Нийлүүлэлтийн сүлжээний халдлагын эрин үед програм хангамжийн аюулгүй байдлыг бэхжүүлэх нь #
Өсөлт програм хангамжийн хангамжийн сүлжээний халдлага аюулгүй байдлыг хангасан CI/CD pipelines болон програм хангамжийн эд өлгийн зүйлс хэзээ хэзээнээс илүү чухал. SLSA гэж юу вэ? The Програм хангамжийн эд өлгийн зүйлсийн хангамжийн сүлжээний түвшин тогтолцоо a програм хангамжийн аюулгүй байдалд бүтэцлэгдсэн хандлага, хангах эд өлгийн бүрэн бүтэн байдал хөгжүүлэлтийн амьдралын мөчлөгийн туршид. Энэхүү хүрээний гол тал нь SLSA Provenance, энэ нь баталгаажуулдаг хаана, хэзээ, яаж програм хангамжийг бүтээсэн бөгөөд ингэснээр өөрчлөлт болон зөвшөөрөлгүй өөрчлөлтөөс урьдчилан сэргийлсэн. Програм хангамжийн эд өлгийн зүйлсийн хангамжийн сүлжээний түвшингийн аюулгүй байдлын туршлагыг хэрэгжүүлснээр байгууллагууд ... програм хангамжийн хангамжийн сүлжээгээ бэхжүүлэх мөн барих хөгжлийн үйл явцад нь итгэх..
Тодорхойлолтууд:
SLSA гэж юу вэ? #
Програм хангамжийн эд өлгийн зүйлсийн хангамжийн сүлжээний түвшин (SLSA) нь програм хангамжийн хангамжийн сүлжээг аюул заналаас хамгаалах зорилготой аюулгүй байдлын хүрээ юм. Энэ нь програм хангамжийн аюулгүй бүтээлт, түгээлтийг баталгаажуулж, байгууллагуудыг үндсэн автоматжуулалтаас бүрэн мөрдөх боломжтой, хөндлөнгийн оролцоогүй үйл явц руу чиглүүлдэг.
Гэж юу вэ SLSA Provenance? #
SLSA Provenance програм хангамжийг хаана, хэзээ, хэрхэн бүтээсэн талаарх дэлгэрэнгүй бүртгэл юм. Энэ нь эд өлгийн бүрэн бүтэн байдлыг хангаж, програм хангамжийн бүрэлдэхүүн хэсгүүд болон хамаарлуудыг бүрэн харах боломжийг олгодог. SLSA Provenance, байгууллагууд хөндлөнгөөс оролцохоос урьдчилан сэргийлэх, итгэлцлийг баталгаажуулах, програм хангамжийн хангамжийн сүлжээгээ бүрэн хянах боломжтой.
-ийн гарал үүсэл SLSA Provenance #
Програм хангамжийн олдворуудын хангамжийн гинжин хэлхээний түвшин гэсэн хүрээг програм хангамжийн хангамжийн гинжин хэлхээний өсөн нэмэгдэж буй аюул заналхийллийг шийдвэрлэх зорилгоор боловсруулсан. SolarWinds болон CodeCov програм хангамжийг хэрхэн бүтээх, баталгаажуулах, түгээх тал дээр сул талуудыг илчилсэн. Үүний үр дүнд, Google нь SLSA-г үүсгэсэнбайгууллагуудад аюулгүй байдлаа хангахад нь туслах зорилгоор дотоод аюулгүй байдлын практик дээрээ үндэслэн CI/CD pipelineболон програм хангамжийн олдворууд.
