Empêchez les composants à risque d’entrer dans votre chaîne d’approvisionnement logicielle

La SCA traditionnelle s’appuie sur des bases de données de vulnérabilités, ce qui signifie qu’elle ne peut pas bloquer les packages inconnus ou immatures avant qu’ils n’entrent dans votre organisation. Les postes de travail des développeurs sont ainsi exposés aux attaques dès qu’un package non vérifié est téléchargé. Curation empêche cela en appliquant des politiques relatives aux packages immatures dès leur réception, bloquant ainsi les nouvelles vulnérabilités à l’entrée plutôt que de réagir après une violation.

Le décret exécutif 14028 et le règlement européen sur la cyber-résilience (EU Cyber Resilience Act) exigent tous deux de vérifier les composants open source avant leur intégration, et non après. Curation applique les politiques au moment où un composant est demandé et consigne automatiquement chaque requête, blocage et approbation. Cet enregistrement immuable constitue la preuve documentée exigée par les deux cadres, produite naturellement par la façon dont vos développeurs travaillent déjà.

La curation traite les ressources d’IA comme des composants de premier ordre, en appliquant aux modèles de Hugging Face et NVIDIA NIM la même application de politiques qu’aux packages. Chaque modèle est évalué par rapport à vos politiques avant d’entrer dans votre environnement, avec des renseignements vérifiés sur 97,1 % des modèles Hugging Face et plus de 18 millions de composants dans le Catalog.

Lorsqu’un développeur, un pipeline CI ou un agent d’IA demande un package, JFrog Curation le vérifie par rapport au JFrog Catalog, un registre prêt à l’emploi de millions de packages, au lieu de télécharger et d’analyser le fichier. Si le package est malveillant, vulnérable ou enfreint vos politiques sur des aspects tels que la licence ou l’ancienneté du package, Curation le bloque. Comme il vérifie le JFrog Catalog au lieu de télécharger chaque fichier, sans aucun délai même lorsqu’un pipeline résout des centaines de packages à la fois. Les packages à risque n’atteignent jamais vos développeurs.

L’équipe de recherche en sécurité de JFrog utilise des analyseurs automatisés qui signalent les comportements malveillants, tels que l’exfiltration de données, la confusion de dépendances et le typosquatting, et établit un score de malveillance avant même qu’une CVE ne soit déposée. JFrog Catalog analyse en continu les métadonnées, le comportement et la provenance de chaque composant, afin que Curation puisse bloquer une menace sur la base des propres renseignements de JFrog, avant les bases de données publiques.

Généralement, un développeur ne s’en aperçoit jamais : Curation propose une version conforme et le build se poursuit. Si aucune n’existe, le développeur demande une dérogation depuis son workflow, sans qu’aucun ticket ne soit nécessaire, et celle-ci est validée instantanément ou transmise à un approbateur selon vos politiques. Les dérogations peuvent expirer, de sorte que l’accès ne devienne jamais une exception permanente.

Oui, lorsque l’option Enforce Policy on Cached Packages est activée. Par défaut, Curation bloque les packages à risque au moment de la requête, mais un package sûr lors de son téléchargement peut ultérieurement être détecté comme malveillant. Lorsque ce paramètre est activé, Curation applique la politique actuelle aux packages mis en cache et bloque tous ceux dont la posture de sécurité a changé.