Một thư viện bạn dùng bị công bố lỗ hổng nghiêm trọng lúc 2 giờ sáng. Quy trình của bạn là gì?

Log4Shell là ví dụ đáng học vì nó cho thấy phần khó nằm ở đâu: rất nhiều đội mất nhiều ngày chỉ để trả lời câu hỏi “chúng ta có dùng log4j không”, vì nó là dependency gián tiếp qua ba tầng. Có SBOM sinh tự động lúc build biến câu hỏi đó từ nhiều ngày thành vài phút. Đó là khoản đầu tư chỉ đáng giá khi khủng hoảng xảy ra, nên nó luôn bị hoãn cho tới lần khủng hoảng đầu tiên.

Ngoài CVE còn một rủi ro khác đang tăng: gói bị chiếm quyền. Tài khoản tác giả bị lộ, một phiên bản mới có mã độc được phát hành, và mọi build chạy npm install với dải phiên bản rộng sẽ kéo về. Cách phòng thực dụng là ghim phiên bản bằng lockfile và dùng npm ci thay vì npm install trong CI, cộng với độ trễ có chủ đích trước khi nâng lên bản mới nhất — phần lớn gói độc bị phát hiện trong vòng vài giờ tới vài ngày.

Điều đáng nói ở mức senior là chính sách chứ không phải công cụ: ai được thêm dependency mới, tiêu chí là gì (số người bảo trì, tần suất phát hành, có bao nhiêu dependency gián tiếp), và bao lâu thì rà soát lại. Mỗi gói thêm vào là một bề mặt tấn công và một khoản nợ bảo trì; đội nào coi npm install là quyết định chứ không phải phản xạ sẽ có ít việc phải làm lúc 2 giờ sáng hơn nhiều.