सामान्य अनुपालन जोखिमहरू Software Supply Chain Security

प्रख्यात software supply chain security ढाँचा

पहिले नै उल्लेख गरिएझैं, असंख्य software supply chain security आज पनि फ्रेमवर्कहरू अवस्थित छन्। यहाँ केही प्रमुख उदाहरणहरू छन्:

१. सफ्टवेयर कलाकृतिहरूको लागि आपूर्ति श्रृंखला स्तरहरू (SLSA)

गुगल द्वारा विकसित, एसएलएसए आपूर्ति शृङ्खलाभरि सफ्टवेयर कलाकृतिहरूको अखण्डता र उत्पत्ति सुनिश्चित गर्न बहु-स्तरीय रूपरेखा परिभाषित गर्दछ। प्रत्येक स्तरले आधारभूत हस्ताक्षरदेखि पुनरुत्पादनयोग्य निर्माणहरूको प्रमाणीकरण र क्रिप्टोग्राफिक प्रमाणीकरणसम्मका विशिष्ट सुरक्षा ग्यारेन्टीहरू प्रदान गर्दछ। यो आफ्नो सफ्टवेयर आपूर्ति शृङ्खला सुरक्षित गर्न लचिलो र दानेदार दृष्टिकोण खोज्ने संस्थाहरूको लागि राम्रो फिट हो।

SLSA का प्रमुख स्तरहरू:

• स्तर १ (आधारभूत हस्ताक्षर): कलाकृतिहरूमा आधारभूत हस्ताक्षर थप्छ, स्वामित्व स्थापित गर्दछ र छेडछाड रोक्छ।
• स्तर २ (पुनरुत्पादन योग्य निर्माणहरू): उत्पत्ति जानकारी रेकर्ड गरिएको, वातावरणहरूमा एकरूप र प्रमाणित गर्न सकिने निर्माणहरू सुनिश्चित गर्दछ।
• स्तर ३ (क्रिप्टोग्राफिक प्रमाणिकरण): निर्माण र निर्भरताहरूको क्रिप्टोग्राफिक प्रमाणीकरण प्रदान गर्दछ, प्रामाणिकताको बलियो आश्वासन प्रदान गर्दछ।
• स्तर ४ (परिष्कृत हस्ताक्षर र प्रमाणीकरण): अधिकतम सुरक्षा र छेडछाड पत्ता लगाउनको लागि उन्नत हस्ताक्षर र प्रमाणीकरणहरू लागू गर्दछ।

2. CIS Software Supply Chain Security बेंचमार्क

द्वारा विकसित इन्टरनेट सुरक्षा केन्द्र (सेन्टर फर इन्टरनेट सेक्युरिटी)CIS)सुरक्षा दिशानिर्देशहरूको लागि एक विश्वसनीय स्रोत, यो बेन्चमार्कले सफ्टवेयर आपूर्ति श्रृंखलाहरू सुरक्षित गर्न एक संरचित दृष्टिकोण प्रदान गर्दछ। यसले पाँच प्रमुख चरणहरूमा निर्देशात्मक सिफारिसहरू प्रदान गर्दछ:

• स्रोत कोड: तपाईंको कोडबेसलाई अनधिकृत पहुँच र परिमार्जनहरूबाट सुरक्षित गर्नुहोस्।
• अखण्डता निर्माण गर्नुहोस्: निर्माण प्रक्रियाहरू र कलाकृतिहरूको अखण्डता सुनिश्चित गर्नुहोस्।
• निर्भरता व्यवस्थापन: तेस्रो-पक्ष सफ्टवेयर निर्भरताहरू सुरक्षित रूपमा व्यवस्थापन र प्रमाणित गर्नुहोस्।
• रिलीज अखण्डता: छेडछाड र अनधिकृत वितरणबाट सफ्टवेयर रिलीजहरू सुरक्षित गर्नुहोस्।
• तैनाती अखण्डता: उत्पादन वातावरणमा सफ्टवेयर तैनाथ गर्न सुरक्षित अभ्यासहरू लागू गर्नुहोस्।

आधारभूत सरसफाइदेखि उन्नत नियन्त्रणहरू सम्मका १०० भन्दा बढी सिफारिसहरू सहित, द CIS बेन्चमार्कले सबै आकार र प्राविधिक विशेषज्ञताका संस्थाहरूलाई सेवा प्रदान गर्दछ। यसको लचिलो र अनुकूलनीय प्रकृतिले विभिन्न विकास वातावरण र प्रविधिहरूमा अनुकूलन गर्न अनुमति दिन्छ।

३. OWASP सफ्टवेयर कम्पोनेन्ट प्रमाणीकरण Standard

SCVS एक उदीयमान रूपरेखा हो जुन द्वारा विकसित गरिएको छ ओपन वेब एप्लिकेसन सेक्युरिटी प्रोजेक्ट (OWASP)। यसको उद्देश्य एक स्थापित गर्नु हो standardआपूर्ति शृङ्खलाभरि सफ्टवेयर कम्पोनेन्टहरूको अखण्डता र उत्पत्ति प्रमाणित गर्नको लागि एकीकृत दृष्टिकोण। यो रूपरेखाले गतिविधिहरू, नियन्त्रणहरू, र उत्कृष्ट अभ्यासहरूको सेट प्रदान गर्दछ जसले संस्थाहरूलाई मद्दत गर्न सक्छ:

• तिनीहरूको सफ्टवेयर कम्पोनेन्टहरूमा बढ्दो दृश्यता र नियन्त्रण प्राप्त गर्नुहोस्।
• सुरक्षा कमजोरीहरू शोषणमा परिणत हुनुभन्दा पहिले नै सक्रिय रूपमा पहिचान गर्नुहोस् र कम गर्नुहोस्।
• उद्योगका उत्कृष्ट अभ्यासहरूसँग तिनीहरूको अभ्यासहरू मिलाउनुहोस् र standards.

