren Sie von der Sicherheit der npm-Pakete bereits ab der Installation. SecureChain ersetzt die öffentliche npm-Registry durch ein kuratiertes Repository, dessen Inhalte aus dem Quellcode neu kompiliert wurden. Es überprüft jedes Paket bei der Installation, behebt Sicherheitslücken, sobald diese auftreten, und sorgt dafür, dass Ihre Abhängigkeiten auch lange nach dem Ende der Pflege durch die Entwickler sicher bleiben.
Abdeckung der Ökosysteme, die den heutigen Produktionsstacks zugrunde liegen
Sprechen Sie mit uns
Verifizierte und auf Malware geprüfte npm-PaketeDas npm-Problem ist größer, als du denkst
npm ist das weltweit größte Paketregister.
Es ist zudem die am stärksten von Angriffen betroffene Software-Lieferkette, die es gibt.
In den wichtigsten Open-Source-Repositorys wurden neue schädliche Pakete entdeckt, von denen über 99 % auf npm zu finden waren
Eine Registrierungsstelle. Tausende potenzieller Zugangspunkte.
-
Der Shai-Hulud-Wurm
Eine sich selbst verbreitende Malware-Kampagne, die sich über Open-Source-Ökosysteme ausbreitete, indem sie vertrauenswürdige Pakete missbrauchte und nachgelagerte Umgebungen unbemerkt infizierte.
-
Axios-Kompromiss
Ein Angriff auf die Lieferkette, bei dem eine weit verbreitete HTTP-Bibliotheksabhängigkeit ins Visier genommen wurde, was deutlich machte, dass selbst vertrauenswürdige Pakete zu Übertragungswegen für Schadcode werden können.
Das sind keine Ausnahmefälle. Das ist die normale Arbeitsumgebung für jedes Team, das mit Node.js arbeitet.
Wie Risiken in Ihre npm-Abhängigkeiten gelangen
Die Ursache liegt nicht an einer bestimmten Stelle. Sie liegt in der Funktionsweise von npm.
Bei der Installation und bei jedem anschließenden Update
Jedes Mal, wenn Ihr Team „npm install“ ausführt, vertraut es einer öffentlichen Registry.
Dieses Vertrauen wird häufig ausgenutzt.
- Pakete mit Tippfehlern
- Entführte Betreuer
- Manipulierte Artefakte
- Schädliche Installationsskripte
Alles, was nach dem letzten Update passiert
Jedes Mal, wenn Ihr Team „npm install“ ausführt, vertraut es einer öffentlichen Registry.
Dieses Vertrauen wird häufig ausgenutzt.
- Pakete veralten
- Die Betreuer ziehen weiter
- Es tauchen weiterhin CVEs auf
Ihre Anwendung führt immer wieder denselben Code aus – doch das Risiko steigt stetig an.
Die meisten npm-Sicherheitstools beschränken sich auf eine einzige Phase der Sicherheitslücke.
Ein Scanner, der bei der Installation prüft. Ein SCA-Tool, das bekannte CVEs meldet.
Ein Advisory-Feed, der Sie darauf hinweist, dass etwas anfällig ist, das Problem aber nicht behebt.
SecureChain unterscheidet sich von anderen Lösungen, da es nicht nur beratend wirkt, sondern aktiv eingreift.
Und das hört nicht auf, wenn der Betreuer aufhört.
für Open-Source-Software
Sicherheit über den gesamten Lebenszyklus hinweg für npm-Pakete
Vom Moment der Installation eines Pakets an – bis lange nachdem die Betreuer ihre Arbeit eingestellt haben.
Lebenszyklus eines Pakets
Adoptieren
Entwickeln & Ausliefern
Betreiben
Nach dem Ende der Lebensdauer
Auch lange nach Ablauf der Wartungsfrist abgedeckt
Sicherheit beim spontanen Besuch:
Für Ihre Entwickler ändert sich nichts
Richten Sie Ihren Repository-Manager – oder direkt Ihren Paketmanager – auf
SecureChain ein und arbeiten Sie weiter.
Dieselben Pakete, dieselben APIs, derselbe Arbeitsablauf.
Kompatibel mit:
JFrog Artifactory
Sonatype Nexus
GitHub-Pakete
Sichern und überprüfen Sie Ihre npm-Pakete in jeder Phase
Erfahren Sie von uns, wie SecureChain npm-Pakete bei der Installation überprüft und absichert, kontinuierliche npm-Schwachstellenscans durchführt und Ihre Abhängigkeiten auch lange nach Ablauf der Wartungsfrist schützt.
Frage stellen
Die Geschwindigkeit und Flexibilität von Open Source –„
“ ohne das Risiko.
Mit SecureChain wird jedes npm-Paket überprüft, gescannt und gesichert.
Überholt und geprüft
Jedes npm-Paket wird in abgesicherten, isolierten Umgebungen aus dem Quellcode neu kompiliert, ohne übernommenen Binärcode und ohne undurchsichtige Upstream-Artefakte. Was Sie installieren, ist genau das, was kompiliert und durchgängig überprüft wurde.
