Monitor

Todos os dias são descobertos novos problemas de segurança em softwares populares. O Monitor acompanha os que afetam o que os seus sites são feitos e diz o que fazer, em linguagem simples.

De onde vêm os problemas

O Lockpick lê estas fontes públicas o dia todo.

• OSV.dev, uma base aberta de problemas de segurança em pacotes de código aberto. Ela inclui todos os problemas revisados pelo GitHub Advisory Database, e o Lockpick mantém uma cópia completa para pacotes JavaScript (npm) e Python (PyPI), incluindo os relatórios de pacotes maliciosos, que é atualizada a cada hora.
• O GitHub Advisory Database diretamente, com uma checagem rápida a cada hora nos softwares que o Monitor acompanha, para que um problema novo apareça mesmo antes de o OSV.dev copiá-lo.
• A lista Known Exploited Vulnerabilities da CISA, a agência de cibersegurança dos Estados Unidos. Um problema nessa lista é marcado como Explorado ativamente, porque atacantes já o estão usando.
• O EPSS da FIRST, uma previsão diária da probabilidade de cada problema ser explorado nos próximos 30 dias. Um problema entre os 5% mais prováveis é marcado como Provavelmente explorado em breve.
• O Wordfence Intelligence para o núcleo do WordPress, quando está ativado para o seu Lockpick. Os problemas dele trazem o aviso de direitos autorais da Wordfence e um link para os termos dela.
• Os avisos publicados pela Zero Day Initiative, pelos ids, títulos e notas de gravidade.
• O National Vulnerability Database, apenas para uma nota de gravidade quando as outras fontes não a fornecem.

Só a partir de uma verificação, o Monitor acompanha Next.js, React, WordPress, Supabase, Clerk, Stripe, Firebase, Auth0, Sentry, Vue, Shopify, Wix, Squarespace, Webflow, Framer. Quando você envia as versões dos seus pacotes, ele verifica todos os pacotes JavaScript e Python enviados.

Como um problema é associado ao seu site

A sua verificação mais recente de cada site mostra com o que ele é feito, por exemplo Next.js ou WordPress. O Monitor lista um problema para cada site feito com o software afetado.

Uma verificação consegue ver a tecnologia, mas normalmente não a versão exata que o seu site usa. Por isso o Monitor diz que um problema pode afetar você, nunca que o seu site está vulnerável. Se o seu site já usa uma versão corrigida, nada precisa mudar.

Afeta você: envie as versões dos seus pacotes

Para uma resposta exata, envie os nomes e as versões dos pacotes que o código do seu site usa. O Lockpick então confere cada problema com as versões que você realmente usa, e uma correspondência aparece como Afeta você, com a versão que corrige o problema, acima de tudo o que apenas pode afetar você. Um problema do qual as suas versões já estão protegidas sai da sua lista, mesmo que a verificação ainda veja a tecnologia.

Só são enviados nomes de pacotes e versões exatas, nunca o seu código, caminhos de arquivos, hashes ou endereços de registros privados. O Lockpick lê package-lock.json, npm-shrinkwrap.json, pnpm-lock.yaml, yarn.lock, requirements.txt (linhas fixadas) e poetry.lock.

• No terminal, execute npx lockpicks deps <site> na pasta do projeto. Adicione --dry-run para ver exatamente o que seria enviado, e --forget para remover a lista do Lockpick.
• Quando você inicia um Pulse ou verifica de novo a partir de uma pasta de projeto, a CLI pergunta uma vez se deve enviar as versões e lembra a sua resposta para aquela pasta. --lockfile as envia apenas para essa verificação, e --no-lockfile pula o envio.
• Um agente de programação só as envia quando chama lockpick_send_dependencies, depois que você pediu ou concordou.

Cada envio substitui o anterior, então depois de uma atualização envie de novo e os problemas corrigidos desaparecem. Um problema que o Pulse ou o Deep também viram no site no ar é marcado como Visto no site no ar. Enviar exige uma chave com permissão para gerenciar sites (lockpick login --sites) e o direito de gerenciar esse site.

Leia a página do Monitor

Abra Monitor na barra lateral do app. O topo da página mostra quantas tecnologias o Monitor acompanha nos seus sites, quantos problemas foram publicados nesta semana, quantos podem afetar você e, depois que você enviar as versões dos pacotes, quantos afetam você.

Cinco visões definem o que a lista mostra. Assim que você tiver um site, o Monitor abre em Para os seus sites.

