Համապատասխանության տարածված թերությունները Software Supply Chain Security

Հայտնի է software supply chain security շրջանակներն

Ինչպես նախկինում նշվեց, բազմաթիվ software supply chain security շրջանակները գոյություն ունեն այսօր։ Ահա մի քանի ակնառու օրինակներ՝

1. Ծրագրային արտեֆակտների մատակարարման շղթայի մակարդակներ (SLSA)

Մշակված է Google-ի կողմից, SLSA սահմանում է բազմամակարդակ շրջանակ՝ մատակարարման շղթայում ծրագրային արտեֆակտների ամբողջականությունն ու ծագումնաբանությունն ապահովելու համար: Յուրաքանչյուր մակարդակ առաջարկում է առանձին անվտանգության երաշխիքներ՝ սկսած հիմնական ստորագրումից մինչև վերարտադրելի կառուցվածքների հավաստագրումներ և կրիպտոգրաֆիկ ստուգում: Այն հարմար է այն կազմակերպությունների համար, որոնք փնտրում են ճկուն և մանրամասն մոտեցում իրենց ծրագրային ապահովման մատակարարման շղթան ապահովելու համար:

SLSA-ի հիմնական մակարդակները՝

• Մակարդակ 1 (Հիմնական ստորագրում): Ավելացնում է արտեֆակտներին հիմնական ստորագրություն՝ հաստատելով սեփականության իրավունքը և կանխելով կեղծումը։
• Մակարդակ 2 (Վերարտադրելի կառուցվածքներ): Ապահովում է հետևողական և ստուգելի կառուցվածքներ տարբեր միջավայրերում՝ գրանցված ծագման տեղեկատվությամբ։
• Մակարդակ 3 (Գաղտնագրական ստուգում): Ապահովում է կառուցվածքների և կախվածությունների կրիպտոգրաֆիկ ստուգում՝ առաջարկելով իսկության ուժեղ երաշխիքներ։
• Մակարդակ 4 (Բարելավված ստորագրություն և վավերացումներ): Ներդրում է առաջադեմ ստորագրման և հավաստագրման համակարգեր՝ առավելագույն անվտանգության և կեղծման հայտնաբերման համար։

2. CIS Software Supply Chain Security հաշվիչ համակարգի արագագործությունը որոշող մեքենայակ. ծրագիր

Մշակված է Ինտերնետային անվտանգության կենտրոն (CIS), անվտանգության ուղեցույցների վստահելի աղբյուր, այս չափանիշը կառուցվածքային մոտեցում է տրամադրում ծրագրային ապահովման մատակարարման շղթաների անվտանգությանը: Այն առաջարկում է կարգադրական առաջարկություններ հինգ հիմնական փուլերի համար.

• Աղբյուրի կոդը: Պաշտպանեք ձեր կոդի բազան չարտոնված մուտքից և փոփոխություններից։
• Կառուցեք ամբողջականություն. Ապահովեք կառուցման գործընթացների և արտեֆակտների ամբողջականությունը։
• Կախվածության կառավարում. Անվտանգ կերպով կառավարեք և ստուգեք երրորդ կողմի ծրագրային կախվածությունները։
• Թողարկման ամբողջականությունը՝ Պաշտպանեք ծրագրային ապահովման թողարկումները կեղծումից և չարտոնված տարածումից։
• Տեղակայման ամբողջականություն՝ Կիրառել անվտանգ մեթոդներ ծրագրային ապահովումը արտադրական միջավայրերում տեղակայելու համար։

Ավելի քան 100 առաջարկություններով՝ սկսած հիմնական հիգիենայից մինչև առաջադեմ վերահսկողություն, CIS Benchmark-ը նախատեսված է բոլոր չափերի և տեխնիկական փորձագիտության կազմակերպությունների համար: Դրա ճկուն և հարմարվողական բնույթը թույլ է տալիս հարմարեցվել տարբեր մշակման միջավայրերին և տեխնոլոգիաներին:

3. OWASP ծրագրային բաղադրիչի ստուգում Standard

SCVS-ը զարգացող շրջանակ է, որը մշակվել է Բաց վեբ հավելվածների անվտանգության նախագիծ (OWASP)Այն նպատակ ունի ստեղծել standardմատակարարման շղթայում ծրագրային բաղադրիչների ամբողջականությունն ու ծագումը ստուգելու համար նախատեսված մոտեցում: Այս շրջանակը տրամադրում է գործողությունների, վերահսկողության և լավագույն փորձի մի շարք, որոնք կարող են օգնել կազմակերպություններին.

