तपाईले निर्भरताहरूको सुरक्षा कसरी प्रबन्ध गर्नुहुन्छ?

Question

Accepted Answer

आधुनिक अनुप्रयोगहरूले धेरै **तृतीय-पक्ष निर्भरताहरू** (लाइब्रेरी, प्याकेज) प्रयोग गर्छन्, जसमा **कमजोरीहरू** हुन सक्छन् वा दुर्भावनापूर्ण हुन सक्छन्। निर्भरता सुरक्षा प्रबन्ध गर्नु — स्क्यान गर्नु, अद्यावधिक गर्नु, र जाँच गर्नु — महत्त्वपूर्ण छ, किनकि कमजोर निर्भरताहरू साधारण आक्रमण भेक्टर हो (OWASP)।

## जोखिम: निर्भरताहरू तपाईको आक्रमण सतहको अंश हुन्

```text
Apps depend on MANY third-party packages (and their transitive dependencies):
  → a vulnerability in ANY dependency is a vulnerability in YOUR app
  → "using components with known vulnerabilities" is an OWASP Top 10 risk
  → MALICIOUS packages (typosquatting, compromised packages) — supply chain attacks
→ you're trusting/running a lot of code you didn't write.
```

## निर्भरता सुरक्षा प्रबन्ध गर्नु

```text
✓ SCAN dependencies for known vulnerabilities (SCA tools): npm audit, Dependabot, Snyk,
  OWASP Dependency-Check → integrate into CI (catch per change)
✓ KEEP DEPENDENCIES UPDATED → patch known vulnerabilities (but test updates)
✓ AUTOMATE → Dependabot/Renovate open PRs for vulnerable/outdated deps
✓ MONITOR → vulnerability databases / alerts for your dependencies
```

## जाँच र आपूर्ति श्रृंखला सुरक्षा

```text
✓ VET dependencies before adding → popularity, maintenance, reputation (avoid abandoned/
  sketchy packages); minimize dependencies (fewer = smaller attack surface)
✓ Beware TYPOSQUATTING (malicious packages with names similar to popular ones)
✓ LOCK versions (lockfiles) for reproducible builds; verify integrity
✓ SBOM (software bill of materials) → know what's in your software
→ Supply chain security is increasingly critical (attacks on the dependency chain).
```

## यो किन महत्त्वपूर्ण छ

निर्भरता सुरक्षा बुझ्नु महत्त्वपूर्ण छ किनकि **आधुनिक अनुप्रयोगहरू तीन-पक्षीय कोडमा भरपर छन् जो तिनको आक्रमण सतहको अंश हो**, र कमजोर निर्भरताहरू साधारण, मान्यता प्राप्त जोखिम हो, त्यसकारण यो मूल्यवान सुरक्षा ज्ञान हो।

अनुप्रयोगहरूले धेरै निर्भरताहरू (र तिनका सकर्मक निर्भरताहरू) प्रयोग गर्छन्, अर्थ **कुनै पनि निर्भरतामा एक कमजोरी तपाईको अनुप्रयोगमा कमजोरी हो** — र "ज्ञात कमजोरीहरू भएका घटकहरू प्रयोग गर्नु" एक OWASP Top 10 जोखिम हो, जबकि दुर्भावनापूर्ण प्याकेजहरू (टाइपोस्क्वाटिङ, समझौता गरिएको प्याकेज) बढ्दो आपूर्ति-श्रृंखला खतरा प्रतिनिधित्व गर्छन्।

तपाईले विश्वास गर्दै र तपाईले लेख्न नभएको कोडको लामो मात्रा चलाइरहेको हुनाले, निर्भरता सुरक्षा प्रबन्ध गर्नु आवश्यक छ।

यो **प्रबन्ध गर्ने** तरिका बुझ्नु — **निर्भरताहरू स्क्यान गर्नु** ज्ञात कमजोरीहरूका लागि (SCA उपकरणहरू जस्तै npm audit, Dependabot, र Snyk सहित, प्रति परिवर्तन समस्याहरू पक्डने गरी CI मा एकीकृत), **निर्भरताहरू अद्यावधिक रखेर** (ज्ञात कमजोरीहरू प्याच गर्दै, अद्यावधिकहरू परीक्षण गरेर), **प्रक्रिया स्वचालित गर्दै** (Dependabot/Renovate PRहरू खोलेर), र **कमजोरी सतर्कताहरू निगरानी गर्दै** — निर्भरताहरू सुरक्षित रखने व्यावहारिक दृष्टिकोण हो।

**जाँच र आपूर्ति श्रृंखला सुरक्षा** बुझ्नु — निर्भरताहरू जोड्नु अघि जाँच गर्नु (लोकप्रियता, रखरखाव, र प्रतिष्ठा जाँच गरेर परित्यक्त वा संदिग्ध प्याकेजहरू बचाउन), निर्भरताहरू न्यूनतम गर्नु (सानो आक्रमण सतह), **टाइपोस्क्वाटिङ** (दुर्भावनापूर्ण समान प्याकेज) को बारेमा सावधान रहनु, पुनरुत्पादनता को लागि संस्करणहरू लक गर्नु, र SBOM प्रयोग गरेर तपाईको सफ्टवेयरमा के छ भनेर जानु — क्रमशः बढ्दो महत्त्वपूर्ण आपूर्ति-श्रृंखला सुरक्षा चिन्ता को जागरुकता प्रतिबिम्बित गर्छ (निर्भरता श्रृंखलालाई लक्ष्य गरी हमलाहरू एक प्रमुख खतरा बन्न आएको छ)।

आधुनिक अनुप्रयोगहरू तीन-पक्षीय कोडमा भरपर छन् (तिनको आक्रमण सतहको एक महत्त्वपूर्ण अंश) र कमजोर वा दुर्भावनापूर्ण निर्भरताहरू साधारण, बढ्दो जोखिम हो, र निर्भरता सुरक्षा प्रबन्ध गर्नु (स्क्यान गर्नु, अद्यावधिक गर्नु, जाँच गर्नु, आपूर्ति-श्रृंखला जागरुकता) यो समस्या समाधान गर्न आवश्यक हुनाले, निर्भरता सुरक्षा बुझ्नु मूल्यवान, व्यावहारिक प्रासंगिकता सुरक्षा ज्ञान हो — आधुनिक निर्भरता-भारी अनुप्रयोगको वास्तविकता को लागि महत्त्वपूर्ण, मान्यता प्राप्त OWASP जोखिम र बढ्दो आपूर्ति-श्रृंखला खतरा समाधान गरदै, र तपाईको अनुप्रयोगले निर्भर गरेको तीन-पक्षीय कोडलाई सुरक्षा दায়िताबाट रक्षा गर्न आवश्यक।