Ny rojo famatsiana rindrambaiko dia nipoitra ho lasibatra voalohany amin'ny fanafihana an-tserasera, mamela ireo fikambanana ho mora iharan'ny fatiantoka ara-bola lehibe, tsy fahatomombanana, fahasimban'ny laza, ary voka-dratsy hafa. Ny fiantraikany ara-bola goavana ateraky ny fanafihana ireo dia hamafisin'ny fanadihadiana vao haingana nataon'ny IBM Security, izay nahita fa ny Mahatalanjona fa mitentina 4.24 tapitrisa dolara ny salan'isa vidin'ny fanafihana amin'ny rojo famatsiana rindrambaikoIty tarehimarika mampanahy ity dia tsy vitan'ny hoe mahafaoka ny fandaniana eo no ho eo amin'ny fanarenana fa koa ny fiantraikany maharitra ateraky ny fahaverezan'ny fidiram-bola, ny fikorontanan'ny asa, ary ny lazan'ny marika simba.
Mba hiarovana amin'ireo fandrahonana miha-sarotra ireo, dia tsy maintsy mamaha mialoha ireo olana mahazatra amin'ny fanarahan-dalàna ireo orinasa ary mampihatra fepetra fiarovana matanjaka. Tsy azo lavina ny fisian'ireo fanafihana ireo: Nasehon'ny fanadihadiana iray fa 17% amin'ny fandikan-dalàna rehetra no manomboka amin'ny fanafihana amin'ny rojo famatsianaAnkoatra izany, nahita ny tatitry ny Venafi fa 82%-n'ny CIO no milaza fa marefo ny rojo famatsiana rindrambaiko ampiasainy..
Rehefa miezaka manamafy orina ny rojo famatsiana rindrambaiko ireo fikambanana, ny fanarahana ny lalàna mifehy ny indostria standardmiseho ho toy ny vato fehizoro manan-danja ny sNa izany aza, tsy asa mora ny fahazoana sy fitazonana ny fanarahana ny lalàna eo amin'ny rojo famatsiana rindrambaiko. Misy rafitra fanarahan-dalàna maro, izay samy manana ny fepetra takiana sy ny fahasarotany manokana. Ankoatra izany, ny fivoaran'ny fampivoarana rindrambaiko sy ny fomba fanao open-source dia mahatonga azy ho sarotra ny manaraka hatrany ny fepetra takiana sy ny fomba fanao tsara indrindra momba ny fanarahana ny lalàna.
Famaritana ny fanarahana ny lalàna ao anatin'ny sehatry ny software supply chain security
Andeha isika hanomboka amin'ny famaritana ny fanarahana ny lalàna ao anatin'ny tontolon'ny software supply chain security Cloud Security Alliance mamantatra "Fanarahana ny lalàna" toy ny "ny fitantanana ny fanarahana ny lalàna na ny indostria standardizay ampiarahina amin'ireo ekipa toy ny fiarovana ny fampahalalana — ary koa ny lalàna, ny risika ary ny fanaraha-maso — mba hamolavolana fepetra takiana sy politika izay mamolavola ny fampandehanana ny orinasa iray.
ao amin'ny Software Supply Chain Security tontolo iainana, ireo standardNy s dia apetraky ny rafitra fanarahan-dalàna samihafa. Ireo rafitra ireo dia manamarika ny fomba fanao tsara indrindra sy standardizay azon'ny fikambanana arahina mba hitantanana ny loza mety hitranga mifandraika amin'ny rindrambaiko sy serivisy avy amin'ny antoko fahatelo. Manome fomba fiasa voarafitra izy ireo hamantarana, hanombanana ary hampihenana ny fahalemena eo amin'ny rojo famatsiana rindrambaiko, izay manampy ny fikambanana hahatratra ny tanjony amin'ny fanarahan-dalàna.
malaza software supply chain security rafitra
Araka ny voalaza teo aloha, maro software supply chain security Misy rafitra maro ankehitriny. Ireto misy ohatra miavaka vitsivitsy:
1. Ambaratongan'ny rojo famatsiana ho an'ny zavatra vita amin'ny rindrambaiko (SLSA)
Novolavolain'ny Google, SLSA mamaritra rafitra misy ambaratonga maro mba hiantohana ny fahamarinan'ny rindrambaiko sy ny fiaviany manerana ny rojo famatsiana. Ny ambaratonga tsirairay dia manolotra antoka fiarovana miavaka, manomboka amin'ny sonia fototra ka hatramin'ny fanamarinana ny fanamboarana azo averina sy ny fanamarinana cryptographic. Mety tsara ho an'ny fikambanana mitady fomba fiasa azo ovaina sy voafaritra tsara amin'ny fiarovana ny rojo famatsiana rindrambaiko.
