Dependency Combobulator je sada open-source nástrojů pro boj s útoky typu „záměna závislostí/substituce“. Jde o útoky, které zneužívají veřejné nebo soukromé repozitáře softwarových projektů k matení správce balíčků a vkládání balíčků, které se zdají být závislostí, ale ve skutečnosti jsou určeny k provedení nějakého druhu útoku.
Společnost Apiiro spustila Dependency Combobulator právě proto, aby s tím bojovala. Jedná se o sadu nástrojů schopnou detekovat a předcházet těmto útokům . Tyto útoky byly objeveny v poslední době a jejich počet se zvýšil jako vektor útoku. Jinými slovy, s touto sadou nástrojů se můžete vyhnout těmto typům podvodů se závislostmi, které nakonec instalují škodlivé balíčky (místo správné závislosti, která by měla být nainstalována pro software, který správce balíčků instaluje).
V těchto případech si toho uživatelé nejsou vědomi a důvěřují správci balíčků, který automatizuje správu závislostí . Mohou však nevědomky autorizovat škodlivý kód. Zde se stává zajímavým Dependency Combobulator, který umožňuje vyhodnocovat různé zdroje, jako je GitHub, JFrog Artifactory a další.
Tento nástroj je vyvinut v programovacím jazyce Python a používá heuristický engine , který pracuje na abstraktním modelu balíčku, což umožňuje snadnou rozšiřitelnost. Kromě své flexibility může také pomoci bezpečnostním profesionálům činit lepší rozhodnutí. Lze jej snadno integrovat a spouští se automaticky.
„ Po rozhodnutí bezpečnostního výzkumníka Alexe Birsana narušit ekosystémy spravované společnostmi Apple, Microsoft a PayPal na začátku tohoto roku došlo v tomto odvětví k propuknutí podobných útoků na dodavatelské řetězce ,“ uvedl Moshe Zioni, viceprezident pro bezpečnostní výzkum ve společnosti Apiiro. „ Chtěli jsme reagovat vytvořením sady nástrojů, která dokáže zmírnit podobné hrozby a je dostatečně flexibilní a rozšiřitelná, aby bojovala s budoucími vlnami útoků založených na záměně závislostí. Řešení tohoto vektoru útoku je pro organizace nezbytné k úspěšnému zabezpečení jejich softwarových dodavatelských řetězců .“