Mo le tele o tausaga, sa tuliloa e le au osofaʻi ni polokalama taʻitasi. Ua latou suia ni auala: aisea e faʻaleagaina ai le tasi polokalama pe a mafai ona e faʻaleagaina le pipeline e fausia ai le tele? Xygeni's Lapata'iga Vave o Polokalama Fa'aleagaina (MEW) mateia 4,452 afifi leaga i le 2025 ma 1,281 isi i le 2026 i le taimi neiO mea tutupu taʻutaʻua taʻitasi mai nai tausaga ua tuanaʻi ua oʻo i se sootaga eseese i le filifili o le tuʻuina atu o polokalama faakomepiuta:
- SolarWinds (2020): fa'aletonu o le fausiaina ma le siosiomaga; ua lafoina fa'afouga fa'afoe i tua i tagata fa'atau e 18,000.
- Codecov (2021): o se ata Docker ua sese le faatulagaina na mafai ai e tagata osofaʻi ona suia se tusitusiga a le bash uploader, ma aveese ai mea lilo a le CI mai le silia ma le 23,000 tagata faʻatau.
- CircleCI (2023): o le gaoia o kuki o le sauniga i luga o le komepiuta feaveai a se inisinia ua liua i faailoga o le avanoa i le gaosiga; sa taʻu atu i tagata faatau uma e sui mea lilo uma.
- Fa'aoga XZ i tua o le faitoto'a (2024) :o se tauvaga fa'ainisinia fa'aagafesootai e tele tausaga le umi lea na toetoe lava a o'o atu i toetoe lava o tufatufaina uma o Linux.
- gaoioiga-tj (2025) — o se fa'asologa o le sapalai o le GitHub Actions lea na fa'aleagaina ai se vaega na fa'aaogaina e le silia ma le 23,000 fale teu oloa.
- Osofaiga i luga Aqua Trivy ma Siaki (2026) — na liua e le tauvaga a le TeamPCP ni masini suʻesuʻe saogalemu se lua e faʻaaogaina lautele i ni auala e osofaʻia ai, ona faʻaaogaina lea o mea na gaoia CI/CD fa'amaoniga e fa'asolosolo ifo ai i totonu o le npm, OpenVSX, ma le PyPI.
O osofaʻiga taʻitasi e faʻaaogaina ai se vaega eseese o le pipeline: siosiomaga fausia, meafaigaluega CI, faʻalagolago, faʻamaoniga a le tagata atiaʻe, faʻatuatuaga o le tagata tausi, faʻasinomaga e mafai ona suia i mea totino. O le tele o faʻalapotopotoga e tali atu i le pulea o togi, se scanner i le CI, 2FA i le IdP, puipuiga o le lala i luga mainO le mea e masani ona misi o se auala e fesili ai Ua ufitia fa'asolosolo ea i tatou? e sili ai Pe na tatou manatua ea e faʻagaoioia le X ina ua maeʻa le mea na tupu mulimuli?
O loʻo tu saʻo lava kamupani faʻatau oloa mo le saogalemu o talosaga i le faʻalavelave, ma o le faʻalavelave e oʻo atu i tagata faʻatau uma e faʻatuatuaina ana mea taua. O le mamafa e sui mai pulega tali atu i se tulaga faʻatulagaina e le o se mea faʻapitoa. O le mea muamua lenaciso le a tonu lava le mea na uuna'ia ai le fa'aaogaina o le OWASP SPVS standard o se galuega faatino e sili ona faamuamua.
O le ā le SPVS, ma le Māfuaaga e Tāua ai le Fausaga
E faigofie lava le tala i le amataga. I le LASCON 2023, sa fesuisui pea Farshad Abasi ma Cameron Walters i le fesili lava e tasi: o fea o iai le ASVS mo pipelines? Na tuʻuina atu e le OWASP ASVS le puipuiga o talosaga i se auala atoatoa ma mafai ona faʻamaonia standardE leai se mea e tutusa ma CI/CD.