Ambaratonga fototra amin'ny SLSA:
- Ambaratonga 1 (Fanasoniavana fototra): Manampy sonia fototra amin'ny zavatra tranainy, mametraka ny tompony ary misoroka ny fanodinkodinana.
- Ambaratonga 2 (Fananganana azo averina): Miantoka ny fananganana tsy tapaka sy azo hamarinina manerana ny tontolo iainana, miaraka amin'ny fampahalalana momba ny niandohany voarakitra.
- Ambaratonga 3 (Fanamarinana ny kriptografika): Manome fanamarinana cryptografika ny fananganana sy ny fiankinan-doha, manome antoka matanjaka ny maha-azo itokiana.
- Ambaratonga 4 (Fanasoniavana sy Fanamarinana Nohatsaraina): Mampihatra sonia sy fanamarinana mandroso ho an'ny fiarovana ambony indrindra sy ny fitadiavana fanodinkodinana.
2. CIS Software Supply Chain Security benchmark
Developed by the Foibe ho an'ny Fiarovana ny Aterineto (CIS), loharano azo itokisana ho an'ny torolàlana momba ny fiarovana, ity mari-pamantarana ity dia manome fomba fiasa voarafitra amin'ny fiarovana ny rojo famatsiana rindrambaiko. Manolotra tolo-kevitra momba ny fitsipika amin'ny dingana dimy lehibe izy io:
- Kaody loharano: Arovy amin'ny fidirana sy fanovana tsy nahazoana alalana ny fototry ny kaody anao.
- Manorina Fahamarinana: Ataovy izay hahazoana antoka fa tsy simba ny fizotran'ny fanorenana sy ny zavatra simba.
- Fitantanana miankina: Tantano sy hamarino tsara ny fiankinan-doha amin'ny rindrambaiko avy amin'ny antoko fahatelo.
- Famotsorana tsy fivadihana: Arovy ny famoahana rindrambaiko amin'ny fanodinkodinana sy ny fizarana tsy nahazoana alalana.
- Fahamarinan'ny fametrahana: Mampihatra fomba fanao azo antoka amin'ny fametrahana rindrambaiko amin'ny tontolo famokarana.
Miaraka amin'ny tolo-kevitra maherin'ny 100 manomboka amin'ny fahadiovana fototra ka hatramin'ny fanaraha-maso mandroso, ny CIS Ny benchmark dia natao ho an'ny fikambanana isan-karazany sy manana fahaizana ara-teknika samihafa. Ny toetrany mora miovaova sy mifanaraka amin'ny toe-javatra dia ahafahana manamboatra azy amin'ny tontolo iainana sy teknolojia samihafa.
3. Fanamarinana ny singa ao amin'ny rindrambaiko OWASP Standard
Rafitra vao misondrotra novolavolain'ny SCVS ny Open Web Application Security Project (OWASP)Mikendry ny hanangana standardfomba fiasa voafaritra tsara hanamarinana ny fahamarinan'ny singa rindrambaiko sy ny fiaviany manerana ny rojo famatsiana. Ity rafitra ity dia manome andiana hetsika, fanaraha-maso ary fomba fanao tsara indrindra izay afaka manampy ireo fikambanana:
- Mahazoa fahitana sy fifehezana bebe kokoa amin'ireo singa rindrambaiko ampiasainy.
- Fantaro sy ahenao mialoha ireo fahalemena ara-piarovana alohan'ny hahatonga azy ireo ho fanararaotana.
- Ampifanaraho amin'ny fomba fanao tsara indrindra ao amin'ny indostria ny fomba fanaony ary standards.
4.OpenSSF FLOSS
Ity fandaharan'asa fanombanana tena an-tsitrapo ity manome hery ireo tetikasa open source mba hampisehoana ny azy ireo commitfanatsarana ny fiarovana ary fanatsarana ny fomba fiasany amin'ny fiarovana. Amin'ny fanarahana ny fomba fanao tsara indrindra amin'ny sehatra fototra toy ny fitantanana ny fiankinan-doha, ny fananganana integrity, ary ny sonia famoahana, dia afaka mahazo mari-pankasitrahana manerana ny tontolo iainana open-source ireo tetikasa.
