Дослідження сучасних інструментів моніторингу вразливих npm-пакетів у Node.js-проектах

Abstract

Кваліфікаційна робота присвячена аналізу загроз ланцюжка постачання в екосистемі Node.js та дослідженню ефективності інструментів захисту. Перший розділ закладає теоретичні основи безпеки ланцюжка постачання. У ньому розглядаються архітектура реєстру npm та специфіка управління залежностями, з акцентом на класифікацію векторів атак, таких як атаки з підміною назв пакетів або повна підміна пакетів, що становлять ключові загрози для екосистеми. Другий розділ присвячено порівняльному аналізу сучасних засобів моніторингу. У ньому визначено типові метрики ефективності сканерів, досліджено роботу інструментів сигнатурного контролю, систем аналізу досяжності коду та платформ поведінкового аналізу, виявлено їхні переваги та обмеження. Третій розділ зосереджено на обґрунтуванні комплексного підходу до захисту. У ньому запропоновано схему інтеграції засобів безпеки у CI/CD-конвеєр, описано налаштування політик автоматичного блокування загроз та продемонстровано переваги гібридної моделі, що поєднує статичний та поведінковий аналіз.

The thesis is devoted to analyzing threats to the supply chain in the Node.js ecosystem and researching the effectiveness of protection tools. The first section lays the theoretical foundations of supply chain security. It examines the architecture of the npm registry and the specifics of dependency management, with an emphasis on the classification of attack vectors such as domain spoofing and package tampering, which pose key threats to the ecosystem. The second section is devoted to a comparative analysis of modern monitoring tools. It defines typical metrics for scanner effectiveness, examines the operation of signature control tools, code reachability analysis systems, and behavioral analysis platforms, and identifies their advantages and limitations. The third section focuses on justifying a comprehensive approach to protection. It proposes a scheme for integrating security measures into the CI/CD pipeline, describes how to configure automatic threat blocking policies, and demonstrates the advantages of a hybrid model that combines static and behavioral analysis.