Monitor

Jeden Tag werden neue Sicherheitsprobleme in beliebter Software gefunden. Monitor achtet auf die, die betreffen, womit deine Websites gebaut sind, und sagt dir in einfachen Worten, was zu tun ist.

Woher die Probleme kommen

Lockpick liest diese öffentlichen Quellen den ganzen Tag.

• OSV.dev, eine offene Datenbank mit Sicherheitsproblemen in Open-Source-Paketen. Sie enthält jedes Problem, das die GitHub Advisory Database geprüft hat. Lockpick hält für JavaScript- (npm) und Python-Pakete (PyPI) eine vollständige Kopie vor, einschließlich der Meldungen zu schädlichen Paketen, und aktualisiert sie jede Stunde.
• Die GitHub Advisory Database direkt, mit einer Schnellprüfung jede Stunde für die Software, der Monitor folgt, damit ein neues Problem auch erscheint, bevor OSV.dev es übernimmt.
• Die Liste Known Exploited Vulnerabilities der CISA, der US-amerikanischen Cybersicherheitsbehörde. Ein Problem auf dieser Liste wird als Aktiv ausgenutzt markiert, weil Angreifer es bereits nutzen.
• EPSS von FIRST, eine tägliche Vorhersage, wie wahrscheinlich ein Problem in den nächsten 30 Tagen ausgenutzt wird. Ein Problem in den obersten 5 % wird als Wird voraussichtlich bald ausgenutzt markiert.
• Wordfence Intelligence für den WordPress-Kern, wenn es für dein Lockpick aktiviert ist. Seine Probleme tragen den Copyright-Hinweis von Wordfence und einen Link zu den Bedingungen.
• Zero Day Initiative-Hinweise, für ihre IDs, Titel und Schweregrade.
• Die National Vulnerability Database, nur für einen Schweregrad, wenn die anderen Quellen keinen liefern.

Allein aus einem Scan folgt Monitor Next.js, React, WordPress, Supabase, Clerk, Stripe, Firebase, Auth0, Sentry, Vue, Shopify, Wix, Squarespace, Webflow, Framer. Wenn du deine Paketversionen sendest, prüft er jedes JavaScript- und Python-Paket darin.

So wird ein Problem deiner Website zugeordnet

Dein letzter Scan jeder Website zeigt, womit sie gebaut ist, zum Beispiel Next.js oder WordPress. Monitor führt ein Problem für jede Website auf, die mit der betroffenen Software gebaut ist.

Ein Scan kann die Technologie erkennen, aber meist nicht, welche Version deine Website nutzt. Deshalb sagt Monitor, dass ein Problem Könnte dich betreffen, nie, dass deine Website verwundbar ist. Wenn deine Website schon eine korrigierte Version nutzt, muss nichts geändert werden.

Betrifft dich: sende deine Paketversionen

Für eine genaue Antwort sende die Paketnamen und Versionen, die der Code deiner Website verwendet. Lockpick prüft dann jedes Problem gegen die Versionen, die du tatsächlich nutzt. Ein Treffer heißt Betrifft dich und nennt die Version, die das behebt. Er steht über allem, was dich nur betreffen könnte. Ein Problem, gegen das deine Versionen bereits sicher sind, verschwindet von deiner Liste, auch wenn der Scan die Technologie weiterhin sieht.

Gesendet werden nur Paketnamen und genaue Versionen, nie dein Code, Dateipfade, Hashes oder private Registry-Adressen. Lockpick liest package-lock.json, npm-shrinkwrap.json, pnpm-lock.yaml, yarn.lock, requirements.txt (Zeilen mit festen Versionen) und poetry.lock.

• Führe im Terminal im Projektordner npx lockpicks deps <site> aus. Füge --dry-run hinzu, um genau zu sehen, was gesendet würde, und --forget, um die Liste aus Lockpick zu entfernen.
• Wenn du aus einem Projektordner einen Pulse startest oder erneut prüfst, fragt die CLI einmal, ob sie die Versionen senden soll, und merkt sich deine Antwort für diesen Ordner. --lockfile sendet sie nur für diesen Scan, --no-lockfile überspringt sie.
• Ein Coding-Agent sendet sie nur, wenn er lockpick_send_dependencies aufruft, nachdem du darum gebeten oder zugestimmt hast.

