ਵਿੱਚ ਆਮ ਪਾਲਣਾ ਦੇ ਨੁਕਸਾਨ Software Supply Chain Security

ਪ੍ਰਮੁੱਖ software supply chain security ਫਰੇਮਵਰਕ

ਜਿਵੇਂ ਕਿ ਪਹਿਲਾਂ ਦੱਸਿਆ ਗਿਆ ਹੈ, ਕਈ software supply chain security ਅੱਜ ਵੀ ਫਰੇਮਵਰਕ ਮੌਜੂਦ ਹਨ। ਇੱਥੇ ਕੁਝ ਪ੍ਰਮੁੱਖ ਉਦਾਹਰਣਾਂ ਹਨ:

1. ਸਾਫਟਵੇਅਰ ਕਲਾਕ੍ਰਿਤੀਆਂ (SLSA) ਲਈ ਸਪਲਾਈ ਚੇਨ ਪੱਧਰ

ਗੂਗਲ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ, ਐਸਐਲਐਸਏ ਸਪਲਾਈ ਚੇਨ ਵਿੱਚ ਸਾਫਟਵੇਅਰ ਕਲਾਕ੍ਰਿਤੀਆਂ ਦੀ ਇਕਸਾਰਤਾ ਅਤੇ ਉਤਪਤੀ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਇੱਕ ਬਹੁ-ਪੱਧਰੀ ਢਾਂਚਾ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਹਰੇਕ ਪੱਧਰ ਵੱਖ-ਵੱਖ ਸੁਰੱਖਿਆ ਗਾਰੰਟੀਆਂ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਮੁੱਢਲੇ ਦਸਤਖਤ ਤੋਂ ਲੈ ਕੇ ਪ੍ਰਜਨਨਯੋਗ ਬਿਲਡਾਂ ਦੀ ਤਸਦੀਕ ਅਤੇ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਤਸਦੀਕ ਸ਼ਾਮਲ ਹੈ। ਇਹ ਉਹਨਾਂ ਸੰਗਠਨਾਂ ਲਈ ਇੱਕ ਵਧੀਆ ਫਿੱਟ ਹੈ ਜੋ ਆਪਣੀ ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਇੱਕ ਲਚਕਦਾਰ ਅਤੇ ਬਰੀਕ ਪਹੁੰਚ ਦੀ ਮੰਗ ਕਰ ਰਹੇ ਹਨ।

SLSA ਦੇ ਮੁੱਖ ਪੱਧਰ:

• ਪੱਧਰ 1 (ਮੁੱਢਲਾ ਦਸਤਖਤ): ਕਲਾਕ੍ਰਿਤੀਆਂ ਵਿੱਚ ਮੁੱਢਲੇ ਦਸਤਖਤ ਜੋੜਦਾ ਹੈ, ਮਾਲਕੀ ਸਥਾਪਤ ਕਰਦਾ ਹੈ ਅਤੇ ਛੇੜਛਾੜ ਨੂੰ ਰੋਕਦਾ ਹੈ।
• ਪੱਧਰ 2 (ਪ੍ਰਜਨਨਯੋਗ ਬਿਲਡ): ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਵਾਤਾਵਰਣਾਂ ਵਿੱਚ ਇਕਸਾਰ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਬਿਲਡ, ਉਤਪਤੀ ਜਾਣਕਾਰੀ ਦਰਜ ਕੀਤੀ ਗਈ ਹੋਵੇ।
• ਪੱਧਰ 3 (ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਤਸਦੀਕ): ਬਿਲਡਾਂ ਅਤੇ ਨਿਰਭਰਤਾਵਾਂ ਦੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਤਸਦੀਕ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਮਜ਼ਬੂਤ ​​ਭਰੋਸੇ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਦਾ ਹੈ।
• ਪੱਧਰ 4 (ਵਧਾਇਆ ਦਸਤਖਤ ਅਤੇ ਤਸਦੀਕ): ਵੱਧ ਤੋਂ ਵੱਧ ਸੁਰੱਖਿਆ ਅਤੇ ਛੇੜਛਾੜ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਉੱਨਤ ਦਸਤਖਤ ਅਤੇ ਪ੍ਰਮਾਣੀਕਰਨ ਲਾਗੂ ਕਰਦਾ ਹੈ।

