Mitombo tsy mbola nisy toy izany ny fanafihana amin'ny rojo famatsiana rindrambaiko. Araka ny SecurityWeek, nitombo ireo fanafihana ireo 742% tao anatin'ny telo taona lasa, izay mampiseho mazava fa tsy ampy intsony ireo fepetra fiarovana nentim-paharazana. Ho setrin'izany, ny Ambaratongan'ny rojo famatsiana ho an'ny zavatra vita amin'ny rindrambaiko (SLSA) novolavolaina ny rafitra mba hanampiana ireo fikambanana hanamafy orina ny dingana rehetra amin'ny fampandrosoana ny rindrambaiko hatrany am-piandohana ka hatramin'ny farany.
Inona no atao hoe Rafitra SLSA?
Loharano: SLSA
Ny SLSA Framework (Ambaratongan'ny rojo famatsiana ho an'ny vokatra rindrambaiko), tononina hoe "salsa ohatra" dia rafitra fiarovana feno izay miaro ny rindrambaiko manomboka amin'ny famolavolana ka hatramin'ny fametrahana azy. Mamaritra ambaratonga fiarovana efatra izy io, izay samy miorina amin'ilay teo aloha mba hanatsarana ny fiarovana sy ny mangarahara amin'ny rindrambaiko mandritra ny androm-piainany.
Ireto misy topimaso fohy momba ireo ambaratonga efatra:
- Ambaratonga 1: Fahamarinana fototra – Miantoka ny fananganana mandeha ho azy sy ny tontolo voafehy, mametraka ny fototra ho an'ny fahafahana manara-maso.
- Ambaratonga 2: Fiandohana – Manara-maso ny niandohan'ny rakitra rindrankajy, mba hahazoana antoka fa azo arahina hatrany amin'ny loharanony izy ireo.
- Ambaratonga 3: Fiarovana – Mametraka fanaraha-maso ny fidirana sy fanamboarana azo averina mba hamantarana ny fanodinkodinana.
- Ambaratonga 4: Fiarovana ambony indrindra – Manome fiarovana avo indrindra miaraka amin'ny tsy fahasimbana, rafitra hermetika ary fanaraha-maso hentitra avy amin'ny loharano.
Nahoana no tena ilaina ny SLSA CI/CD Pipelines
Rehefa mampihatra sy CI/CD pipelineManafaingana ny fampandrosoana rindrambaiko izy ireo, ary mampiharihary ihany koa ny fahalemena. Afaka manararaotra ireo banga ireo ny mpanafika, mampiditra kaody mampidi-doza na manovaova ny fiankinan-doha. Ambaratongan'ny rojo famatsiana ho an'ny vokatra rindrambaiko mamaha ireo fanamby ireo amin'ny alàlan'ny fiantohana fa azo antoka, mangarahara ary azo hamarinina ny dingana rehetra amin'ny fampandrosoana.
- Fahitana sy Fahafahana Manara-maso: Manara-maso ny fiovana sy ny singa rehetra ao amin'ny SLSA ny SLSA pipeline, manamora ny famantarana mialoha ireo fahalemena.
- Proactive DefenseMamantatra sy mampihena ny risika alohan'ny ahafahana manararaotra azy ireo.
- Standardization: Manome mari-pahaizana ekena ny SLSA standard ho fiarovana ny zavatra simba amin'ny rindrambaiko, mba hahazoana antoka ny fitoviana eo amin'ny fizotran'ny fampandrosoana.
Ahoana no fomba fanohanan'i Xygeni ny fanarahan-dalàna ny SLSA
Ny fahazoana ny fanarahana ny SLSA dia tsy ny fanamarinana boaty fiarovana fotsiny ihany, fa ny fiarovana ny rojo famatsiana rindrambaiko anao sady mitazona ny fampandrosoana ho haingana sy mahomby. Ho an'ny ekipa DevOps, mety ho sarotra ny mandanjalanja ny fiarovana sy ny hafainganam-pandeha, indrindra amin'ny hetsika haingana. CI/CD pipelines. Eto no idiran'ny Xygeni, manao ho azy ny asa fiarovana manan-danja mba hahazoana antoka fa mahafeno sy mihoatra ny rafitra SLSA ny rojo famatsiana rindrambaiko anao. standards, nefa tsy mampihena ny fizotran'ny asanao.
