Abhängigkeiten, Updates und Supply-Chain-Risiken

Anwendungen bestehen aus Frameworks, Bibliotheken, Plugins, Themes, Images und Build-Werkzeugen. Auch unveränderter eigener Code kann dadurch später verwundbar werden.

Inventar führen

Dokumentieren Sie mindestens:

• Anwendung und Version
• PHP-, Node.js- oder andere Laufzeitversionen
• Composer- und npm-Abhängigkeiten
• CMS-Plugins, Themes und Erweiterungen
• Container-Images und Tags beziehungsweise Digests
• externe APIs und Build-Dienste

Lock-Dateien verwenden

composer.lock und package-lock.json legen geprüfte Abhängigkeitsstände fest. Committen Sie Lock-Dateien für Anwendungen und verwenden Sie im Deployment composer install beziehungsweise npm ci, statt unkontrolliert neue Versionen auszuwählen.

Regelmäßige Prüfung

composer audit
npm audit

Bewerten Sie jeden Fund anhand der tatsächlich verwendeten Funktion und Umgebung. Ignorieren Sie Warnungen nicht pauschal, führen Sie aber auch keine ungeprüften automatischen Hauptversionsupdates direkt in Produktion aus.

Vertrauenskette schützen

1. Verwenden Sie offizielle Paketquellen und TLS.
2. Prüfen Sie neue Maintainer, ungewöhnliche Paketwechsel und Installationsskripte.
3. Begrenzen Sie Rechte von CI-, Registry- und Deployment-Tokens.
4. Bauen und testen Sie Updates in einer isolierten Umgebung.
5. Halten Sie ein Rollback und passende Backups bereit.
6. Entfernen Sie nicht mehr benötigte Pakete und Plugins.

Verwandte Artikel

• Composer im Produktivbetrieb sicher verwenden
• Node.js und npm für Website-Builds verwenden
• Website-Deployment mit Wartungsmodus und Rollback