Bezpieczeństwo łańcucha dostaw
SBOM, podpisane buildy i higiena zależności – podstawa pod Cyber Resilience Act.
Atakujący coraz częściej wchodzą przez to, czym budujecie: zatruty pakiet, przejęte konto maintainera, podmieniony skrypt builda. Zabezpieczamy drogę od kodu do wydania – przypięte i sprawdzone zależności, SBOM w każdym buildzie, podpisane artefakty z provenance i utwardzone CI – abyście mogli udowodnić, co jest w produkcie, i zauważyć zmianę, której nie powinno być.
01 / Co to rozwiązuje
Listy komponentów CycloneDX lub SPDX generowane automatycznie, wersjonowane z każdym wydaniem i gotowe dla klientów oraz regulatorów.
Artefakty i obrazy podpisane przez Sigstore, z provenance pokazującym, jak i z czego zostały zbudowane.
Lockfile’e, przypięte wersje i przegląd nowych pakietów oraz ich skryptów instalacyjnych, zanim trafią do builda.
Tokeny pipeline’u z minimalnymi uprawnieniami, krótkotrwałe poświadczenia chmurowe, chronione gałęzie i alerty przy zmianach plików builda i konfiguracji.
02 / Stos
Standardy branżowe, nudne w dobrym sensie: narzędzia z przyszłością, które będzie znał także następny inżynier.
SBOM i inwentaryzacja
CycloneDX / SPDX
Standardowe formaty SBOM
Syft
Generowanie SBOM dla kodu i obrazów
Dependency-Track
Inwentarz komponentów i śledzenie podatności
Podpisy i provenance
Sigstore / cosign
Bezkluczowe podpisywanie artefaktów i obrazów
SLSA
Poziomy integralności builda i provenance
in-toto attestations
Weryfikowalne deklaracje dla każdego kroku builda
Skanowanie
OSV-Scanner
Znane podatności w zależnościach
Trivy / Grype
Skanowanie obrazów i systemów plików
Gitleaks
Sekrety, które trafiły do kodu źródłowego
CI i repozytoria
GitHub Actions / GitLab CI
Przypięte actions, ograniczone tokeny, OIDC do chmury
OpenSSF Scorecard
Kondycja bezpieczeństwa repozytoriów i zależności
Renovate / Dependabot
Kontrolowane, sprawdzone aktualizacje zależności
03 / Podejście
SBOM, skany i podpisy działają w pipeline, a nie w arkuszu przed wydaniem.
Człowiek przegląda nowe zależności i skrypty instalacyjne, a rutynowe aktualizacje przechodzą automatycznie.
Inwentarz komponentów i obsługa podatności zgodne z tym, czego Cyber Resilience Act oczekuje od producentów.
Nieoczekiwane zmiany w skryptach builda, konfiguracji i lockfile’ach wywołują alert, zamiast prześlizgnąć się przez przegląd.
04 / Standardy
Trzymamy się standardów branżowych i sprawdzonych metod w każdym projekcie – to właśnie dzięki nim wycena pozostaje realistyczna.
05 / Infrastruktura
Dobre pytania
Konkretne odpowiedzi na pytania klientów przed startem.
To atak, który dociera do was nie przez wasz własny kod, lecz przez coś, czego używacie do budowania: przejęty lub podszywający się (typosquatting) pakiet, przejęte konto opiekuna, zmanipulowane narzędzie do budowania albo sekret CI. Kilka takich ataków w ostatnich latach dostarczało złośliwe oprogramowanie przez skrypty instalacyjne i konfigurację buildów.
Powiązane realizacje
Nasze projekty i produkty, w których była ta usługa.
Start
Opowiedzcie, jak dziś budujecie i wydajecie produkt. Senior inżynier odpowie z uczciwym zakresem i ceną.
Let’s manage Zobaczcie bezpieczeństwo IoT
