Sécurité de la chaîne d’approvisionnement
SBOM, builds signés et hygiène des dépendances : les fondations pour le Cyber Resilience Act.
Les attaquants passent de plus en plus par ce avec quoi vous construisez : un paquet empoisonné, un mainteneur compromis, un script de build altéré. Nous sécurisons le chemin du code à la release (dépendances épinglées et revues, SBOM à chaque build, artefacts signés avec provenance et CI durcie) pour que vous puissiez prouver ce que contient votre produit et repérer ce qui change alors que cela ne devrait pas.
01 / Ce que cela résout
Des nomenclatures CycloneDX ou SPDX générées automatiquement, versionnées à chaque release et prêtes pour vos clients et les régulateurs.
Artefacts et images signés avec Sigstore, avec une provenance qui montre comment et à partir de quoi ils ont été construits.
Lockfiles, versions épinglées et revue des nouveaux paquets et de leurs scripts d’installation, avant qu’ils n’atteignent le build.
Jetons de pipeline au moindre privilège, identifiants cloud éphémères, branches protégées et alertes sur les changements des fichiers de build et de configuration.
02 / Stack
Standard du secteur, ennuyeux dans le bon sens : des outils d’avenir, que le prochain ingénieur connaîtra aussi.
SBOM et inventaire
CycloneDX / SPDX
Formats SBOM standard
Syft
Génération de SBOM pour le code et les images
Dependency-Track
Inventaire des composants et suivi des vulnérabilités
Signature et provenance
Sigstore / cosign
Signature sans clé des artefacts et images
SLSA
Niveaux d’intégrité du build et provenance
in-toto attestations
Déclarations vérifiables sur chaque étape du build
Analyse
OSV-Scanner
Vulnérabilités connues dans les dépendances
Trivy / Grype
Analyse des images et systèmes de fichiers
Gitleaks
Secrets glissés dans le code source
CI et dépôts
GitHub Actions / GitLab CI
Actions épinglées, jetons restreints, OIDC vers le cloud
OpenSSF Scorecard
Santé sécurité des dépôts et dépendances
Renovate / Dependabot
Mises à jour de dépendances contrôlées et revues
03 / Approche
SBOM, analyses et signatures tournent dans le pipeline, pas dans un tableur avant la release.
Une personne examine les nouvelles dépendances et scripts d’installation ; les mises à jour courantes passent automatiquement.
Inventaire des composants et gestion des vulnérabilités alignés sur ce que le Cyber Resilience Act attend des fabricants.
Les modifications inattendues des scripts de build, fichiers de configuration et lockfiles déclenchent une alerte au lieu de passer la revue.
04 / Standards
Nous respectons les standards du secteur et des méthodes éprouvées sur chaque projet : c’est ce qui fait tenir le devis.
05 / Infrastructure
Bonnes questions
Des réponses franches aux questions posées avant de démarrer.
Une attaque qui vous atteint par ce avec quoi vous construisez plutôt que par votre propre code : un paquet compromis ou en typosquatting, le compte détourné d’un mainteneur, un outil de build ou un secret de CI altéré. Plusieurs attaques de ce type ces dernières années ont diffusé des logiciels malveillants via des scripts d’installation et la configuration de build.
Réalisations liées
Nos projets et produits qui ont mobilisé ce service.
Start
Dites-nous comment vous construisez et publiez aujourd’hui. Un ingénieur senior vous répond avec un périmètre et un prix honnêtes.
Let’s manage Voir la sécurité IoT