• Para os seus sites lista os problemas dos softwares que os seus sites usam. Os problemas que afetam uma versão que você enviou vêm primeiro, depois os mais urgentes: explorados ativamente, depois prováveis de serem explorados em breve, depois por gravidade. Um problema recebe a marcação Pode afetar você quando foi publicado nos últimos 90 dias ou está sendo explorado ativamente, em um site que você ainda não marcou como resolvido.
• Mais recentes lista todos os problemas que o Monitor leu, do mais novo para o mais antigo, estejam ou não os seus sites usando esse software.
• Exploração lista apenas os problemas que os atacantes já estão usando.
• Seguindo lista os problemas das tecnologias que você escolhe seguir para um site. Seguir apenas os adiciona a esta lista. Não envia e-mails urgentes.
• Notícias de segurança lista notícias recentes de segurança, com cada manchete levando à matéria completa.

Pesquise pelo id do aviso, pelo título ou pelo nome do pacote. Filtros restringe a lista por idioma ou plataforma, por tipo (vulnerabilidades ou relatórios de pacotes maliciosos), por gravidade e por quanto tempo para trás olhar. Cobertura das fontes, no final da página, mostra quando o Monitor falou com cada fonte pela última vez.

No seu painel

O topo do seu painel mostra os mesmos problemas de forma resumida.

• Para os seus sites lista até cinco problemas, primeiro os que afetam uma versão que você enviou, depois os que podem afetar você, os mais urgentes primeiro. Cada um abre no Monitor.
• O que está acontecendo mostra notícias recentes de segurança sobre os softwares que os seus sites usam, das publicações de segurança do Node.js e do React, da Vercel, da Cloudflare e da Netlify, do BleepingComputer e do The Hacker News, além dos problemas que a CISA acabou de listar como explorados ativamente. Cada manchete mostra a sua fonte, o título e um pequeno trecho, e leva à matéria completa no site da fonte. O Lockpick nunca copia o artigo.

Os dois aparecem em todos os planos.

Relevante agora em cada site

A Visão geral de cada site começa com Relevante agora: os problemas que importam para aquele site, cada um com uma marcação e no que ela se baseia.

• Afeta você: uma versão de pacote que você enviou é afetada. Mostra a versão e a versão corrigida.
• Pode afetar você: a verificação viu o software, mas não a versão dele.
• Visto em uso: um Pulse ou um Deep encontrou o componente afetado no seu site no ar.
• Explorado ativamente: atacantes já o estão usando.
• Corrigido: uma verificação nova não o encontrou mais, ou você enviou uma lista com a versão corrigida.

As marcações se limpam sozinhas quando uma nova verificação não encontra mais o problema ou você envia uma lista atualizada, e a faixa guarda um pequeno histórico de quando cada marcação apareceu e saiu. A lista de Sites mostra quantos problemas são relevantes para cada site, um achado ligado a um problema conhecido informa o nome dele no cartão, Itens para corrigir pode mostrar apenas esses achados, e Para os seus sites no painel pode mostrar apenas o que afeta você ou o que está sendo explorado ativamente. Assistentes de programação leem as mesmas marcações em lockpick_site_status.

O que cada problema informa

Abra um problema para ver:

• O que aconteceu, em duas frases simples;
• O que fazer, citando a versão corrigida quando a fonte a informa;
• Os seus sites que usam o software afetado;
• a probabilidade de ser explorado em breve (EPSS) e a nota de gravidade (CVSS), quando são conhecidas;
• as fontes originais, com os seus ids, se você ou o seu desenvolvedor quiserem os detalhes.

As explicações em linguagem simples são escritas por um modelo de IA apenas a partir do texto público do aviso, nunca a partir de algo sobre os seus sites. Cada resposta é conferida com a fonte, incluindo cada número de versão citado. Quando a conferência falha, o Monitor usa um texto fixo.

Corrija

• Copiar orientações para sua IA copia instruções para o seu assistente de programação: verificar qual versão o seu código usa, atualizá-la se estiver afetada, rodar os testes e informar o resultado.
• Enviar para meu desenvolvedor abre um e-mail com os mesmos detalhes.
• Marcar como resolvido registra, por site, que o problema foi tratado ali, para que ele saia de Pode afetar você. Desfazer o coloca de volta. Qualquer pessoa que possa revisar os achados de um site pode marcá-lo.

Alertas

Quando um problema novo pode afetar um dos seus sites, todas as pessoas do espaço de trabalho que podem ver os resultados desse site recebem o aviso no sino no topo do app. Ao abri-lo, você vai direto para o problema. Apenas problemas publicados nos últimos 14 dias, ou recém-adicionados à lista de explorados ativamente, enviam um alerta, então ligar o Monitor nunca inunda você com notícias antigas.

O Monitor também envia por e-mail um resumo semanal dos novos problemas, agrupados por site, cerca de 7 dias depois que o primeiro chega. Um novo problema que afeta uma versão que você enviou, e que está sendo explorado ativamente ou é provavelmente explorado em breve, é enviado por e-mail na hora, em todos os planos. Todo e-mail diz o que fazer e leva ao problema no Monitor. Para parar esses e-mails, abra Configurações e depois Notificações, e desligue Novas vulnerabilidades, ou use o link de Cancelar inscrição em qualquer e-mail do Monitor.