safedep/vetSchutz vor bösartigen Open-Source-Paketen 🤖
[!NOTE]
vetunterstützt einen speziellen Modus für Agent Skills. Führen Sievet scan --agent-skill <owner/repo>aus, um einen Agent Skill zu scannen, der in einem GitHub-Repository gehostet wird.
70-90 % der modernen Software ist Open-Source-Code — woher wissen Sie, dass er sicher ist?
Traditionelle SCA-Tools ertränken Sie in CVE-Rauschen. vet verfolgt einen anderen Ansatz:
Kostenlos für Open Source. Gehostete SaaS-Lösung verfügbar bei SafeDep.
In Sekunden installiert:
# macOS & Linux
brew install safedep/tap/vet
# Using npm
npm install -g @safedep/vet
oder laden Sie ein vorgefertigtes Binary herunter
Sofort loslegen:
# Scan for malware in your dependencies
vet scan -D . --malware-query
# Fail CI on critical vulnerabilities
vet scan -D . --filter 'vulns.critical.exists(p, true)' --filter-fail
vet folgt einer Pipeline-Architektur: Reader erfassen Paketmanifeste aus verschiedenen Quellen (Verzeichnisse, Repositorys, Container-Images, SBOMs), Enricher reichern jedes Paket mit Schwachstellen-, Malware- und Scorecard-Daten aus der SafeDep Cloud an, die CEL-Policy-Engine bewertet Sicherheitsrichtlinien anhand der angereicherten Daten, und Reporter erzeugen umsetzbare Ausgaben in Formaten wie SARIF, JSON und Markdown.
graph TB
subgraph "OSS Ecosystem"
R1[npm Registry]
R2[PyPI Registry]
R3[Maven Central]
R4[Other Registries]
end
subgraph "SafeDep Cloud"
M[Continuous Monitoring]
A[Real-time Code Analysis<br/>Malware Detection]
T[Threat Intelligence DB<br/>Vulnerabilities • Malware • Scorecard]
end
subgraph "vet CLI"
S[Source Repository<br/>Scanner]
P[CEL Policy Engine]
O[Reports & Actions<br/>SARIF/JSON/CSV]
end
R1 -->|New Packages| M
R2 -->|New Packages| M
R3 -->|New Packages| M
R4 -->|New Packages| M
M -->|Behavioral Analysis| A
A -->|Malware Signals| T
S -->|Query Package Info| T
T -->|Security Intelligence| S
S -->|Analysis Results| P
P -->|Policy Decisions| O
style M fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
style A fill:#E8A87C,stroke:#B88A5A,color:#1a1a1a
style T fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
style S fill:#90C695,stroke:#6B9870,color:#1a1a1a
style P fill:#E8C47C,stroke:#B89B5A,color:#1a1a1a
style O fill:#B8A3D4,stroke:#9478AA,color:#1a1a1a
Echtzeitschutz gegen bösartige Pakete, unterstützt von SafeDep Cloud. Kostenlos für Open-Source-Projekte. Erkennt Zero-Day-Malware durch aktive Codeanalyse.
Im Gegensatz zu Abhängigkeits-Scannern, die Sie mit Rauschen überfluten, analysiert vet Ihre tatsächliche Codenutzung, um echte Risiken zu priorisieren.
Siehe Nachweise zur Abhängigkeitsnutzung für Details.
Definieren Sie Sicherheitsrichtlinien mithilfe von CEL-Ausdrücken, um kontextspezifische Anforderungen durchzusetzen:
# Block packages with critical CVEs
vet scan --filter 'vulns.critical.exists(p, true)' --filter-fail
# Enforce license compliance
vet scan --filter 'licenses.contains_license("GPL-3.0")' --filter-fail
# Require minimum OpenSSF Scorecard scores
vet scan --filter 'scorecard.scores.Maintained < 5' --filter-fail
Paketmanager: npm, PyPI, Maven, Go, Ruby, Rust, PHP Container-Images: Docker, OCI SBOM-Formate: CycloneDX, SPDX Quell-Repositorys: GitHub, GitLab
Echtzeitschutz gegen bösartige Pakete durch Abfragen der Threat-Intelligence-Datenbank von SafeDep, die kontinuierlich durch statische und dynamische Verhaltensanalyse befüllt wird.
# Query known malicious packages (no API key needed)
vet scan -D . --malware-query
[!NOTE] Das Flag
--malwareist veraltet. Das aktive (On-Demand-)Scannen wurde zugunsten der Abfrage der Threat-Intelligence-Datenbank von SafeDep eingestellt.--malwareverhält sich jetzt identisch zu--malware-queryund bleibt aus Gründen der Abwärtskompatibilität erhalten.
Beispiel-Erkennungen:
Wichtige Sicherheitsfunktionen:
# Specialized scans
vet scan --vsx --malware-query # VS Code extensions
vet scan -D .github/workflows --malware-query # GitHub Actions
vet scan --image nats:2.10 --malware-query # Container images
[!NOTE] Der Befehl
vet inspect malware(On-Demand-Analyse eines einzelnen Pakets) ist veraltet und wird in einer zukünftigen Version entfernt. Verwenden Sievet scan --malware-query, um Pakete gegen die Datenbank bekannter bösartiger Pakete von SafeDep zu prüfen.
Sicherheitsleitplanken ohne Konfiguration in CI/CD:
- uses: safedep/vet-action@v1
with:
policy: ".github/vet/policy.yml"
Siehe Dokumentation zu vet-action.
Enterprise-Scanning mit der vet-CI-Komponente:
include:
- component: gitlab.com/safedep/ci-components/vet/scan@main
Führen Sie vet überall mit unserem Container-Image aus:
docker run --rm -v $(pwd):/app ghcr.io/safedep/vet:latest scan -D /app --malware-query
brew install safedep/tap/vet
npm install @safedep/vet
Siehe Releases für vorgefertigte Binaries.
go install github.com/safedep/vet@latest
# Quick test
docker run --rm ghcr.io/safedep/vet:latest version
# Scan local directory
docker run --rm -v $(pwd):/workspace ghcr.io/safedep/vet:latest scan -D /workspace
vet version
# Should display version and build information
Erfahren Sie mehr in unserer umfassenden Dokumentation:
vet sammelt anonyme Nutzungstelemetrie, um das Produkt zu verbessern. Ihr Code und Ihre Paketinformationen werden niemals übertragen.
# Disable telemetry (optional)
export VET_DISABLE_TELEMETRY=true
vet steht auf den Schultern von Riesen:
OSV • OpenSSF Scorecard • SLSA • OSV-SCALIBR • Syft
Danke an alle Mitwirkenden ❤️
Sichern Sie noch heute Ihre Lieferkette. Geben Sie dem Repository einen Stern und legen Sie los!
Mit Liebe erstellt von SafeDep und der Open-Source-Community
