Dependencias y paquetes de terceros

2 tareas · 40 min · Principiante

0 de 2 · 0%

Las aplicaciones modernas dependen de cientos de bibliotecas externas descargadas desde repositorios públicos (npm, PyPI, Maven). Los adversarios publican paquetes con nombres idénticos o similares a dependencias internas privadas con números de versión superiores, logrando que el gestor de paquetes descargue automáticamente el paquete malicioso desde el repositorio público durante la compilación.

Responde para continuar

¿En qué consiste el ataque de confusión de dependencias (Dependency Confusion) en el ecosistema de desarrollo?

Prohibir que los programadores importen módulos en sus archivos de código fuente Cambiar el nombre de las funciones de la biblioteca estándar de C a nombres en francés Instalar dos versiones del mismo antivirus en el servidor de compilación Publicar un paquete malicioso en un registro público con el mismo nombre que una biblioteca interna y versión más alta para que el gestor lo prefiera

Ver pista de ayuda

Publicación en registros públicos con nombres de paquetes privados y versiones más altas.

Consulta en ci_pipeline_runs el identificador del disparador (trigger_actor) de la ejecución anómala.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué trigger_actor figura en el pipeline PIPE-BUILD-501?

Ver pista de ayuda

Observa el valor en la columna trigger_actor de ci_pipeline_runs.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Seguridad del Pipeline CI/CD y Repositorios · DevSecOps

Git & CI/CD Pipeline Telemetry Engine (GitHub Actions / GitLab CI)

Tablas

git_commits_audit

commit_hash
author_email
committer_email
commit_time_utc
files_changed
signing_status
risk_state

ci_pipeline_runs

pipeline_id
workflow_file
trigger_actor
secrets_accessed
artifact_output
audit_alert

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Typosquatting y confusión de dependencias (Dependency Confusion)

2 Actor que desencadenó el pipeline sospechoso Lab

Whoami-Labs Pro utiliza cookies