Jedes Senden ersetzt das vorherige. Sende nach einem Upgrade deshalb erneut, dann verschwinden die behobenen Probleme. Ein Problem, das Pulse oder Deep auch auf der Live-Website gesehen hat, wird als Auf der Live-Website gesehen markiert. Zum Senden brauchst du einen Schlüssel, der Websites verwalten darf (lockpick login --sites), und das Verwaltungsrecht für diese Website.

Die Monitor-Seite lesen

Öffne Monitor in der Seitenleiste der App. Oben auf der Seite siehst du, wie viele Technologien Monitor über deine Websites hinweg beobachtet, wie viele Probleme diese Woche veröffentlicht wurden, wie viele dich betreffen könnten und, sobald du Paketversionen gesendet hast, wie viele dich betreffen.

Fünf Ansichten bestimmen, was die Liste zeigt. Sobald du eine Website hast, öffnet Monitor auf Für deine Websites.

• Für deine Websites listet die Probleme in der Software auf, die deine Websites nutzen. Probleme, die eine Version betreffen, die du gesendet hast, stehen zuerst, dann die dringendsten: aktiv ausgenutzt, dann voraussichtlich bald ausgenutzt, dann nach Schweregrad. Ein Problem trägt die Markierung Könnte dich betreffen, wenn es in den letzten 90 Tagen veröffentlicht wurde oder aktiv ausgenutzt wird, auf einer Website, die du nicht als erledigt markiert hast.
• Neueste Meldungen listet jedes Problem auf, das Monitor gelesen hat, das neueste zuerst, egal ob deine Websites diese Software nutzen.
• Ausnutzung listet nur die Probleme auf, die Angreifer bereits nutzen.
• Gefolgt listet Probleme in Technologien auf, denen du für eine Website folgst. Gefolgt zu sein fügt sie nur dieser Liste hinzu. Es werden keine dringenden E-Mails verschickt.
• Sicherheitsmeldungen listet aktuelle Sicherheitsnachrichten auf, jede Schlagzeile verlinkt auf die ganze Geschichte.

Suche nach Advisory-ID, Titel oder Paketnamen. Filter grenzen die Liste ein nach Sprache oder Plattform, nach Art (Schwachstellen oder Meldungen zu schädlichen Paketen), nach Schweregrad und danach, wie weit zurückgeschaut wird. Quellenabdeckung am Ende der Seite zeigt, wann Monitor zuletzt von jeder Quelle gehört hat.

Auf deinem Dashboard

Oben auf deinem Dashboard siehst du dieselben Probleme in Kurzform.

• Für deine Websites listet bis zu fünf Probleme auf: zuerst die, die eine Version betreffen, die du gesendet hast, dann die, die dich betreffen könnten, jeweils die dringendsten zuerst. Jedes öffnet sich in Monitor.
• Was gerade passiert zeigt aktuelle Sicherheitsnachrichten zur Software, die deine Websites nutzen, aus den Sicherheitsbeiträgen von Node.js und React, Vercel, Cloudflare und Netlify, BleepingComputer und The Hacker News, dazu Probleme, die die CISA gerade als aktiv ausgenutzt gelistet hat. Jede Schlagzeile zeigt ihre Quelle, ihren Titel und einen kurzen Anreißer und verlinkt auf die ganze Geschichte auf der Seite der Quelle. Lockpick kopiert den Artikel nie.

Beides gibt es in jedem Tarif.

Jetzt relevant auf jeder Website

Die Übersicht jeder Website beginnt mit Jetzt relevant: den Problemen, die für diese Website zählen, jeweils mit einer Markierung und der Grundlage.