Auf Malware geprüft
Jedes Paket wird auf bekannte Malware, verdächtige Codemuster und Risiken in der Lieferkette überprüft. Alles, was die Überprüfung nicht besteht, wird blockiert, bevor es Ihre Umgebung erreicht.
Laufend aktualisiert
Aktive Komponenten werden im Rahmen des SLA überwacht und bei Auftreten von CVEs gepatcht. Wenn die Wartung durch den Upstream-Entwickler endet, stellt der Endless Lifecycle Support (ELS) weiterhin Korrekturen bereit, solange Sie das Paket nutzen.
Vorschriftskonform und prüfungsbereit
Behalten Sie den genauen Überblick darüber, welche Software läuft und welche Patches installiert wurden. SLSA Level 3-Provenienz, SBOM und VEX bieten umfassende Sicherheit in der Lieferkette – genau die Nachweise, die Ihre Prüfer auf Abruf benötigen.
+ Berichterstattung auf Abruf
Sollte ein Paket, auf das Sie angewiesen sind, noch nicht im Katalog enthalten sein, nehmen wir es ohne zusätzliche Kosten in
auf: geprüft, gepatcht und unterstützt wie jedes andere auch.
Entwickelt für Teams, die das Risiko tragen:
Sicherheit und Entwicklung (
) DevSecOps
Komponenten werden bei der Installation geprüft, danach besteht kontinuierlicher Schutz. Keine Lücken während des gesamten Lebenszyklus.
Führungskräfte im Bereich Ingenieurwesen
Keine Änderungen am Arbeitsablauf. Keine erzwungenen Neuprogrammierungen, wenn Abhängigkeiten das Ende ihrer Lebensdauer erreichen.
Compliance-
- und GRC-Lösungen
Integrierte SBOMs, VEX, Herkunftsdaten und Patch-Abdeckung – von Grund auf auditfähig.
Warum TuxCare?
Innovatoren auf der ganzen Welt vertrauen
Häufig gestellte Fragen
Ja. npm-Pakete können während des Befehls „npm install“ automatisch Lebenszyklus-Skripte wie „preinstall“, „install“ und „postinstall“ ausführen. Angreifer nutzen dies durch Typosquatting, gekaperte Betreuerkonten, manipulierte Artefakte und Kampagnen wie Shai-Hulud aus. SecureChain analysiert Pakete vor der Bereitstellung und blockiert bösartige Skripte oder verdächtiges Verhalten, bevor sie Ihre Umgebung erreichen.
Standardmäßig ist dies nicht der Fall. Die öffentliche npm-Registry verteilt veröffentlichte Tarballs, ohne zu überprüfen, ob diese mit dem Upstream-Quellcode oder dem Build-Prozess übereinstimmen. Selbst ein auf den ersten Blick einwandfreier Quellcode kann dennoch zu einem risikobehafteten, installierbaren Artefakt führen. SecureChain erstellt Pakete aus verifizierten Quellen in abgesicherten Umgebungen neu und bietet eine Herkunftsnachweisbarkeit gemäß SLSA Level 3, sodass jedes Paket rückverfolgbar und überprüfbar ist.
Sehr umfangreich. Ein einziges npm-Paket der obersten Ebene kann Hunderte von transitiven Abhängigkeiten mit sich bringen. Die meisten davon werden nie überprüft, doch jede einzelne kann Code ausführen und Ihre Angriffsfläche vergrößern. SecureChain schützt den gesamten npm-Abhängigkeitsbaum, nicht nur die von Ihnen direkt ausgewählten Pakete.
Verwenden Sie eine vertrauenswürdige Paketquelle und nicht nur Scanner. SecureChain überprüft npm-Pakete vor der Installation, blockiert böswilliges Verhalten und behebt CVEs im Rahmen eines SLA kontinuierlich. Dadurch erhalten Produktionsteams eine kontrollierte und überprüfbare Quelle für npm-Pakete.
Nein. SecureChain überwacht npm-Pakete auf neu bekannt gewordene CVEs und stellt validierte Korrekturen bereit, die auf Ihre festgelegten Versionen abgestimmt sind. Dadurch entfällt die manuelle Nachverfolgung, die Nachbereitung von npm-Audits und der Druck, dringende Upgrades durchführen zu müssen.
Das Risiko steigt. Nicht gewartete npm-Pakete können weiterhin in der Produktion eingesetzt werden, während ständig neue Sicherheitslücken auftauchen. SecureChain wird durch den „Endless Lifecycle Support“ (ELS) ergänzt, der kritische Korrekturen rückportiert, sodass Sie weiterhin sicher bleiben, ohne ein Upgrade oder eine Umgestaltung vornehmen zu müssen. Wenn ein von SecureChain verwaltetes Paket das Ende seines Lebenszyklus erreicht, sorgt ELS für die weitere Sicherheitsabdeckung, ohne dass Sie etwas unternehmen müssen.
Nein. SecureChain fungiert als direkter Ersatz für die öffentliche npm-Registry. Entwickler können weiterhin npm, Yarn oder pnpm mit denselben Befehlen und Arbeitsabläufen nutzen. Es lässt sich zudem als Upstream-Quelle für JFrog Artifactory, Sonatype Nexus und GitHub Packages konfigurieren.