Maro ny tombontsoa azo avy amin'ny fandraisana anjara amin'ny OpenSSF Fandaharan'asa momba ny mari-pamantarana ny fomba fanao tsara indrindra, anisan'izany:
- Fiarovana tsara kokoa: Amin'ny fanarahana ireo fomba fanao tsara indrindra voalaza ao amin'ny fandaharan'asa, dia afaka manatsara be ny fiarovana azy ireo ny tetikasa ary mampihena ny mety hisian'ny fahalemena.
- Nitombo ny fahitana: Ireo tetikasa mahazo mari-pankasitrahana dia ekena noho ny fahaizany commitny fiarovana, izay afaka manampy azy ireo hisarika mpampiasa, mpandray anjara ary mpanohana vaovao.
- Fanohanana ny fiarahamonina: Ity fandaharan'asa ity dia manome fahafahana miditra amin'ny vondrom-piarahamonina misy manam-pahaizana manokana momba ny fiarovana izay afaka manampy ireo tetikasa hahatratra ny tanjony momba ny fiarovana.
5. OpenSSF karatra naoty
Alaivo sary an-tsaina hoe karatra tatitra momba ny fiarovana ho an'ny tetikasa open-source. Izany no tena izy karatra naoty manome. Mamakafaka ny fampahalalana azon'ny daholobe ampiasaina izy io mba hanombanana ny fahasalaman'ny fiarovana amin'ny tetikasa open-source amin'ny lafiny maro samihafa:
- miankina: Mamantatra sy manombana ireo fahalemena mety hitranga amin'ny rindrambaiko avy amin'ny antoko fahatelo ampiasain'ny tetikasa.
- Rafitra fananganana: Fanamarinana ireo fomba fanamboarana azo antoka mba hahazoana antoka ny fahamarinan'ny kaody voangona.
- Fanasoniavana ny famoahana: Manamarina raha nosoniavina nomerika ny famoahana mba hisorohana ny fanodinkodinana.
- Fampahafantarana ny fahalemena: Manombana ny fomba fiasan'ny tetikasa mba hamantarana, hanaovana tatitra ary hamahana ireo fahalemena.
6. Rafitra Fiarovana Maharitra (ESF)
SY F Software Supply Chain Security (SSCS) dia hetsika feno tarihin'ny Rafitra Fiarovana Maharitra (ESF) izay mifantoka amin'ny fiarovana ny dingana manontolo amin'ny fampandrosoana sy ny fanaterana rindrambaiko. Manantitrantitra ny fiaraha-miasa eo amin'ny sampan-draharaham-panjakana sy tsy miankina izy io mba handaminana ireo fahalemena sy hampihenana ny risika manerana ny rojo famatsiana.
Ireto misy lafiny manan-danja sasany amin'ny ESF SSCS:
- Hatsaraina ny fiarovana ny rindrambaiko open-source ampiasaina amin'ny fotodrafitrasa tena ilaina sy ny Rafitra Fiarovam-pirenena.
- Ampirisiho ny fomba fanao tsara indrindra amin'ny fitantanana ny fiankinan-doha, ny fananganana rafitra, ary ny sonia famoahana.
- Ampiroboroboina ny mangarahara sy ny fandraisana andraikitra eo anivon'ny rojo famatsiana rindrambaiko.
- Ahena ny mety hisian'ny fanafihana an-tserasera sy ny fahasimbana ateraky ny fahalemena ao amin'ny singa rindrambaiko.
Fandrika mahazatra amin'ny fanarahan-dalàna Software Supply Chain SecurityFitetezana ny Labirinta
Na dia eo aza ireo fepetra takiana maro sy ireo fahasamihafana samihafa SSCS ao anatin'ireo rafitra ireo, matetika ireo orinasa dia sendra olana mahazatra amin'ny fanarahan-dalàna. Andeha hojerentsika akaiky ireo fanamby ireo ary hojerentsika ny paikady handresena azy ireo.
Ny tsy fahampian'ny fahatsiarovan-tena sy ny fahatakarana
Mety hanakana ny ezaka fanarahana ny lalàna ny hevi-diso sy ny banga amin'ny fahalalana. Tsy maintsy mahatakatra ny antsipiriany rehetra momba ny tsirairay ny ekipa. standard ary rafitra hampiharana amim-pahombiazana ny fepetra fiarovana.
