Docker Security Dispatch — Выпуск 6: Подождите пять дней, примените SIP

Последний выпуск Docker Security Dispatch освещает угрозы для цепочек поставок ПО, фокусируясь на вредоносных пакетах npm, которые используют подтвержденное происхождение для обхода проверок безопасности. В отчете подробно описывается, как злоумышленники публиковали скомпрометированные версии библиотек с открытым исходным кодом через доверенные рабочие процессы GitHub Actions. Для снижения рисков автор рекомендует стратегию «отложенной зависимости», предлагая разработчикам установить пятидневный период ожидания для новых релизов пакетов с помощью конфигурации npm min-release-age. Это дает сообществу время на обнаружение и устранение угроз. Кроме того, в статье представлен «План немедленной безопасности» (SIP) — пятиступенчатая система, включающая изоляцию AI-агентов, управление зависимостями и укрепление контейнеров. Наконец, материал напоминает, что 11 сентября 2026 года вступают в силу обязательства по отчетности в рамках Закона ЕС о киберустойчивости, требующие от организаций готовности к обязательному уведомлению об инцидентах.