Өнөөдөр програм хангамжийн эд өлгийн зүйлсийн хангамжийн сүлжээний түвшинг дараах байдлаар зохицуулдаг OpenSSF (Open Source Security Суурь) доор Linux FoundationЭнэ нь програм хангамжийн бүрэн бүтэн байдал, эд өлгийн аюулгүй байдал, гарал үүслийн хяналтыг сайжруулах тодорхой, алхам алхмаар арга барилыг хангадаг. NIST эсвэл гэх мэт ерөнхий кибер аюулгүй байдлын хүрээнээс ялгаатай. CIS Хяналтууд, SLSA нь програм хангамжийн хөгжүүлэлтийн аюулгүй байдалд онцгой анхаарал хандуулдаг бөгөөд бүтээгдхүүн нь өөрчлөлтөөс хамгаалагдсан, баталгаажсан эсэхийг баталгаажуулдаг.
Ашиглах замаар SLSA Provenance, байгууллагууд програм хангамжийн амьдралын мөчлөгийнхөө бүрэлдэхүүн хэсэг бүрийг хянах боломжтой. Энэ нь ил тод байдал, аюулгүй байдал, нийцлийг хангаж, зөвшөөрөлгүй өөрчлөлт оруулах, хангамжийн сүлжээнд эвдрэл гарах эрсдэлийг бууруулдаг.
Програм хангамжийн эд өлгийн зүйлсийн хангамжийн сүлжээний түвшний гол ойлголтууд #
SLSA түвшинг тайлбарласан #
| SLSA түвшин | Энэ нь юуг баталгаажуулдаг | Аюулгүй байдлын ашиг тус |
|---|---|---|
| түвшин 1 | Автоматжуулсан бүтээлтүүд | Хүний алдаа болон санамсаргүй өөрчлөлтийг бууруулдаг |
| түвшин 2 | Эх сурвалжийн баталгаажуулалт + илүү хүчтэй хяналт | Кодын бүрэн бүтэн байдал болон найдвартай бүтээн байгуулалтыг баталгаажуулдаг |
| түвшин 3 | SLSA Provenance шаардлагатай | Эд өлгийн зүйлсийг хэрхэн, хаана барьсан талаар дэлгэрэнгүй бүртгэлийг өгдөг |
| түвшин 4 | Бүрэн гарал үүсэлтэй хуулбарлах боломжтой барилга байгууламжууд | Хууль бус нэвтрэхээс хамгаалагдсан эд өлгийн зүйлс болон хангамжийн сүлжээний дээд зэргийн аюулгүй байдлыг баталгаажуулдаг |
Програм хангамжийн хангамжийн сүлжээний түвшинг бусад аюулгүй байдлын хүрээтэй хэрхэн харьцуулдаг вэ? #
SLSA болон NIST Кибер аюулгүй байдлын хүрээ: #
ФокусNIST нь кибер аюулгүй байдлын ерөнхий талаар өргөн хүрээтэй удирдамж санал болгодог боловч програм хангамжийн хангамжийн сүлжээг аюулгүй болгоход төдийлөн анхаардаггүй.
давуу талПрограм хангамжийн хангамжийн сүлжээний түвшин нь програм хангамжийн бүрэн бүтэн байдлыг хамгаалахад илүү төвлөрч, програм хангамжийн олдворуудыг аюулгүй болгох тодорхой алхмуудыг санал болгодог. SLSA Provenance, NIST-ийн өргөн хүрээтэй хандлагыг нөхөж байна.
SLSA гинжин хэлхээний түвшин ба OWASP програм хангамжийн баталгааны төлөвшлийн загвар (SAMM): #
ФокусOWASP SAMM нь програм хангамжийн төслүүдийн аюулгүй байдлын стратеги боловсруулахад тусалдаг.
давуу талПрограм хангамжийн хангамжийн сүлжээний түвшин нь хангамжийн сүлжээний аюулгүй байдлыг илүү гүнзгий авч үздэг. Энэ нь гарал үүсэл болон давтагдах байдалд анхаарлаа хандуулдаг бол SAMM нь ерөнхий аюулгүй байдлыг хамардаг. SLSA Provenance програм хангамжийн эд өлгийн зүйлсийн аюулгүй байдал, жинхэнэ байдлыг баталгаажуулдаг.
