Il runtime di Node.js è un ambiente di esecuzione JavaScript che opera al di fuori del browser. Combina il motore V8 con API di sistema per file, rete, processi e altre attività del sistema operativo, consentendo a JavaScript di comportarsi come una vera piattaforma applicativa completa. Gli sviluppatori lo usano per creare server, strumenti di automazione, agenti di aggiornamento e utilità da riga di comando.
Nella sicurezza informatica, Node.js è importante perché le stesse funzionalità che lo rendono utile lo rendono anche attraente per gli aggressori. Il malware può includere un runtime di Node.js per eseguire script su una macchina vittima senza bisogno di un browser, e i difensori possono vedere la logica JavaScript nascosta all'interno di artefatti impacchettati o compilati invece che in codice sorgente leggibile. Questo può rallentare il triage e richiedere analisi runtime, strumenti corrispondenti alla versione e monitoraggio basato sull'host. Sul fronte difensivo, i log di Node.js, il comportamento dei processi, le connessioni in uscita e l'esecuzione inaspettata di script sono segnali utili per individuare attività sospette.