1. Fanamboarana mandeha ho azy ny fahamarinan'ny fanorenana - SLSA Ambaratonga 1
Ny dingana voalohany amin'ny fiarovana ny rindrambaiko dia ny tsy fiovaovana. Miditra ao anatin'ny Xygeni CI/CD pipelines, manao fanaraha-maso ny fananganana mandeha ho azy ary miantoka fa ny fananganana tsirairay dia manaraka dingana azo averina sy azo hamarinina. Amin'ny alàlan'ny fanesorana ny lesoka amin'ny tanana sy ny fampihenana ny loza ateraky ny fiarovana, ny Xygeni dia manampy ny ekipa hahatratra ny fanarahana ny rafitra SLSA Level 1 tsy misy fahasarotana. Midika izany fa hatrany am-piandohana, ny fanangananao dia voaaro sy mifanaraka amin'ny tsara indrindra.
2. Fiantohana ny fiaviana sy ny fahafahana manara-maso - SLSA Ambaratonga 2
Tena ilaina amin'ny fiarovana ny fahafantarana ny fiavian'ny singa ao amin'ny rindrambaiko. Ao amin'ny SLSA framework Level 2, ny Xygeni dia manara-maso ho azy ny niandohan'ny artifact tsirairay, ka mamorona firaketana tsy azo ovaina izay tsy azo ovaina. Miaraka amin'ny fahitana feno ny rindrambaikonao. pipeline, afaka mamantatra ny singa tsirairay hatramin'ny loharanony ireo ekipa, ka manamora ny famantarana ireo fanovana tsy nahazoana alalana sy ny fisorohana ny fanafihana amin'ny rojo famatsiana.
3. Fanamafisana ny fanaraha-maso ny fiarovana, SLSA Ambaratonga 3
Rehefa mitombo ny fandrahonana ara-piarovana dia ilaina ny fiarovana matanjaka kokoa. Ao amin'ny rafitra SLSA Level 3, ny Xygeni dia mampiditra fanaraha-maso fiarovana mandroso, toy ny fanaraha-maso ny fiankinan-doha amin'ny fotoana tena izy sy ny famakafakana ny fahafaha-manatratra. Tsy mameno ny ekipa amin'ny fanairana be loatra ny Xygeni, fa manivana ireo fahalemena tsy azo hararaotina, ahafahan'ny mpamorona mifantoka amin'ny risika tena izy. Miaraka amin'ny fanamarinana ny fiankinan-doha tafiditra ao anatiny, ny singa avy amin'ny antoko fahatelo dia mandalo famerenana fiarovana henjana alohan'ny hampiasana azy ireo.
4. Fahazoana fiarovana ambony indrindra amin'ny alàlan'ny fananganana Hermetic, SLSA Level 4
Ao amin'ny rafitra SLSA Level 4, mahatratra ny fara tampony ny fiarovana ny rindrambaiko standardNy fananganana Hermetika, izay misoroka ny fiankinan-doha amin'ny fiankinan-doha ivelany tsy voamarina, dia zava-dehibe mba hahazoana antoka fa azo antoka sy tsy azo ovaina ny fananganana tsirairay. Manao ho azy ity dingana ity ny Xygeni, mba hahazoana antoka fa ny artifact tsirairay dia vokarina ao anaty tontolo voafehy sy mitokana. Amin'ny alàlan'ny fanamarinana ny dingana rehetra amin'ny fananganana, ny firaketana ny fiovana, ary ny fisorohana ny fanovana tsy nahazoana alalana, dia manome fahatokisana feno amin'ny fahamarinan'ny rindrambaiko ny Xygeni nefa tsy mampihena ny fampandrosoana.
Miaraka amin'ny Xygeni, ny fanatanterahana ny fanarahana ny SLSA dia tsotra, mandeha ho azy, ary tafiditra tanteraka ao anatin'ny... CI/CD pipelines.