Нийлүүлэлтийн сүлжээний түвшин vs. CIS Хяналт: #
Фокус: CIS Хяналтууд нь мэдээллийн технологийн системийн аюулгүй байдлыг хангах удирдамжийг өгдөг боловч програм хангамжийн хөгжүүлэлт эсвэл олдворуудад анхаарлаа хандуулдаггүй.
давуу талПрограм хангамжийн хангамжийн сүлжээний түвшин нь програм хангамжийн бүтцийг аюулгүй болгох тодорхой алхмуудыг өгдөг. Програм хангамжийн эд өлгийн зүйлсийн хангамжийн сүлжээний түвшин Бүтээл бүр аюулгүй бөгөөд өөрчлөлтгүй эсэхийг шалгах хүрээ.
Яагаад програм хангамжийн хангамжийн сүлжээний түвшинг бусдаас илүү сонгох ёстой вэ? #
Аюулгүй байдлын олон хүрээ байдаг ч програм хангамжийн хангамжийн сүлжээний түвшин нь програм хангамжийн хангамжийн сүлжээнд анхаарлаа хандуулснаараа онцлог юм. Энэ нь програм хангамжийн бүрэн бүтэн байдал, гарал үүслийг сайжруулах хялбар алхмуудыг санал болгодог тул илүү өргөн хүрээтэй аюулгүй байдлын хүрээтэй хамт хүчтэй сонголт болдог.
- Нийлүүлэлтийн сүлжээнд анхаарлаа хандуулахПрограм хангамжийн хангамжийн сүлжээний түвшин нь програм хангамжийн хангамжийн сүлжээг аюулгүй байлгах зорилгоор тусгайлан бүтээгдсэн бөгөөд эд өлгийн зүйлсийн бүрэн бүтэн байдал болон тэдгээрийн талаар тодорхой удирдамж өгдөг. SLSA Provenance.
- Баталгаажуулалтын түвшинШаталсан түвшин нь байгууллагуудад аюулгүй байдлыг алхам алхмаар сайжруулах боломжийг олгож, тасралтгүй сайжруулах тодорхой замыг санал болгодог.
- Эд өлгийн бүрэн бүтэн байдал: Энэхүү хүрээ нь давтагдах чадвар болон гарал үүслийг онцолж, програм хангамжийн аюулгүй байдлыг бусад хүрээнүүдээс ялгаатай байдлаар баталгаажуулдаг.
- Цогц хамрах хүрээПрограм хангамжийг кодоос олдвор хүртэл хамгаалснаар Програм хангамжийн хангамжийн сүлжээний түвшин нь хангамжийн сүлжээний бүрэн хамгаалалтыг хангаж, өөрчлөлтөөс хамгаалагдсан бүтээн байгуулалтыг баталгаажуулдаг. SLSA Provenance.
- НэмэлтПрограм хангамжийн хангамжийн сүлжээний түвшин нь NIST гэх мэт фрэймворкуудтай сайн ажилладаг. CIS Програм хангамжийн хангамжийн сүлжээний эмзэг байдлыг арилгах замаар нийт аюулгүй байдлыг сайжруулж, хяналтыг сайжруулдаг.
Програм хангамж болон Xygenie-д зориулсан SLSA-аар ирээдүйг хамгаалах нь #
Одоо та slsa гэж юу болохыг мэдсэн тул ярилцъя КсигениXygeni нь байгууллагуудад бүх түвшинд програм хангамжийн хангамжийн сүлжээний түвшинг хэрэгжүүлэх, дагаж мөрдөхөд нь тусалдаг. Манай платформ нь түүний хатуу чанд шаардлагад нийцдэг. standards нь таны програм хангамжийн амьдралын мөчлөгийн туршид аюулгүй байдлын интеграцийг хялбар болгодог. Бүтээн байгуулалтыг автоматжуулахаас эхлээд өөрчлөлтөөс хамгаалах хүртэл SLSA Provenance Xygeni нь програм хангамжийн аюулгүй байдлыг сайжруулж, нийцлийг хялбаршуулдаг.