• Betrifft dich: eine Paketversion, die du gesendet hast, ist betroffen. Sie zeigt die Version und die Version, die es behebt.
• Könnte dich betreffen: der Scan hat die Software gesehen, aber nicht ihre Version.
• Live beobachtet: ein Pulse- oder Deep-Scan hat die betroffene Komponente auf deiner Live-Website gefunden.
• Aktiv ausgenutzt: Angreifer nutzen es bereits.
• Behoben: ein neuer Scan hat es nicht mehr gefunden, oder du hast eine Liste mit der behobenen Version gesendet.

Markierungen verschwinden von selbst, wenn ein neuer Scan das Problem nicht mehr findet oder du eine aktualisierte Liste sendest. Die Leiste behält einen kurzen Verlauf, wann jede Markierung erschien und verschwand. Die Liste der Websites zeigt, wie viele Probleme für jede Website relevant sind. Eine Feststellung, die mit einem bekannten Problem verknüpft ist, nennt es auf ihrer Karte. Zu beheben kann nur diese Feststellungen zeigen, und Für deine Websites auf dem Dashboard kann nur zeigen, was dich betrifft oder aktiv ausgenutzt wird. Coding-Assistenten lesen dieselben Markierungen in lockpick_site_status.

Was dir jedes Problem sagt

Öffne ein Problem, um zu sehen:

• Was passiert ist, in zwei einfachen Sätzen;
• Was zu tun ist, mit dem Namen der korrigierten Version, wenn die Quelle eine angibt;
• Deine Websites, die die betroffene Software nutzen;
• wie wahrscheinlich es bald ausgenutzt wird (EPSS) und sein Schweregrad (CVSS), wenn sie bekannt sind;
• die ursprünglichen Quellen mit ihren IDs, wenn du oder dein Entwicklerteam die Details möchtet.

Die einfachen Worte schreibt ein KI-Modell nur aus dem öffentlichen Advisory-Text, nie aus irgendetwas über deine Websites. Jede Antwort wird gegen die Quelle geprüft, einschließlich jeder Versionsnummer, die sie nennt. Schlägt eine Prüfung fehl, verwendet Monitor stattdessen einen festen Wortlaut.

Beheben lassen

• Anleitung für deine KI kopieren kopiert Anweisungen für deinen Coding-Assistenten: prüfe, welche Version dein Code nutzt, aktualisiere sie, wenn sie betroffen ist, führe die Tests aus und berichte zurück.
• An mein Entwicklerteam senden öffnet eine E-Mail mit denselben Details.
• Als erledigt markieren hält pro Website fest, dass das Problem dort erledigt ist, sodass es aus Könnte dich betreffen verschwindet. Rückgängig setzt es zurück. Jeder, der die Feststellungen einer Website prüfen kann, darf es markieren.

Warnungen

Wenn ein neues Problem eine deiner Websites betreffen könnte, erhält jeder im Arbeitsbereich, der die Ergebnisse dieser Website sehen kann, es in der Glocke oben in der App. Ein Klick darauf führt dich direkt zum Problem. Nur Probleme, die in den letzten 14 Tagen veröffentlicht wurden oder neu auf die Liste der aktiv ausgenutzten Probleme gekommen sind, lösen eine Warnung aus. So überflutet dich Monitor nie mit alten Neuigkeiten, wenn du es einschaltest.

Monitor schickt dir außerdem eine wöchentliche Zusammenfassung neuer Probleme, nach Websites gruppiert, etwa 7 Tage nachdem das erste eingetroffen ist. Ein neues Problem, das eine Version betrifft, die du gesendet hast, und aktiv ausgenutzt wird oder voraussichtlich bald ausgenutzt wird, wird stattdessen sofort per E-Mail gemeldet, in jedem Tarif. Jede E-Mail sagt, was zu tun ist, und verlinkt auf das Problem in Monitor. Um diese E-Mails zu stoppen, öffne Einstellungen und dann Benachrichtigungen und schalte Neue Schwachstellen aus, oder nutze den Link Abmelden in einer Monitor-E-Mail.