Ahoana Xygeni Build Security Manamafy ny fanamarinana SLSA
Ny fahatratrarana ny fanarahana ny fenitra takian'ny rojo famatsiana ho an'ny Artifacts rindrambaiko dia tsy ny fanaraha-maso ny fanamboarana fotsiny ihany, fa mitaky ny niandohany, ny fanamarinana ary ny fampiharana ny fiarovana mitohy. Xygeni Build Security manatsotra ity dingana ity amin'ny alalan'ny fanaovana automatique ny famoronana fanamarinana, fanamarinana ary fitantanana, izay manamora ny fiantohana ny fahamarinan'ny rindrambaikonao tsy mila manampy asa fanampiny ho an'ny mpamorona.
Mamorona Fanamarinana ho azy
Ny fahatokisana ny rindrambaiko dia manomboka amin'ny fanamarinana matanjaka sy azo hamarinina. Ny SALT (Software Attestations Layer for Trust) an'ny Xygeni dia mamorona fanamarinana mifanaraka amin'ny SLSA ho an'ny fananganana tsirairay, manamarina ny fahamarinany sy manara-maso ny niandohany. Izany dia miantoka fa ny dingana rehetra amin'ny fizotran'ny fananganana dia voarakitra an-tsoratra, tsy azo ovaina ary azo antoka.
Fanamarinana mora & Fitantanana afovoany
Mitantana fanamarinan-tena amin'ny maro pipelinemety ho tafahoatra. Miaraka amin'ny Xygeni, afaka manamarina mora foana ny fanamarinana ireo ekipa, mba hahazoana antoka fa mifanaraka amin'ny politika fiarovana ny singa rindrambaiko tsirairay. Ny sehatra Xygeni dia mampivondrona ny fitantanana ny fanamarinana, manome toerana tokana hanaraha-maso, hanamarina ary hampihatra ny fanarahana ny Ambaratongan'ny rojo famatsiana ho an'ny Artifacts Software sy NIST SP 800-204D standards.
miray volo CI/CD Fampidirana ho an'ny Fandraisana Haingana
Tokony hiara-hiasa amin'ireo mpamorona rindrambaiko ny fiarovana, fa tsy hanohitra azy ireo. Mifandray tsara amin'ireo efa misy ny Xygeni SALT CI/CD pipelines, manolotra fidirana amin'ny alalan'ny baiko (CLI) sy fampiharana fiarovana mandeha ho azy. Na mampiasa GitHub, GitLab, Jenkins, na Azure DevOps ny ekipanao, ny Xygeni dia ahafahana manamarina ny fanamarinana amin'ny fotoana tena izy, izay miantoka fa azo antoka sy azo hamarinina tanteraka amin'ny tontolo rehetra ny fananganana.
Fanarahana ny lalàna manomboka amin'ny voalohany ka hatramin'ny farany tsy misy fanelingelenana
Manamora ny fanarahan-dalàna SLSA ny Xygeni amin'ny alàlan'ny fiantohana fa ny rindrambaiko rehetra dia tohanan'ny fanamarinana azo hamarinina amin'ny alàlan'ny kriptografika. Miaraka amin'ny fanamarinana mandeha ho azy, fanaraha-maso feno ny fiaviany, ary CI/CD fampidirana, afaka mahafeno ny fepetra fiarovana ambony indrindra ny ekipa standards tsy miadana ny fampandrosoana.
miaraka Xygeni Build Security, ny fahazoana ny fanarahana ny fenitra fanamarinana SLSA dia tsotra, mandeha ho azy ary tafiditra tanteraka ao anatin'ny fizotran'ny asa DevSecOps-nao.