Loharano sy teti-bola voafetra
Ny fandanjalanjana ny filàna fiarovana amin'ny fetran'ny loharanon-karena dia miteraka fanamby lehibe. Ny fanatsarana ny fizarana loharanon-karena sy ny fampiasana fitaovana open-source dia afaka manampy amin'ny fampitomboana ny fahombiazana.
Asa tanana sy ny tsy fisian'ny automation
Tsy mahomby ary mora miteraka fahadisoana ny fomba fiasa fiarovana atao tanana. Ny fitaovana mandeha ho azy ho an'ny fitiliana ny fahalemena, ny fitantanana ny fiankinan-doha, ary ny tatitra momba ny fanarahan-dalàna dia afaka manatsotra ny asa.
Harerahana amin'ny fanarahan-dalàna
Ny fandaminana ireo fepetra takiana amin'ny fanarahana lalàna maromaro dia mety hiteraka harerahana sy tsy fahampian'ny antsipiriany manan-danja. Hatsarao ny fomba fiasanao amin'ny alàlan'ny famantarana ireo fanaraha-maso mifanindry sy ny fanomezana laharam-pahamehana ireo izay misy fiantraikany lehibe. standards ho an'ny teny manodidina anao manokana.
Fanofanana sy fahatsiarovan-tena tsy ampy
Andraikitry ny rehetra ny fiarovana. Ataovy izay hahatakaran'ny ekipanao tsara ireo risika sy ny anjara asany amin'ny fitazonana ny rojo famatsiana azo antoka amin'ny alàlan'ny fiofanana sy fandaharan'asa fampahafantarana tsy tapaka.
Ireo fanamby manokana momba ny rafitra
- Ny maha-zava-dehibe ny SLSANy fahazoana ambaratonga SLSA ambony kokoa dia mitaky fitandremana tsara amin'ny antsipiriany. Zarao ho dingana kely kokoa azo tratrarina ny tanjona.
- CIS Beban'ny BenchmarkMety ho be loatra ny tolo-kevitra maro be. Ataovy laharam-pahamehana mifototra amin'ny mombamomba ny risika anananao ary mifantoha amin'ireo fanaraha-maso misy fiantraikany lehibe aloha.
- OpenSSF Fikarohana mari-pamantarana FLOSSMitaky fanoloran-tena ny fahazoana mari-pankasitrahana. Atombohy amin'ny fampiharana ireo fomba fanao fototra tsara indrindra ary mandrosoa tsikelikely mankany amin'ny ambaratonga ambony kokoa amin'ny fankasitrahana.
- OpenSSF Famakafakana ny ScorecardMety ho sarotra ny mandika ny metrika. Mitadiava fanohanan'ny vondrom-piarahamonina ary ampiasao ny loharano misy mba hahazoana tari-dalana.
- Olana amin'ny fiaraha-miasa amin'ny ESFNy fampifanarahana amin'ny fiaraha-miasan'ny ESF dia mety mitaky fanitsiana ny fomba fifandraisana anatiny sy ny fizarana vaovao.
Raiso ny DevSecOps mba hahazoana dia milamina sy azo antoka
Midira DevSecOps, fomba fiasa iraisana izay mandrandrana ny fiarovana mandritra ny tsingerin'ny fampandrosoana rindrambaiko manontolo. Alaivo sary an-tsaina hoe miara-miasa hatrany am-piandohana ireo mpanao mari-trano, mpanao trano, ary mpandinika fiarovana, mba hahazoana antoka fa misy rafitra azo antoka sy marin-toerana. Toy izany koa, mifanaraka tsara amin'ireo fandaharan'asa fanarahan-dalàna toy ny DevSecOps CIS SSC, OWASP, OpenSSF, ary ESF, manampy anao hameno sy hihoatra ny fepetra takiana sady manorina kolontsaina fiarovana.
DevSecOps: Fanatsarana ny fanarahan-dalàna sy ny fanamafisana ny ekipa
Alaivo sary an-tsaina ny fanatsarana ny fanarahan-dalàna amin'ny alàlan'ny fampidirana ny fiarovana amin'ny dingana rehetra, manomboka amin'ny fitsapana mandeha ho azy ka hatramin'ny fanaraha-maso mitohy. Ny DevSecOps dia manome hery ny ekipa amin'ny mangarahara sy ny fandraisana andraikitra amin'ny alàlan'ny fampiasana fomba fanao toy ny fotodrafitrasa ho toy ny fanaraha-maso ny kaody sy ny dikan-teny. Izany dia mampiroborobo ny fiaraha-miasa ary miantoka fa ny rehetra dia mizara andraikitra amin'ny fampandrosoana azo antoka.