Sa i ai le OWASP Top 10 CI/CD O tulaga lamatia, lea sa fa'atatau i le iloa, ae le mafai ona fa'ata'ita'iina; SLSA, lea na taula'i i le amataga o le fausiaina; S2C2F, lea na taula'i i le fa'alagolago i le fa'aaogaina; ma OpenSSF Kata o Sikoa, lea na aofia ai siaki faapitoa o le fale teu oloa. Na aofia ai vaega taʻitasi. E leai se tasi na aofia ai le atoaga.
| Fa'avae po'o le Galuega Faatino | Tulaga Muamua |
|---|---|
| OWASP Top 10 CI/CD lamatiaga | Fa'amuamua le iloa CI/CD taiala mo tulaga lamatia, ae le o se faamaoniga e mafai ona tofotofoina standard. |
| SLSA | Fausia le tupuaga ma le tulaga lelei o mea na gaosia. |
| S2C2F | Puipuiga o le fa'aaogaina o mea e fa'alagolago i ai. |
| OpenSSF Tusitusiga sikoa | Siakiina o le saogalemu faapitoa i le tulaga o le fale teu oloa. |
O le va: o faʻavae taʻitasi e aofia ai se vaega taua o software supply chain security, ae leai se tasi na tuʻuina atu se faʻamaoniga mai le amataga i le iuga standard mo le atoa CI/CD pipeline.
O lena talanoaga na avea ma lua tausaga o galuega, ma ia Oketopa 2025 na faʻalauiloa ai e le vaega faigaluega a le SPVS le v1.0: 127 manaʻoga i le taamilosaga atoa, Fuafua, Atiina ae, Tuufaatasia, Faʻasaʻoloto, Faʻagaoioia, vaevaeina i ni tulaga matutua se tolu: L1 Faavae, L2 Standard, ma le L3 Maualuga. O manaʻoga uma e faʻafanua i le NIST SP 800-53, OWASP CI/CD 10 pito i luga, ma le CWE.
O le fausaga o le manatu autū lea. I upu lava a le tusitala o le SPVS:
"Fa'amaonia lau atoa pipeline, e le na'o le tasi le vaega. O iinei e tauivi ai le tele o fa'alapotopotoga. Latou te su'esu'eina mea e fa'alagolago i ai ae le amana'ia le pulega o fa'asa'olotoga. Latou te sainia mea taua ae le fa'amata'u i a latou fa'ata'ita'iga pipeline fausaga fale. Latou te mataʻituina le gaosiga ae le o latou siosiomaga fau fale.”
O iinei e faigata ai i le tele o faʻalapotopotoga. Latou te suʻesuʻeina mea e faʻalagolago i ai ae le amanaʻia le pulega o faʻasalalauga. Latou te sainia mea taua ae le faʻamataʻu i a latou faʻataʻitaʻiga pipeline fausaga. Latou te mata'ituina le gaosiga ae le o latou siosiomaga faufale.
O le manatu autū lea e faʻamaonia ai le taumafaiga. O malosiaga i le tasi laasaga e le faʻafetaui ai vaivaiga i le isi laasaga. E naʻo le tasi le sootaga e manaʻomia e ē osofaʻi e motusia ai. O se taʻamilosaga o le olaga standard e fa'amalosia oe e siaki uma ia mea, ma o le fa'asologa o le L1 i le L2 i le L3 e mafai ai ona e faia e aunoa ma le fa'apuna o le sami. E le suia e le SPVS le SLSA, S2C2F, Scorecard, po'o le Sigstore; e avatu ia te oe le fa'avae e ta'u atu ai ia te oe le mea e fetaui ai ia mea ta'itasi.