2. CIS Software Supply Chain Security ਬੇਂਚਮਾਰਕ

ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਸੈਂਟਰ ਫਾਰ ਇੰਟਰਨੈੱਟ ਸਿਕਿਓਰਿਟੀ (CIS)ਸੁਰੱਖਿਆ ਦਿਸ਼ਾ-ਨਿਰਦੇਸ਼ਾਂ ਲਈ ਇੱਕ ਭਰੋਸੇਯੋਗ ਸਰੋਤ, ਇਹ ਬੈਂਚਮਾਰਕ ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਇੱਕ ਢਾਂਚਾਗਤ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਹ ਪੰਜ ਮੁੱਖ ਪੜਾਵਾਂ ਵਿੱਚ ਨਿਰਧਾਰਤ ਸਿਫ਼ਾਰਸ਼ਾਂ ਪੇਸ਼ ਕਰਦਾ ਹੈ:

• ਸੂਤਰ ਸੰਕੇਤਾਵਲੀ: ਆਪਣੇ ਕੋਡਬੇਸ ਨੂੰ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ ਅਤੇ ਸੋਧਾਂ ਤੋਂ ਬਚਾਓ।
• ਇਮਾਨਦਾਰੀ ਬਣਾਓ: ਬਿਲਡ ਪ੍ਰਕਿਰਿਆਵਾਂ ਅਤੇ ਕਲਾਕ੍ਰਿਤੀਆਂ ਦੀ ਇਕਸਾਰਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਓ।
• ਨਿਰਭਰਤਾ ਪ੍ਰਬੰਧਨ: ਤੀਜੀ-ਧਿਰ ਸਾਫਟਵੇਅਰ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਪ੍ਰਬੰਧਿਤ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਕਰੋ।
• ਰਿਲੀਜ਼ ਇਕਸਾਰਤਾ: ਸਾਫਟਵੇਅਰ ਰੀਲੀਜ਼ਾਂ ਨੂੰ ਛੇੜਛਾੜ ਅਤੇ ਅਣਅਧਿਕਾਰਤ ਵੰਡ ਤੋਂ ਸੁਰੱਖਿਅਤ ਰੱਖੋ।
• ਤੈਨਾਤੀ ਇਕਸਾਰਤਾ: ਉਤਪਾਦਨ ਵਾਤਾਵਰਣਾਂ ਵਿੱਚ ਸਾਫਟਵੇਅਰ ਦੀ ਤੈਨਾਤੀ ਲਈ ਸੁਰੱਖਿਅਤ ਅਭਿਆਸਾਂ ਨੂੰ ਲਾਗੂ ਕਰੋ।

ਮੁੱਢਲੀ ਸਫਾਈ ਤੋਂ ਲੈ ਕੇ ਉੱਨਤ ਨਿਯੰਤਰਣਾਂ ਤੱਕ 100 ਤੋਂ ਵੱਧ ਸਿਫ਼ਾਰਸ਼ਾਂ ਦੇ ਨਾਲ, CIS ਬੈਂਚਮਾਰਕ ਹਰ ਆਕਾਰ ਅਤੇ ਤਕਨੀਕੀ ਮੁਹਾਰਤ ਦੇ ਸੰਗਠਨਾਂ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ। ਇਸਦਾ ਲਚਕਦਾਰ ਅਤੇ ਅਨੁਕੂਲ ਸੁਭਾਅ ਵੱਖ-ਵੱਖ ਵਿਕਾਸ ਵਾਤਾਵਰਣਾਂ ਅਤੇ ਤਕਨਾਲੋਜੀਆਂ ਲਈ ਅਨੁਕੂਲਤਾ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

3. OWASP ਸਾਫਟਵੇਅਰ ਕੰਪੋਨੈਂਟ ਵੈਰੀਫਿਕੇਸ਼ਨ Standard

SCVS ਇੱਕ ਉੱਭਰਦਾ ਢਾਂਚਾ ਹੈ ਜੋ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਹੈ ਓਪਨ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਪ੍ਰੋਜੈਕਟ (OWASP). ਇਸਦਾ ਉਦੇਸ਼ ਇੱਕ ਸਥਾਪਤ ਕਰਨਾ ਹੈ standardਸਪਲਾਈ ਚੇਨ ਵਿੱਚ ਸਾਫਟਵੇਅਰ ਹਿੱਸਿਆਂ ਦੀ ਇਕਸਾਰਤਾ ਅਤੇ ਉਤਪਤੀ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਇੱਕ ਪ੍ਰਚਲਿਤ ਪਹੁੰਚ। ਇਹ ਢਾਂਚਾ ਗਤੀਵਿਧੀਆਂ, ਨਿਯੰਤਰਣਾਂ ਅਤੇ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਸੰਗਠਨਾਂ ਦੀ ਮਦਦ ਕਰ ਸਕਦੇ ਹਨ:

• ਉਹਨਾਂ ਦੇ ਸਾਫਟਵੇਅਰ ਹਿੱਸਿਆਂ 'ਤੇ ਵਧੀ ਹੋਈ ਦਿੱਖ ਅਤੇ ਨਿਯੰਤਰਣ ਪ੍ਰਾਪਤ ਕਰੋ।
• ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਸ਼ੋਸ਼ਣ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਸਰਗਰਮੀ ਨਾਲ ਪਛਾਣੋ ਅਤੇ ਘਟਾਓ।
• ਉਨ੍ਹਾਂ ਦੇ ਅਭਿਆਸਾਂ ਨੂੰ ਉਦਯੋਗ ਦੇ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸਾਂ ਨਾਲ ਇਕਸਾਰ ਕਰੋ ਅਤੇ standards.

4.OpenSSF ਫਲੋਸ

ਇਹ ਸਵੈ-ਇੱਛਤ ਸਵੈ-ਮੁਲਾਂਕਣ ਪ੍ਰੋਗਰਾਮ ਓਪਨ-ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਪ੍ਰਦਰਸ਼ਨ ਦਾ ਅਧਿਕਾਰ ਦਿੰਦਾ ਹੈ commitਸੁਰੱਖਿਆ ਲਈ ਵਚਨਬੱਧਤਾ ਅਤੇ ਆਪਣੀ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣਾ। ਨਿਰਭਰਤਾ ਪ੍ਰਬੰਧਨ, ਨਿਰਮਾਣ ਇਕਸਾਰਤਾ, ਅਤੇ ਰੀਲੀਜ਼ ਦਸਤਖਤ ਵਰਗੇ ਮੁੱਖ ਖੇਤਰਾਂ ਵਿੱਚ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸਾਂ ਦੀ ਪਾਲਣਾ ਕਰਕੇ, ਪ੍ਰੋਜੈਕਟ ਓਪਨ-ਸੋਰਸ ਈਕੋਸਿਸਟਮ ਵਿੱਚ ਮਾਨਤਾ ਪ੍ਰਾਪਤ ਬੈਜ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ।

ਵਿੱਚ ਹਿੱਸਾ ਲੈਣ ਦੇ ਬਹੁਤ ਸਾਰੇ ਫਾਇਦੇ ਹਨ OpenSSF ਵਧੀਆ ਅਭਿਆਸ ਬੈਜ ਪ੍ਰੋਗਰਾਮ, ਜਿਸ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:

• ਸੁਧਰੀ ਸੁਰੱਖਿਆ ਸਥਿਤੀ: ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਦੱਸੇ ਗਏ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸਾਂ ਦੀ ਪਾਲਣਾ ਕਰਕੇ, ਪ੍ਰੋਜੈਕਟ ਆਪਣੀ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਸੁਧਾਰ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਜੋਖਮ ਨੂੰ ਘਟਾ ਸਕਦੇ ਹਨ।
• ਵਧੀ ਹੋਈ ਦਿੱਖ: ਬੈਜ ਕਮਾਉਣ ਵਾਲੇ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਲਈ ਮਾਨਤਾ ਪ੍ਰਾਪਤ ਹੁੰਦੀ ਹੈ commitਸੁਰੱਖਿਆ ਵੱਲ ਧਿਆਨ ਦੇਣਾ, ਜੋ ਉਹਨਾਂ ਨੂੰ ਨਵੇਂ ਉਪਭੋਗਤਾਵਾਂ, ਯੋਗਦਾਨੀਆਂ ਅਤੇ ਸਪਾਂਸਰਾਂ ਨੂੰ ਆਕਰਸ਼ਿਤ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰ ਸਕਦਾ ਹੈ।
• ਭਾਈਚਾਰਕ ਸਹਾਇਤਾ: ਇਹ ਪ੍ਰੋਗਰਾਮ ਸੁਰੱਖਿਆ ਮਾਹਿਰਾਂ ਦੇ ਇੱਕ ਭਾਈਚਾਰੇ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਸੁਰੱਖਿਆ ਟੀਚਿਆਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰ ਸਕਦੇ ਹਨ।