Fomba fanao tsara indrindra amin'ny fampiharana ny rafitra SLSA
Ny fampidirana ny rafitra Supply-chain Levels for Software Artifacts ao amin'ny workflows-nao dia mitaky fandanjalanjana ny fiarovana sy ny fahombiazana. Amin'ny alàlan'ny fanombohana kely, fampandraisana anjara ireo mpandray anjara, fampiasana ny automation, ary ny famerenana mifototra amin'ny feedback, dia azonao atao arovy ny rojo famatsiana rindrambaiko anao sady mitazona ny fahaiza-mihetsika. Toy izao ny fomba anohanan'i Xygeni ny dingana tsirairay.
1. Manaova fanombanana mialoha
Tombano ny dingana fampandrosoana rindrambaiko anananao ankehitriny ary fantaro ny banga mifandraika amin'ny fepetra takian'ny rafitra SLSA. Manampy amin'ny famaritana ireo fananana sy fiankinan-doha manan-danja ny Xygeni. Mamantatra ny fahalemena izy ary manasongadina ireo faritra tokony hohatsaraina mba hanatanterahana ny SLSA. standards.
2. Mandraisa anjara aloha ireo mpandray anjara
Miantoka ny fandraisana anjaran'ny ekipa mpamorona, fiarovana ary mpanodina amin'ny alàlan'ny fampisehoana ny tombontsoa azo avy amin'ny fampidirana ny SLSA, toy ny fampihenana ny risika amin'ny rojo famatsiana. Manome tatitra mazava ny Xygeni, izay manamora ny fanaraha-maso ny fandrosoana sy ny fahatakarana ny lanjan'ny SLSA ho an'ireo mpandray anjara.
3. Atombohy amin'ny kely sy miandalana tsikelikely
Andramo ny tetikasa iray mba hitsapana ny fomba fanao SLSA amin'ny ambaratonga kely. Ampitomboy amin'ny tetikasa lehibe kokoa rehefa miha-mahazo aina kokoa ny ekipanao. Ny fitaovan'ny Xygeni dia manamora ny fanombohana sy fampiharana tsikelikely ny fomba fanao SLSA, manomboka amin'ny fananganana mandeha ho azy sy ny fanarahana ny niandohan'ny rindrambaikoo.
4. Ampidiro ao anatin'ny fomba fiasa efa misy ny fomba fanao SLSA
Ampiasao ny automation mba hampidirana ny fomba fanao SLSA ao amin'ny anao CI/CD pipelines, mampihena ny ezaka atao amin'ny tanana ary miantoka ny tsy fiovaovana. Mifandray lalina amin'ny CI/CD pipelines, manao ho azy ny asa fiarovana toy ny fanaraha-maso ny fananganana, ny famakafakana ny fiankinan-doha, ary ny famoronana loharano niaviana.
5. Manome fiofanana sy loharanon-karena
Ataovy izay hahazoana antoka fa mahatakatra tsara ny fepetra takian'ny SLSA ny ekipa amin'ny alàlan'ny fandaharam-piofanana sy ny antontan-taratasy mazava. Manolotra fanohanana amin'ny fiofanana sy ny fandraisana mpiasa vaovao ny Xygeni, manome interface mora ampiasaina sy tatitra amin'ny antsipiriany mba ho mora ampifanarahana.
6. Avereno jerena sy averimbereno tsy tapaka
Avereno jerena tsy tapaka ny fahombiazan'ny fomba fanao SLSA ary ahitsio araka ny valin-teny omena. Ny tatitra sy fanadihadiana amin'ny antsipiriany avy amin'ny Xygeni dia ahafahanao tapaka araho maso sy amboary ny paikadinao momba ny fiarovana.
7. Ampiasao ny loharanon-karena SLSA ao amin'ny vondrom-piarahamonina
Miaraha miasa amin'ny vondrom-piarahamonina SLSA mba hahazoana fomba fanao tsara indrindra ary mandraisa anjara amin'ny fizarana ny zavatra niainanao. Manohana ny fanarahan-dalàna ny Xygeni ary manampy ny fikambanananao hifandray hatrany amin'ny ezaka fiarovana midadasika kokoa.