дамжуулан SLSA Provenance, Xygeni нь програм хангамжийн эд өлгийн зүйл бүрийн гарал үүсэл болон бүтээх үйл явцыг баталгаажуулдаг. Энэ нь зөвшөөрөлгүй өөрчлөлт эсвэл хөндлөнгийн оролцооноос сэргийлж, таны програм хангамжийн хангамжийн сүлжээнд бүрэн харагдах байдлыг хангадаг. Үүний үр дүнд танай байгууллага хөгжиж буй аюул заналхийлэлд илүү тэсвэртэй болдог. Xygeni-тэй хамтран ажилласнаар та програм хангамжийн хангамжийн сүлжээний түвшний түвшинг итгэлтэйгээр удирдаж, програм хангамжийн хангамжийн сүлжээ тань аюулгүй байх ирээдүйг баталгаажуулж чадна. Xygeni нь бүтээн байгуулалтыг хамгаалж, эд өлгийн зүйлийн бүрэн бүтэн байдлыг баталгаажуулдаг. SLSA Provenance, мөн орчин үеийн програм хангамжийн аюулгүй байдлын цогц шийдлийг санал болгодог.
Түгээмэл асуултууд #
SLSA (Програм хангамжийн эд өлгийн зүйлсийн нийлүүлэлтийн гинжин хэлхээний түвшин) нь сайжруулдаг хүрээ юм software supply chain security эд өлгийн зүйлд халдахаас урьдчилан сэргийлэх, эд өлгийн зүйлийн бүрэн бүтэн байдлыг хангах замаар SLSA Provenance. хувьд чухал ач холбогдолтой CI/CD pipelines нь програм хангамж бүтээх болон түгээх үйл явцын туршид аюулгүй байдлын суурийг бий болгодог.
SLSA нь хамгийн шилдэгүүдийн нэг юм standardаюулгүй байдлыг хангах зорилгоор CI/CD pipelineс. Энэ нь алхам бүрийг баталгаажуулах цогц удирдамжийг санал болгодог pipeline—эх кодын менежментээс эхлээд эд өлгийн зүйл хүргэх хүртэл—өөрчлөлт болон зөвшөөрөлгүй хандалтаас урьдчилан сэргийлэх замаар. SLSA Provenance үйл явцын туршид эд өлгийн зүйлийн бүрэн бүтэн байдлыг шалгаж, баталгаажуулдаг.
Google анх SLSA хүрээг боловсруулсан бөгөөд OpenSSF (Open Source Security Сан) одоо үүнийг удирддаг. Энэхүү байгууллага нь програм хангамжийн хангамжийн сүлжээг аюулгүй болгох шилдэг туршлагыг сурталчилж, шинэ аюулгүй байдлын хэрэгцээг хангахын тулд хүрээг тасралтгүй сайжруулж байна.
SLSA гэж юу болохыг ойлгох нь түүний шийдэж буй асуудлуудыг мэдэхгүйгээр бүрэн гүйцэд биш юм. Програм хангамжийн хангамжийн сүлжээ нь хөндлөнгийн оролцоо, хамаарлын халдлага, найдваргүй бүтээх процессуудад өртөмтгий байдаг. SLSA Provenance програм хангамжийн эд өлгийн зүйл бүрийг мөрдөх, баталгаажуулах, өөрчлөлтөд тэсвэртэй байлгах замаар эдгээрийг шийддэг. Энэ нь ил тод байдал, итгэлцлийг авчирдаг. CI/CD pipelines, аюулгүй байдлыг дараа нь бодож үзсэн зүйл биш, харин анхдагч болгож байна.
