Package Analysis恶意软件包分析工具

Package Analysis 是一款识别各类恶意软件的分析工具，可用于捕捉和对抗对开源注册表的恶意攻击。

该工具由开源安全基金会 (OpenSSF)发布，其中包含一些组件来帮助分析开源的软件包，特别是寻找恶意软件。组件包含：

• 调度程序 —— 从 Package Feeds 为分析工作者创建作业。
• 分析（one-shot analyze and worker）—— 通过对每个包的静态和动态分析，来收集包行为数据。
• 加载程序 —— 将分析结果推送到 BigQuery。

在持续不到一个月的测试运行中，Package Analysis 已经能够识别出 200 多个恶意 PyPI 和 npm 组件。下一步的优化计划如下：

• 随着时间的推移，检测包行为的差异；
• 自动处理包分析结果；
• 在处理包时，存储包本身以进行长期分析； 
• 提高管道的可靠性。