8. Manara-maso sy Mampihatra ny Fanarahana ny Lalàna
Mampihatra fanaraha-maso mivantana sy rafitra fampiharana mandeha ho azy mba hahazoana antoka fa fanarahana tsy tapaka ny SLSA. Manara-maso tsy tapaka ny fanarahana ny lalàna ny Xygeni ary mandefa fampandrenesana mandeha ho azy momba ny fahalemena rehetra, indrindra amin'ny singa avy amin'ny antoko fahatelo. Tafiditra mivantana ao anatin'ny rafitrao ny fampiharana ny fiarovana. CI/CD pipeline.
Miaro ny hoavinao miaraka amin'ny Xygeni sy SLSA
Tsy safidy intsony ny fiarovana ny rojo famatsiana rindrambaiko, fa tsy maintsy atao. Ny Ny rafitra SLSA manome anao drafitra mazava hiarovana ny rindrambaikonao, manomboka amin'ny fiarovana fototra ka hatramin'ny fomba fiarovana mandroso. Miaraka amin'ny Xygeni, azonao atao ny manatsotra ny fanarahana lalàna ary mampitombo mora foana ny fepetra fiarovanao, ka mitazona ny rindrambaiko ho azo antoka, matanjaka ary vonona amin'ny ho avy.
Te hiaro ny rojo famatsiana rindrambaiko ve ianao? Jereo ny fomba ahafahan'ny Xygeni manampy anao hahatratra ny haavon'ny rojo famatsiana ho an'ny Artifacts rindrambaiko standardary arovy ny rafitra nomerika anao anio.
Fanontaniana Matetika Apetraka: Fahatakarana ny Rafitra SLSA ho an'ny CI/CD Pipelines
Tsara indrindra ve ny SLSA? Standard ho an'ny CI/CD Pipelines?
Ny SLSA (Supply-chain Levels for Software Artifacts) dia iray amin'ireo rafitra fiarovana feno sy be mpampiasa indrindra ho an'ny CI/CD pipelines. Manome fomba fiasa voarafitra sy misy ambaratonga izy io mba hiarovana ny fampandrosoana rindrambaiko, mifantoka amin'ny fahamarinan'ny fananganana, ny fiaviana ary ny fanoherana ny fanovana.
Na dia tsy ny SLSA irery aza standard, miavaka izy io satria:
- Mandrakotra ny tsingerin'ny androm-piainan'ny rindrambaiko manontolo, manomboka amin'ny fahamarinan'ny kaody loharano ka hatramin'ny fametrahana.
- Mamaritra mazava tsara ny ambaratongan'ny fiarovana (1-4), ka mahatonga azy io ho azo ampifanarahana amin'ny filàna fiarovana samihafa.
- Miara-miasa amin'ny rafitra fiarovana hafa toy ny NIST SP 800-204D sy OWASP CI/CD Loza ateraky ny fiarovana.
Ho an'ireo fikambanana mikasa ny hampatanjaka ny CI/CD fiarovana, safidy tsara dia tsara ny SLSA. Na izany aza, miankina amin'ny filàna fanarahan-dalàna manokana, mety hanaraka ny NIST ihany koa ny ekipa sasany, CIS, na rafitra fiarovana manokana ho an'ny indostria miaraka amin'ny SLSA.
Iza no mitantana ny rafitra SLSA ho an'ny CI/CD Pipelines?
Ny SLSA dia fehezin'ny OpenSSF (Open Source Security Foundation), tetikasa Linux Foundation natokana ho fanatsarana software supply chain security. OpenSSF miara-miasa akaiky amin'ny Google, GitHub, Microsoft, ary ireo mpitarika indostrialy hafa mba hamolavola sy hanatsara ny rafitra SLSA.
Manavao tsy tapaka ny rafitra ny vondrona miasa ao amin'ny SLSA mba hiatrehana ireo fandrahonana mipoitra, hifanaraka amin'ny fomba fanao tsara indrindra, ary hanatsarana ny fampiasana ny fiarovana amin'ny... CI/CD pipelines. Izay rehetra liana amin'ny fandraisana anjara na ny fanarahana hatrany ny fivoaran'ny SLSA dia afaka mifandray amin'ny OpenSSFny vondrom-piarahamonina sy ny vondrona miasa.
