どんなセキュリティ対策が選択的に適用されるべきだと思う？

もっと言うと、1日3回くらいだよね、そう思わない？

そのアイデアは、自動スキャンを行っている企業に少し時間を与えて、新しいバージョンの問題をユーザーが一斉にインストールする前に検出できるようにするってことだと思う。

目標は、サイバーセキュリティ企業が運営する自動スキャナーに、実際のユーザーにインストールされる前にマルウェアをフラグ付けする時間を与えることなんだ。

最近のサプライチェーン攻撃のうち、ユーザーが変な挙動に気づいて発見したのはほんの一部だよ。大半はメンテナーや第三者のグループが、ソースタグに結びついていないリリースや、急速なリリースの多さに気づいて発見したんだ。クールダウンはすべてを止めるわけじゃないけど、悪意のあるリリースが見つかる可能性を大幅に高めるよ。

「みんながクールダウンを適用し始めたら、問題が先延ばしになるんじゃない？」 いや、まだ新しいパッケージが出たら積極的にスキャンしてるリサーチ会社もあるよ。例えば、socket.devはエコシステム全体から新しいパッケージを引っ張ってきて、自動分析をしてサンドボックスで実行してる。誰かの本番リポジトリで爆発させなくても、問題があるかどうか分かるんだ。

簡単だよ、みんなよりちょっとだけプロジェクトの依存関係のアップデートを遅らせればいいだけ。

「でも、みんながアップデートを遅らせたら、タイムリーに問題を見つけるチャンスが減るんじゃない？」 いや、クールダウンの背後にあるセキュリティの前提は、無実のユーザーが被害に遭うことではなく、セキュリティスキャンを行う側にある。3日間のクールダウンは短いけど、スキャンを行う側には十分なリードタイムになるはず。 >「すべてのNPMパッケージを予防的にスキャンするのが可能かどうか、またそれにどれくらいの計算リソースが必要かはよく分からない。特に、マルウェアを最初に報告することで直接的に金銭的なインセンティブがある側にとっては、そんなにデータ量は多くないよ。」

悪意のあるやつの大半は、postinstallスクリプトで何かをcurlするだけだから、スキャナーがそれをキャッチするんだよね。こっそりしたやつは、実行するまで悪意があるようには見えないし、3日じゃ助けにならないかも。