5. OpenSSF ਸਕੋਰ ਕਾਰਡ

ਓਪਨ-ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ ਲਈ ਇੱਕ ਸੁਰੱਖਿਆ ਰਿਪੋਰਟ ਕਾਰਡ ਦੀ ਕਲਪਨਾ ਕਰੋ। ਇਹੀ ਅਸਲ ਵਿੱਚ ਹੈ ਜੋ ਸਕੋਰ ਕਾਰਡ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਹ ਵੱਖ-ਵੱਖ ਪਹਿਲੂਆਂ ਵਿੱਚ ਓਪਨ-ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ ਦੀ ਸੁਰੱਖਿਆ ਸਿਹਤ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨ ਲਈ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਜਾਣਕਾਰੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦਾ ਹੈ:

• ਨਿਰਭਰਤਾ: ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਤੀਜੀ-ਧਿਰ ਸੌਫਟਵੇਅਰ ਵਿੱਚ ਸੰਭਾਵੀ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਅਤੇ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ।
• ਸਿਸਟਮ ਬਣਾਓ: ਕੰਪਾਇਲ ਕੀਤੇ ਕੋਡ ਦੀ ਇਕਸਾਰਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਸੁਰੱਖਿਅਤ ਨਿਰਮਾਣ ਅਭਿਆਸਾਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ।
• ਰਿਲੀਜ਼ ਦਸਤਖਤ: ਛੇੜਛਾੜ ਨੂੰ ਰੋਕਣ ਲਈ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਰੀਲੀਜ਼ ਡਿਜੀਟਲ ਤੌਰ 'ਤੇ ਦਸਤਖਤ ਕੀਤੇ ਗਏ ਹਨ।
• ਕਮਜ਼ੋਰੀ ਦਾ ਖੁਲਾਸਾ: ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ, ਰਿਪੋਰਟ ਕਰਨ ਅਤੇ ਹੱਲ ਕਰਨ ਲਈ ਪ੍ਰੋਜੈਕਟ ਦੇ ਅਭਿਆਸਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ।

6.  ਸਥਾਈ ਸੁਰੱਖਿਆ ਢਾਂਚਾ (ESF)

ਈਐਸਐਫ Software Supply Chain Security (SSCS) ਦੀ ਅਗਵਾਈ ਹੇਠ ਇੱਕ ਵਿਆਪਕ ਪਹਿਲਕਦਮੀ ਹੈ ਸਥਾਈ ਸੁਰੱਖਿਆ ਢਾਂਚਾ (ESF) ਜੋ ਕਿ ਪੂਰੇ ਸਾਫਟਵੇਅਰ ਵਿਕਾਸ ਅਤੇ ਡਿਲੀਵਰੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ 'ਤੇ ਕੇਂਦ੍ਰਿਤ ਹੈ। ਇਹ ਸਪਲਾਈ ਲੜੀ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਹੱਲ ਕਰਨ ਅਤੇ ਜੋਖਮਾਂ ਨੂੰ ਘਟਾਉਣ ਲਈ ਜਨਤਕ ਅਤੇ ਨਿੱਜੀ ਸੰਸਥਾਵਾਂ ਵਿਚਕਾਰ ਸਹਿਯੋਗ 'ਤੇ ਜ਼ੋਰ ਦਿੰਦਾ ਹੈ।

ਇੱਥੇ ESF ਦੇ ਕੁਝ ਮੁੱਖ ਪਹਿਲੂ ਹਨ SSCS:

• ਮਹੱਤਵਪੂਰਨ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਅਤੇ ਰਾਸ਼ਟਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਓਪਨ-ਸੋਰਸ ਸਾਫਟਵੇਅਰ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਵਧਾਉਣਾ।
• ਨਿਰਭਰਤਾਵਾਂ ਦੇ ਪ੍ਰਬੰਧਨ, ਸਿਸਟਮ ਬਣਾਉਣ ਅਤੇ ਰੀਲੀਜ਼ ਸਾਈਨਿੰਗ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸਾਂ ਨੂੰ ਉਤਸ਼ਾਹਿਤ ਕਰੋ।
• ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਲੜੀ ਦੇ ਅੰਦਰ ਪਾਰਦਰਸ਼ਤਾ ਅਤੇ ਜਵਾਬਦੇਹੀ ਨੂੰ ਉਤਸ਼ਾਹਿਤ ਕਰੋ।
• ਸਾਫਟਵੇਅਰ ਹਿੱਸਿਆਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਤੋਂ ਪੈਦਾ ਹੋਣ ਵਾਲੇ ਸਾਈਬਰ ਹਮਲਿਆਂ ਅਤੇ ਸਮਝੌਤਾ ਦੇ ਜੋਖਮ ਨੂੰ ਘਟਾਓ।