4.OpenSSF फ्लोस

यो स्वैच्छिक आत्म-मूल्याङ्कन कार्यक्रम खुला स्रोत परियोजनाहरूलाई उनीहरूको प्रदर्शन गर्न सशक्त बनाउँछ commitसुरक्षामा ध्यान केन्द्रित गर्ने र उनीहरूको सुरक्षा स्थिति सुधार गर्ने। निर्भरता व्यवस्थापन, अखण्डता निर्माण गर्ने, र रिलीज साइनिङ जस्ता प्रमुख क्षेत्रहरूमा उत्कृष्ट अभ्यासहरू पालना गरेर, परियोजनाहरूले खुला-स्रोत इकोसिस्टममा मान्यता प्राप्त ब्याजहरू कमाउन सक्छन्।

यसमा भाग लिनुका धेरै फाइदाहरू छन् OpenSSF उत्कृष्ट अभ्यास ब्याज कार्यक्रम, जसमा समावेश छ:

• सुधारिएको सुरक्षा स्थिति: कार्यक्रममा उल्लिखित उत्कृष्ट अभ्यासहरू पालना गरेर, परियोजनाहरूले आफ्नो सुरक्षा स्थितिमा उल्लेखनीय सुधार गर्न र जोखिमहरूको जोखिम कम गर्न सक्छन्।
• बढेको दृश्यता: ब्याज कमाउने परियोजनाहरू तिनीहरूको लागि मान्यता प्राप्त हुन्छन् commitसुरक्षामा ध्यान केन्द्रित गर्ने, जसले उनीहरूलाई नयाँ प्रयोगकर्ताहरू, योगदानकर्ताहरू र प्रायोजकहरूलाई आकर्षित गर्न मद्दत गर्न सक्छ।
• सामुदायिक सहयोग: यो कार्यक्रमले सुरक्षा विशेषज्ञहरूको समुदायमा पहुँच प्रदान गर्दछ जसले परियोजनाहरूलाई उनीहरूको सुरक्षा लक्ष्यहरू प्राप्त गर्न मद्दत गर्न सक्छन्।

5. OpenSSF स्कोरकार्ड

खुला स्रोत परियोजनाहरूको लागि सुरक्षा रिपोर्ट कार्डको कल्पना गर्नुहोस्। त्यो मूलतः के हो स्कोरकार्ड प्रदान गर्दछ। यसले विभिन्न पक्षहरूमा खुला-स्रोत परियोजनाहरूको सुरक्षा स्वास्थ्य मूल्याङ्कन गर्न सार्वजनिक रूपमा उपलब्ध जानकारीको विश्लेषण गर्दछ:

• निर्भरताहरू: परियोजनाद्वारा प्रयोग गरिएको तेस्रो-पक्ष सफ्टवेयरमा सम्भावित कमजोरीहरूको पहिचान र मूल्याङ्कन गर्दछ।
• प्रणालीहरू निर्माण गर्नुहोस्: कम्पाइल गरिएको कोडको अखण्डता सुनिश्चित गर्न सुरक्षित निर्माण अभ्यासहरूको जाँच गर्दछ।
• विज्ञप्तिमा हस्ताक्षर: छेडछाड रोक्नको लागि रिलीजहरू डिजिटल रूपमा हस्ताक्षरित छन् कि छैनन् भनेर प्रमाणित गर्दछ।
• जोखिम प्रकटीकरण: जोखिमहरू पहिचान गर्ने, रिपोर्ट गर्ने र समाधान गर्ने परियोजनाका अभ्यासहरूको मूल्याङ्कन गर्दछ।

6.  स्थायी सुरक्षा रूपरेखा (ESF)

ESF Software Supply Chain Security (SSCS) द्वारा नेतृत्व गरिएको एक व्यापक पहल हो स्थायी सुरक्षा रूपरेखा (ESF) जसले सम्पूर्ण सफ्टवेयर विकास र वितरण प्रक्रियालाई सुरक्षित गर्नमा केन्द्रित छ। यसले आपूर्ति शृङ्खलाभरि जोखिमहरूलाई सम्बोधन गर्न र जोखिम न्यूनीकरण गर्न सार्वजनिक र निजी संस्थाहरू बीचको सहकार्यलाई जोड दिन्छ।

यहाँ ESF का केही प्रमुख पक्षहरू छन् SSCS:

• महत्वपूर्ण पूर्वाधार र राष्ट्रिय सुरक्षा प्रणालीहरूमा प्रयोग हुने खुला स्रोत सफ्टवेयरको सुरक्षा बढाउने।
• निर्भरताहरू व्यवस्थापन गर्ने, प्रणालीहरू निर्माण गर्ने, र रिलीज साइनिङ गर्ने उत्कृष्ट अभ्यासहरूलाई बढावा दिनुहोस्।
• सफ्टवेयर आपूर्ति श्रृंखला भित्र पारदर्शिता र जवाफदेहिता प्रवर्द्धन गर्नुहोस्।
• सफ्टवेयर कम्पोनेन्टहरूमा भएका कमजोरीहरूबाट उत्पन्न हुने साइबर आक्रमण र सम्झौताको जोखिम कम गर्नुहोस्।