фреймворк slsa продолжает развиваться, и новый SLSA v1.2 релиз приносит важные обновления для тех, кто разрабатывает программное обеспечение в современном pipelines. В отличие от предыдущих версий, SLSA v1.2 больше фокусируется на практическом применении, более строгих гарантиях происхождения и более четких правилах для аттестация slsa. Поскольку число атак на цепочку поставок программного обеспечения продолжает расти, разработчикам теперь нужен простой и надежный способ проверки того, как был создан каждый артефакт и какие системы к нему обращались.
В этом руководстве объясняется, что нового в Уровни цепочки поставок для программных артефактов v1.2, Почему фреймворк slsa становится базой для software supply chain security и как можно естественным образом применять эти требования в рабочих процессах CI и CD.
1. Что такое SLSA и почему разработчики полагаются на фреймворк SLSA
SLSA означает уровни цепочки поставок программных артефактов. фреймворк slsa защищает цепочку поставок программного обеспечения, поскольку она проверяет, как код проходит через сборки, как зависимости входят в проект и как артефакты перемещаются pipelines. Он определяет четкие правила происхождения, изоляции и целостности, чтобы команды точно знали, что именно они отправляют.
Разработчики полагаются на уровни цепочки поставок для программных артефактов, потому что они отвечают на практический вопрос. Можете ли вы доказать, как ваша система сборки создала двоичный файл и было ли вмешательство в этот процесс? Это важно в реальной жизни. pipelineВ таких условиях зависимости часто меняются, а сборки выполняются на многих системах. В результате SLSA снижает риск отравления зависимостей, скомпрометированных этапов сборки и несанкционированных изменений в сложных рабочих процессах.
2. Что нового в SLSA v1.2
В SLSA версии 1.2 представлен ряд изменений, которые упрощают внедрение и делают его более реалистичным для команд разработчиков. Эти обновления также приводят спецификацию в соответствие с современными методами разработки программного обеспечения.
Более строгие требования к сборке
SLSA v1.2 разъясняет требования к изоляции сборки, чтобы разработчики могли понять, какие части pipeline Необходимо контролировать. Это уменьшает путаницу, возникающую в предыдущих версиях, и помогает командам применять единообразные меры защиты к исполнителям, разработчикам и организаторам.
Изменения в формате подтверждения SLSA v1.2
В новой версии обновлена структура аттестации SLSA, упрощающая создание и использование доказательств. Теперь аттестации проще анализировать, что позволяет инструментам автоматизировать проверку, сокращая количество ручных действий.
Обновленные требования к происхождению
Схема происхождения теперь собирает больше информации о зависимостях, параметрах сборки и доверенных источниках. Благодаря этому становится проще отслеживать происхождение каждого артефакта.
Улучшения безопасности зависимостей
Поскольку атаки на цепочки поставок часто начинаются со взломанных пакетов, Supply Chain Levels for Software Artifacts v1.2 усиливает ожидания относительно выбора зависимостей, контроля версий и проверки.
Более четкие определения изоляции
Спецификация улучшает определения герметичных сборок и изолированных сред. Это позволяет разработчикам точнее проверять логику сборки и избегать случайного доверия к небезопасным системам.
3. SLSA v1.2 по сравнению с предыдущими версиями
Ниже приведено визуальное сравнение, показывающее, как SLSA v1.2 меняет ожидания в отношении происхождения, изоляции сборки и аттестации SLSA.
| Район | SLSA v1.1 | SLSA v1.2 |
|---|---|---|
| Провенанс | Базовое происхождение с ограниченными метаданными зависимости | Расширенное происхождение с более глубокой зависимостью и отслеживанием параметров сборки |
| засвидетельствование | Более жесткий формат аттестации | Усовершенствованная модель **аттестации SLSA** для упрощения автоматизации и проверки |
| Изоляция сборки | Общие рекомендации по изоляции | Более четкие определения для изолированных и герметичных конструкций |
| Контроль зависимостей | Ограниченные ожидания | Более строгие правила выбора, отслеживания и проверки зависимостей |
| Трудность принятия | Иногда встречается двусмысленность в требованиях | Более практично и просто для применения командами разработчиков |
4. Понимание аттестации SLSA
A аттестация slsa Это подписанное заявление, подтверждающее, как был создан программный артефакт. Оно описывает процесс сборки, исходный код, зависимости и среду, в которой был создан двоичный файл. Поскольку аттестации следуют фиксированной схеме, инструменты могут проверять их автоматически.
Для разработчиков это означает, что вы можете проверить, что сборка соответствует ожидаемому результату. pipeline и не был изменён ненадёжной системой. Кроме того, аттестация помогает обнаружить подделку на ранней стадии, поскольку подозрительные изменения отражаются непосредственно в источнике.
5. Как Xygeni помогает вам выполнить требования SLSA v1.2
Xygeni предоставляет полный build security слой который тесно связан с фреймворк slsaВместо того, чтобы полагаться на ручные проверки, вы получаете непрерывные проверки кода, зависимостей и непрерывной интеграции. pipelines.
Проверка происхождения и аттестации
Xygeni проверяет файлы происхождения, проверяет аттестация slsa содержимое и проверки, что метаданные сборки соответствуют ожидаемым источникам.
Мониторинг скрипта сборки
Xygeni отслеживает скрипты сборки для обнаружения несанкционированных изменений, небезопасных команд или подозрительного поведения внутри pipelines.
Проверка зависимостей
Xygeni проверяет целостность, историю версий и уровень доверия зависимостей, чтобы снизить риск компрометации пакетов.
Целостность артефакта
Xygeni сканирует артефакты на предмет фальсификации и проверяет их соответствие ожидаемому результату сборки.
Pipeline Security
Xygeni подтверждает, что CI и CD pipelineследуют последовательным и безопасным шаблонам сборки.
SBOM и картирование цепочки поставок
Xygeni генерирует и анализирует SBOMs, что помогает командам удовлетворить SLSA provenance и требования к последующему аудиту.
В результате команды могут достичь ожиданий SLSA v1.2, не замедляя разработку и не объединяя в единое целое множество инструментов.
6. Заключительные мысли об обновлении SLSA v1.2
Уровни цепочки поставок для программных артефактов версии 1.2 обеспечивают большую прозрачность и более строгие гарантии в цепочке поставок программного обеспечения. Более того, разработчикам теперь доступен более простой способ определить происхождение, проверить целостность сборки и внедрить единый контроль на всех этапах. pipelines. Спецификацию также становится легче принять, и аттестация slsa Играет ключевую роль в подтверждении того, как было создано программное обеспечение. Благодаря этому команды могут повысить доверие к поставляемым ими артефактам.
С помощью Xygeni вы можете применить фреймворк slsa внутри вашего существующего SDLC. Кроме того, вы можете автоматически проверять происхождение, постоянно проверять зависимости и защищать свои сборки от компрометации. В результате вы укрепляете свою цепочку поставок, не замедляя разработку.
👉 Начните бесплатный пробный период or Забукировать демо и защитите свои сборки с помощью SLSA v1.2
