Безпека ланцюга постачання
SBOM, підписані збірки й гігієна залежностей — основа для Cyber Resilience Act.
Атакувальники дедалі частіше заходять через те, з чого ви будуєте: отруєний пакет, захоплений акаунт мейнтейнера, підмінений скрипт збірки. Ми захищаємо шлях від коду до релізу — закріплені й перевірені залежності, SBOM у кожній збірці, підписані артефакти з provenance і захищений CI, — щоб ви могли довести, що всередині продукту, і помітити зміну, якої не мало бути.
01 / Що це вирішує
Переліки компонентів у форматі CycloneDX або SPDX генеруються автоматично, версіонуються з кожним релізом і готові для клієнтів та регуляторів.
Артефакти й образи контейнерів підписані через Sigstore, а provenance показує, як і з чого їх зібрано.
Lock-файли, закріплені версії й перевірка нових пакетів та їхніх install-скриптів — ще до того, як вони потраплять у збірку.
Мінімальні права для токенів пайплайна, короткоживучі хмарні облікові дані, захищені гілки й сповіщення про зміни файлів збірки й конфігурації.
02 / Стек
Галузеві стандарти, нудні у хорошому сенсі: інструменти з майбутнім, які знатиме й наступний інженер.
SBOM та інвентаризація
CycloneDX / SPDX
Стандартні формати SBOM
Syft
Генерація SBOM для коду й образів
Dependency-Track
Облік компонентів і відстеження вразливостей
Підписування й provenance
Sigstore / cosign
Підписування артефактів і образів без ключів
SLSA
Рівні цілісності збірки й provenance
in-toto attestations
Перевірювані твердження про кожен крок збірки
Сканування
OSV-Scanner
Відомі вразливості в залежностях
Trivy / Grype
Сканування образів і файлових систем
Gitleaks
Секрети, що потрапили у вихідний код
CI та репозиторії
GitHub Actions / GitLab CI
Закріплені actions, обмежені токени, OIDC до хмари
OpenSSF Scorecard
Стан безпеки репозиторіїв і залежностей
Renovate / Dependabot
Контрольовані, перевірені оновлення залежностей
03 / Підхід
SBOM, сканування й підписи працюють у пайплайні, а не в таблиці перед релізом.
Людина дивиться на нові залежності та install-скрипти, а рутинні оновлення проходять автоматично.
Облік компонентів і обробка вразливостей, які відповідають тому, чого Cyber Resilience Act очікує від виробників.
Неочікувані зміни скриптів збірки, конфігів і lock-файлів викликають сповіщення, а не проскакують повз рев’ю.
04 / Стандарти
У кожному проєкті ми дотримуємося галузевих стандартів і перевірених методів. Саме завдяки їм оцінка залишається реалістичною.
05 / Інфраструктура
Слушні питання
Прямі відповіді на те, що клієнти питають перед стартом.
Атака, яка доходить до вас не через ваш власний код, а через те, з чим ви будуєте: скомпрометований або підробний (typo-squatted) пакет, викрадений акаунт мейнтейнера, підмінений інструмент збірки чи секрет CI. Кілька таких атак останніми роками доставляли шкідливий код через інсталяційні скрипти й конфігурацію збірки.
Пов’язані роботи
Наші проєкти й продукти, у яких була ця послуга.
Start
Розкажіть, як ви зараз збираєте й випускаєте продукт. Старший інженер відповість чесною оцінкою обсягу й ціни.
Let’s manage Безпека IoT