• Ստացեք ավելի մեծ տեսանելիություն և վերահսկողություն իրենց ծրագրային բաղադրիչների նկատմամբ։
• Նախաձեռնողաբար նույնականացրեք և մեղմացրեք անվտանգության խոցելիությունները, նախքան դրանք կդառնան շահագործումներ։
• Համապատասխանեցրեք իրենց գործելակերպը ոլորտի լավագույն փորձին և standards.

4.OpenSSF OSԱՆOSԵՐ

Այս կամավոր ինքնագնահատման ծրագիրը հնարավորություն է տալիս բաց կոդով նախագծերին ցուցադրել իրենց commitանվտանգությանը և բարելավել իրենց անվտանգության դիրքը: Հետևելով լավագույն փորձին այնպիսի հիմնական ոլորտներում, ինչպիսիք են կախվածությունների կառավարումը, ամբողջականության ստեղծումը և թողարկման ստորագրումը, նախագծերը կարող են վաստակել բաց կոդով էկոհամակարգում ճանաչված նշաններ:

Մասնակցելը բազմաթիվ առավելություններ ունի OpenSSF Լավագույն պրակտիկայի կրծքանշանի ծրագիրը, ներառյալ՝

• Բարելավված անվտանգության կեցվածքը. Ծրագրում նշված լավագույն փորձին հետևելով՝ նախագծերը կարող են զգալիորեն բարելավել իրենց անվտանգության վիճակը և նվազեցնել խոցելիությունների ռիսկը։
• Տեսանելիության բարձրացում. Նշաններ վաստակող նախագծերը ճանաչվում են իրենց commitանվտանգությանը վերաբերող, ինչը կարող է օգնել նրանց ներգրավել նոր օգտատերերի, մասնակիցների և հովանավորների։
• Համայնքի աջակցություն. Ծրագիրը հնարավորություն է տալիս մուտք գործել անվտանգության փորձագետների մի համայնքի, ովքեր կարող են օգնել նախագծերին հասնել իրենց անվտանգության նպատակներին։

5. OpenSSF Գոլային փոխանցում

Պատկերացրեք բաց կոդով նախագծերի անվտանգության հաշվետվության քարտ։ Դա էապես այն է, ինչ Գոլային փոխանցում տրամադրում է: Այն վերլուծում է հրապարակայնորեն մատչելի տեղեկատվությունը` բաց կոդով նախագծերի անվտանգության առողջությունը գնահատելու համար տարբեր ասպեկտներով.

• Կախվածությունը. Հայտնաբերում և գնահատում է նախագծի կողմից օգտագործվող երրորդ կողմի ծրագրաշարի հնարավոր խոցելիությունները։
• Կառուցման համակարգեր. Ստուգում է անվտանգ կառուցման պրակտիկան՝ կոմպիլյացված կոդի ամբողջականությունն ապահովելու համար։
• Հրապարակման ստորագրում. Ստուգում է, թե արդյոք թողարկումները թվային ստորագրված են՝ կեղծումը կանխելու համար։
• Խոցելիության բացահայտում. Գնահատում է նախագծի գործելակերպը՝ խոցելիությունները բացահայտելու, հաղորդելու և լուծելու համար։

6.  Կայուն անվտանգության շրջանակ (ԿԱՆՇ)

ESF Software Supply Chain Security (SSCS) համապարփակ նախաձեռնություն է, որը գլխավորում է Կայուն անվտանգության շրջանակ (ԿԱՆՇ) որը կենտրոնանում է ծրագրային ապահովման մշակման և մատակարարման ողջ գործընթացի անվտանգության վրա: Այն շեշտը դնում է պետական ​​և մասնավոր կազմակերպությունների միջև համագործակցության վրա՝ մատակարարման շղթայի ողջ ընթացքում խոցելիությունները հաղթահարելու և ռիսկերը մեղմելու համար:

Ահա ESF-ի մի քանի հիմնական ասպեկտներ SSCS:

• Բարելավել կարևորագույն ենթակառուցվածքներում և ազգային անվտանգության համակարգերում օգտագործվող բաց կոդով ծրագրային ապահովման անվտանգությունը։
• Խթանել կախվածությունների կառավարման, համակարգերի կառուցման և թողարկման ստորագրման լավագույն փորձը։
• Խթանել թափանցիկությունը և հաշվետվողականությունը ծրագրային ապահովման մատակարարման շղթայում։
• Նվազեցրեք ծրագրային բաղադրիչների խոցելիություններից բխող կիբեռհարձակումների և վնասազերծման ռիսկը։