Fetuuna'i o le Standard i lau Fa'alapotopotoga
O le laasaga muamua masani lava o se su'esu'ega sa'o lea o lau fa'alapotopotoga ma le atina'e o polokalama faakomepiuta e fa'atatau i mana'oga ta'itasi. O se Google Sheet na maua mai le ofisa aloaia Mana'oga a le SPVS CSV e galue lelei o se amataga. E tolu vaaiga e aoga: o se matrix o manaʻoga ma le tulaga ma le pule i le pulega taʻitasi, o se heatmap i le teuina o mea, ma se dashboard o le alualu i luma i lea laasaga ma lea laasaga. O le taunuuga e fa'asolo atu i se fa'afanua fa'apitoa, o se pepa ola e aofia ai la'asaga uma mai le fuafuaga e o'o i le fa'atinoina.
O le tele o faʻalapotopotoga inisinia matutua o le a latou iloa ua i ai i latou lava i le L2 pe a latou faia lenei faʻafanua muamua. O se tulaga lelei tele lena: o lona uiga e mafai e le vaega muamua ona taulaʻi i le tapunia o avanoa patino nai lo le fausiaina o faavae mai le amataga.
Ae ui i lea, o se siata fa'asolo, o se ata pu'upu'u, ma e mana'omia e le SPVS nisi mea. O le V1.1.7 e fa'atonuina ai se su'esu'ega fa'alekuata o pulega a le VCS; V5.1.1 e o'o atu i le V5.1.3 e fa'aopoopo i ai su'esu'ega masani a tagata fa'aoga, iloiloga o le fa'amaumauga o avanoa, ma le mata'ituina o avanoa fa'apitoa; o le tele o pulega V2.1.x, V3.3.x, ma le V4.2.x e mana'omia ai le fa'aauau pea o le tausiga o le galuega-YAML. Fa'atautaia e le lima i totonu o le fa'alapotopotoga, o le afa aso o le siakiina o kiliki i kuata ta'itasi ma se lamatiaga moni o le le faia o mea. O le ituaiga galuega e otometi pe toe iloiloina pe a uma ona tupu se mea leaga.
O nisi o pulega a le SPVS e lē o ni mea e fai faatasi i le lisi siaki. E manaʻomia ai le toe iloiloga faifai pea, faʻamaoniga o suʻesuʻega, ma le iloa o fesuiaʻiga i totonu o fale teu oloa, tagata faʻaoga, faiga o galuega, ma avanoa faʻapitoa.
| Eria o le SPVS | Ituaiga Manaoga |
|---|---|
V1.1.7 | Su'esu'ega fa'alekuata o pulega o VCS. |
V5.1.1–V5.1.3 | Su'esu'ega masani a tagata fa'aoga, iloiloga o le fa'amaumauga o avanoa, ma le mata'ituina o avanoa fa'apitoa. |
V2.1.x, V3.3.x, V4.2.x | O lo'o fa'aauau pea le faiga o galuega mo le tumama o le YAML. |
O le tali o le fausiaina po'o le fa'aaogaina o meafaigaluega e fa'agaoioia i lalo o le fa'asinomaga o le org-owner ma gaosia ai se afifi fa'atulagaina fa'alekuata: lisi o pulega, puipuiga o lala, ufiufi o CODEOWNERS, faiga o galuega YAML hygiene fa'atasi ai ma gaioiga fa'apipi'i, fa'atagaga manino, pull_request_target gating, sui auai 2FA, fa'apipi'i GitHub Apps, ma fa'atino ki. O le mea sa avea muamua ma se afa aso o su'esu'ega o siata ua avea nei ma se poloaiga e tasi e fa'asalalauina ai le JSON ma le Markdown. O le iloiloga fa'alekuata i le va o le CISE avea pulega o le O ma le org ma se decisfonotaga fa'atino, ae le o se fonotaga e aoina ai fa'amaumauga, ma o fa'ai'uga e mafai ona fa'atinoina e avea ma fa'afitauli e le'i mae'a ona faia ma SLA e fa'avae i luga o le ogaoga.