Fanatsarana tsy mitsahatra sy fanamarinan'ny ho avy
Tsy mijanona eo ny DevSecOps. Mandray fanatsarana mitohy izy io, ahafahanao mifanaraka amin'ny fandrahonana sy fitsipika miovaova. Alaivo sary an-tsaina ny mamantatra sy manamboatra ny fahalemena amin'ny fotoana tena izy, mampihena ny risika ary miantoka ny fahamarinan'ny rindrambaiko manerana ny rojo famatsiana.
Andry fototra ho an'ny fahombiazana
Mba hampifandraisana marina ny fanarahana ny lalàna sy ny fampandrosoana azo antoka, diniho ireto andry ireto:
- Fitantanana risika feno: Mamantatra, manombana ary mampihena ny risika mandritra ny tsingerim-piainana manontolo.
- Rafitra voafaritra momba ny fanarahan-dalàna: Mifanaraka amin'ny indostria standardsy ny fomba fanao tsara indrindra amin'ny fampiasana rafitra efa napetraka.
- Fiarovana amin'ny endrika: Ampidiro hatrany am-piandohan'ny fampandrosoana ireo foto-kevitra momba ny fiarovana.
- Fanaraha-maso ny fanarahana tsy tapaka: Mampiasà fitaovana mandeha ho azy mba hamantarana sy handaminana mialoha ireo fahalemena.
- Fomba fanao fandokoana azo antoka: Ampiofano ireo mpamorona rindrambaiko mba hisorohana ireo lesoka mahazatra amin'ny fiarovana.
- Fametrahana azo antoka sy fiatrehana tranga: Ataovy izay hahazoana antoka fa azo antoka ny firafitra ary ahena haingana ny loza mety hitranga amin'ny fiarovana.
Amin'ny alàlan'ny fampiharana ny DevSecOps sy ireo andry fototra ireo, dia afaka manorina rindrambaiko azo antoka ianao, mahatratra ny fanarahana ny lalàna mora foana, ary miaro ny hoavin'ny fizotran'ny fampandrosoanao.
Raha te hahafantatra bebe kokoa momba ny fomba fampiharana ny DevSecOps ao amin'ny orinasanao ianao dia jereo ity Fomba fanao tsara indrindra amin'ny DevSecOps sy
Famaranana
Fehiny, ny tontolon'ny software supply chain security Feno fanamby ny fitantanana ny tambajotra sosialy, saingy raha ampiasaina ny fomba fiasa mety, dia afaka miatrika ireo fahasarotana ireo ny fikambanana ary manamafy orina ny fiarovany amin'ny fandrahonana an-tserasera.
Amin'ny alàlan'ny famahana mialoha ireo olana mahazatra amin'ny fanarahan-dalàna Software Supply Chain Security ary amin'ny fampiharana fepetra fiarovana matanjaka, afaka mampihena ny mety hisian'ny fanitsakitsahana lafo vidy ny orinasa ary miaro ny asany sy ny lazany. Amin'ny fanarahana ny rafitra fanarahan-dalàna toy ny CIS Fanamarinana ny singa rindrambaiko SSC, OWASP Standards, OpenSSF FLOSS, OpenSSF Ny Scorecard, sy ny ESF dia manome fomba fiasa voarafitra tsara amin'ny fitantanana ny loza mety hitranga amin'ny fiarovana sy ny fiantohana ny fanarahana ny lalàna.
Ankoatra izany, ny fampidirana ny fomba fanao DevSecOps ao anatin'ny tsingerin'ny fampandrosoana rindrambaiko dia manolotra rafitra miara-miasa izay mifanaraka tsara amin'ny hetsika fanarahan-dalàna. Ny DevSecOps dia ahafahan'ny fikambanana build security ao anatin'ny rindrambaiko hatrany am-piandohana ka hatrany amin'ny farany, mampiroborobo ny kolontsaina fiarovana sy ny fanarahana ny lalàna sady mampiroborobo ny fanavaozana sy ny fahaiza-manao.
Amin'ny alàlan'ny fanarahana ireo paikady ireo sy ny fanatsarana hatrany ny fomba fiasany amin'ny fiarovana, dia afaka miatrika tsara ireo olana sarotra ireo fikambanana. software supply chain security tontolo iainana ary miaro ny orinasany amin'ny voka-dratsin'ny fanafihana an-tserasera.
Jereo ny Video Demo anay
