CTWall - ChainThreatWall

Релиз на GitHub

По мере того как всё больше команд переходят на виртуализированные среды разработки для снижения рисков цепочки поставок ПО, остаётся одна проблема: вредоносные зависимости всё ещё могут проскользнуть и попасть в production.

Платформа CTWall (ChainThreatWall) помогает командам Security, DevOps и Product быстрее принимать решения о рисках, используя данные SBOM/BOM для выявления вредоносного ПО в цепочке поставок. Этот инструмент является практичным дополнением к классическому SCA (анализу состава ПО): он добавляет обнаружение вредоносного ПО на уровне цепочки поставок. Используя бесплатные/публичные источники угроз (пока это только общедоступная база данных OSV с https://osv.dev/), команды могут генерировать уведомления о недавно обнаруженных угрозах зависимостей без необходимости строить собственную систему анализа угроз с нуля.

SBOM-файлы можно легко импортировать в платформу с помощью DepAlert.

Быстрый старт

См. 00_quick_start.md для пошаговых инструкций.

Назначение платформы

С точки зрения бизнеса инструмент помогает вам:

• Получить видимость рисков вредоносных зависимостей в одном месте.
• Быстрее реагировать на угрозы вредоносного ПО.
• Хранить историю и доказательства для аудитов.
• Сократить затраты ручного анализа.

С операционной точки зрения платформа CTWall предоставляет полезный функционал для:

• Загрузки SBOM из CI/CD и каналов поставщиков.
• Хранения истории версий для каждого Продукта / Области / Теста.
• Сопоставления компонентов с данными об угрозах и анализа находок.
• Мониторинга состояния и трендов на дашбордах проектов.
• Отправки операционных оповещений в коннекторы (Jira, SMTP, Slack, SNS, внешний Alertmanager).

Что происходит во время выполнения

Поток приложения:

1. SBOM загружается (или отправляется агентом).
2. Версия и компоненты сохраняются.
3. Фоновые рабочие процессы выполняют анализ вредоносного ПО.
4. Обновляются группы/экземпляры оповещений.
5. Настроенные коннекторы получают сигналы FIRING/RESOLVED.
6. Пользовательский интерфейс отображает дашборды, состояние, обозреватель и статус анализа.

flowchart LR
    A[Product / Source] --> B[Generate SBOM/BOM]
    B --> C[Import SBOM/BOM file to CTWALL]
    C --> D[Alert]

Проблемы кибербезопасности, которые решает CTWall

1. Отсутствие непрерывного мониторинга рисков зависимостей (приложение + инфраструктура). CTWall собирает данные SBOM/BOM и организует их в единую модель: Продукт -> Область -> Тест. В современном ландшафте угроз отсутствие непрерывного мониторинга и запоздалая реакция на угрозы зависимостей могут привести к компрометации как приложений, так и инфраструктуры.

2. Запоздалое обнаружение и реакция на угрозы. Импорт и анализ SBOM помогают выявить риск до production или на ранних этапах цикла поставки. На практике CTWall поддерживает более раннее обнаружение вредоносных пакетов как среди зависимостей приложений, так и среди зависимостей, связанных с инфраструктурой.

3. Фрагментированные оповещения и информационный шум. CTWall нормализует оповещения и может отправлять их в операционные инструменты (например, Jira, Slack, SMTP, Alertmanager), а не полагаться только на логи CI.

4. Сложные аудиты и отсутствие истории решений. Платформа хранит историю ревизий SBOM и событий, что упрощает аудит и восстановление того, что изменилось и когда.

5. Слишком много ручного анализа. Команды получают структурированные результаты и могут быстрее переходить от оповещения к решению.

Примеры атак, которые CTWall может помочь вам обнаружить

CTWall помогает, сопоставляя компоненты SBOM/BOM с данными об угрозах и рекомендациями по вредоносному ПО, а затем генерируя операционные оповещения.

1. Март 2026: компрометация цепочки поставок npm для Axios (axios, MAL-2026-2307). Скомпрометированные учётные данные мейнтейнера привели к публикации вредоносных версий axios (1.14.1, 0.30.4), которые внедрили троянизированную зависимость [email protected]; публичные рекомендации описывают кроссплатформенный RAT/дроппер, запускаемый после установки, и рекомендуют считать скомпрометированными все затронутые системы, с немедленной ротацией секретов и учётных данных.

2. Сентябрь 2025: кампания цепочки поставок npm (Shai-Hulud + майнеры криптовалют). Компрометация мейнтейнеров через фишинг, вредоносные обновления пакетов, кража учётных данных/токенов и сохраняемость в CI/CD были задокументированы в отраслевых рекомендациях.

3. Июль 2025: инцидент с фишингом на PyPI с вредоносными версиями num2words (0.5.15, 0.5.16). Скомпрометированный аккаунт мейнтейнера привёл к публикации вредоносных версий пакета, которые позже были удалены.

4. Ноябрь 2025: кампания тайпсквоттинга на PyPI (tableate, MAL-2025-191535). Публичные записи OSV описывают поведение, подобное RAT, и доставку полезной нагрузки второй стадии.

5. Март 2026: случай вредоносного ПО на PyPI (amigapythonupdater, MAL-2026-1136). Публичные записи OSV описывают кражу переменных окружения/токенов облачных сервисов и выполнение команд.

6. Февраль 2026: случай вредоносного ПО на npm (test-npm-style, MAL-2026-771). Публичные записи OSV/GHSA классифицируют затронутые версии как вредоносные и рекомендуют немедленную ротацию секретов.

Безопасность

Пожалуйста, см.

Лицензия

CTWall распространяется под лицензией BSD 3-Clause

Хотите связаться или есть вопросы?

По вопросам обращайтесь по адресу: [email protected]