O se faiga fa'avae o le lisi fa'atagaina, e aofia ai pulega ua fa'amaonia, polokalama ua fa'amaonia, ma fa'atagaga e ala i galuega mo fale teu oloa ma faiga fa'atino, e tatau ona ola o se YAML i totonu o se fale teu oloa e pulea e le lomiga, e puipuia e le iloiloga PR mai le 'au puipuiga. So'o se suiga i le lisi fa'atagaina e tu'ua ai se fa'ailoga o le iloiloga, o lea e fa'atupuina ai e fa'amaoniga o su'esu'ega ia lava. O le aafiaga o le liua lea o pulega sa fa'amoemoeina, e pei o le "e tatau ona tatou su'esu'eina i kuata ta'itasi," i ni pulega masani, e pei o le "su'esu'ega o lenei kuata na tula'i mai i le Aso Gafua," ma ia tu'uina atu i le fa'alapotopotoga se faiga e mafai ona toe faia mo le iloa o le fe'avea'i e mana'omia e le mataupu faavae mai le amataga i le iuga.
O Fete'ena'iga e Tatau Ona E Fuafuaina
O pulega fa'apitoa e faigofie. E sili atu ona faigata tagata.
O le faʻataʻitaʻiga mataʻina e toetoe lava o taimi uma o CODEOWNERS. Faʻaopoopoina .github/workflows/ @your-org/security i luga o faila uma e foliga mai e faigofie. Tasi le faila, tasi le laina. Ae o lona uiga o inisinia ua leva ona latou tuufaatasia suiga o le faiga o galuega mo le tele o tausaga ua manaʻomia nei se iloiloga o le saogalemu. E oʻo lava i tagata e popole i le saogalemu e tetee atu: Na ou tusia lenei faiga o galuega, ua ou malamalama i ai, aisea ua ou faatali ai?
E manaʻomia se talanoaga moni e faʻamautu ai le mafuaʻaga. E mafai e le faʻagasologa o galuega ona faʻaalia faʻamaoniga, toe faʻafoʻisia mea tuai, ma faʻaleagaina ai tagata faʻatau i lalo ifo. O le isi paga o mata e le o le le talitonuina; e tutusa lava ma le manatu e faʻatatau i suiga o faʻamaumauga o gaosiga. O le i ai o se mea na tupu talu ai nei i le sapalai e faʻasino i ai, pe mai le alamanuia poʻo lou lava siosiomaga, e fesoasoani tele. E leai se mea e faʻamaonia ai se pulea e pei o se faʻataʻitaʻiga moni o lona leai.
O isi fete'ena'iga e mulimuli i le foliga lava e tasi:
- Fa'atagaga manino: O poloka i galuega faatino e mafua ai ona le manuia le CI se'ia malamalama tagata saofaga i fa'atagaga fa'atapula'aina. E le o se fa'afitauli lea o fa'atagaga, ae o se fa'afitauli fa'alemafaufau.
- Le mafai ona suia le pine: meafaigaluega e fa'asa'oloto ai motusia lea ua toe fa'ailogaina lē leoa mo le tele o tausaga.
- Sainia commits: fa'atupuina se feeseesea'iga i le onboarding se'ia o'o ina fa'atulaga sa'o ki GPG po'o SSH i luga o masini faigaluega. E fa'amalosia e le SPVS lenei mea i totonu o fale teu oloa uma ma tagata saofaga, ae le na'o mea autu.
- Suia o fa'ailoga masani mo avanoa fa'apitoa: i le tele o fale teu oloa ma faila o galuega e aʻafia ai toetoe lava o 'au uma.
O le mamanu e aoga: fa'alauiloa pulega ta'itasi ma se taufa'amata'u fa'apitoa e poloka, fa'ata'ita'i i le tasi pe lua fale teu oloa, fa'alauiloa i tuusaunoaga ua fa'atagaina, ma fa'aleaogaina tuusaunoaga i se taimi fa'atulagaina ua fa'atulagaina. O inisinia e sili ona tete'e, e masani lava, o le au lagolago sili ona malolosi pe a latou va'aia le mafua'aga.
