Seguridad de la cadena de suministro
SBOM, builds firmados e higiene de dependencias: la base para la Cyber Resilience Act.
Los atacantes entran cada vez más por lo que usa para construir: un paquete envenenado, un mantenedor secuestrado, un script de build manipulado. Aseguramos el camino del código a la release (dependencias fijadas y revisadas, SBOM en cada build, artefactos firmados con procedencia y una CI endurecida) para que pueda demostrar qué hay en su producto y detectar cambios que no deberían ocurrir.
01 / Qué resuelve
Listas de materiales CycloneDX o SPDX generadas automáticamente, versionadas con cada release y listas para clientes y reguladores.
Artefactos e imágenes firmados con Sigstore, con una procedencia que muestra cómo y a partir de qué se construyeron.
Lockfiles, versiones fijadas y una revisión de los paquetes nuevos y sus scripts de instalación antes de que lleguen al build.
Tokens de pipeline con mínimo privilegio, credenciales cloud efímeras, ramas protegidas y alertas ante cambios en archivos de build y configuración.
02 / Stack
Estándar del sector, aburrida en el buen sentido: herramientas con futuro, que el próximo ingeniero también conocerá.
SBOM e inventario
CycloneDX / SPDX
Formatos SBOM estándar
Syft
Generación de SBOM para código e imágenes
Dependency-Track
Inventario de componentes y seguimiento de vulnerabilidades
Firma y procedencia
Sigstore / cosign
Firma sin claves de artefactos e imágenes
SLSA
Niveles de integridad del build y procedencia
in-toto attestations
Declaraciones verificables sobre cada paso del build
Análisis
OSV-Scanner
Vulnerabilidades conocidas en dependencias
Trivy / Grype
Análisis de imágenes y sistemas de archivos
Gitleaks
Secretos que se colaron en el código fuente
CI y repositorios
GitHub Actions / GitLab CI
Actions fijadas, tokens acotados, OIDC hacia la nube
OpenSSF Scorecard
Salud de seguridad de repositorios y dependencias
Renovate / Dependabot
Actualizaciones de dependencias controladas y revisadas
03 / Enfoque
SBOM, análisis y firmas se ejecutan en el pipeline, no en una hoja de cálculo antes de la release.
Una persona revisa las dependencias nuevas y los scripts de instalación; las actualizaciones rutinarias fluyen solas.
Inventario de componentes y gestión de vulnerabilidades alineados con lo que la Cyber Resilience Act espera de los fabricantes.
Los cambios inesperados en scripts de build, configuración y lockfiles generan una alerta en lugar de pasar la revisión.
04 / Estándares
Seguimos estándares del sector y métodos probados en cada proyecto: son los que hacen que el presupuesto se mantenga.
05 / Infraestructura
Buenas preguntas
Respuestas directas a lo que preguntan los clientes antes de empezar.
Un ataque que te llega a través de algo con lo que construyes y no de tu propio código: un paquete comprometido o con typosquatting, la cuenta secuestrada de un mantenedor, una herramienta de build manipulada o un secreto de CI. Varios ataques de este tipo en los últimos años distribuyeron malware a través de scripts de instalación y configuración de build.
Trabajo relacionado
Proyectos y productos nuestros en los que intervino este servicio.
Start
Cuéntenos cómo construye y publica hoy. Un ingeniero sénior le responde con un alcance y un precio honestos.
Let’s manage Ver seguridad IoT