O se tasi o manatu loloto: o le mataupu faavae mai le amataga e oo i le iuga e taua tele iinei. E le mafai ona e filifili ma le faaeteete. O le faamaaa o le vaega o le fausiaina ae tuua le pulega o le tatalaina e le atoatoa e maua ai le mautinoa sese, o le faiga tonu lava lea o le toilalo e pei ona taʻua e tusitala o le SPVS. E tatau ona agai i luma faatasi vaega taitasi, tusa lava pe foliga mai e le tutusa se pulega faapitoa pe a tuueseeseina.
tau: pe tusa ma le masina o le taimi fa'ainisinia ua mavae mo le Vaega 1, e taula'i i le tausisia o le L2 mo se fa'alapotopotoga la'ititi, e salalau atu i DevOps, Security, ma tagata iloilo inisinia. E faigofie ona toe maua le tupe teufaafaigaluega. O se mea na tupu i le sapalai na taofia e aofia ai le tele o taimi. E tatau i fa'alapotopotoga tetele ona fa'atulaga se paketi e sili atu, ae o le fausaga fa'asolosolo o le L1 i le L2 i le L3 o lona uiga e tu'uina atu le taua a'o le'i mae'a le polokalame.
O le ā le isi mea e sosoo ai
Ua lata mai le SPVS v1.5 faatasi ai ma pulega e fesoʻotaʻi ma le AI: le amataga o le tulafono fesoasoani a le AI, guardrails mo galuega fa'atino a le CI e vala'auina ai LLM, toe iloilo auala mo galuega fa'atino e gaosia e le AI pull requests, ma puipuiga faasaga i taufaamata'u fou e pei o le slopsquatting, lea e resitalaina ai e tagata osofa'i igoa o afifi e fa'afoliga e fesoasoani i le AI coding, ma le polokalama fa'apolopolo e gaosia e le AI lea e lipotia mai e CrowdStrike i le vao. Fa'alapotopotoga ua uma ona fa'ailogaina le fesoasoani a le AI commito le a iloa ai e le au faipisinisi ma tagata lautele (PRs) i totonu o a latou taiala tau atinae i totonu o le atunuu lenei fetuunaiga e faasolosolo malie nai lo se polokalame fou o galuega.
O le Lomiga 2.0 ua faʻamoemoeina e faʻalolotoina le mataʻituina o le taimi e faʻagaoioia ai ma manaʻoga o le olaga atoa o faʻamaoniga. O se faʻatulagaga talafeagai a le faʻalapotopotoga: tapuni avanoa o totoe o le L3 i le faʻaiʻuga o le Q2 2026, e aofia ai SLSA provenance tuʻufaʻatasia i totonu standard CI/CD, faitoto'a fa'atino mo le fa'atinoina o gaosiga, ma le tu'uina atu o fa'asinomaga tutotonu, ona sui lea i le faiga tausiga. O fale teu oloa fou uma e amata ona tausisia tulafono, ma o su'esu'ega fa'alekuata uma e vave ona iloa le sese.
O se fa'afetai fa'amaoni ia Farshad Abasi, Cameron Walters, ma le vaega faigaluega a le OWASP SPVS. O galuega fa'apenei e fa'aitiitia ai le tulaga mo fa'alapotopotoga uma e manana'o e fa'atino le puipuiga o le sapalai i se faiga fa'asolosolo nai lo le faia o se gaioiga fa'afuase'i.
Key Takeaway
O nisi nei o mea e faaliliu i tua atu o lo tatou tulaga patino:
- E fa'ata'ita'i ai: La'u mai le CSV o mana'oga a le SPVS ma fa'afanua au pulega o lo'o iai nei i totonu o se siata. O le a e iloa i totonu o le aso e tasi pe talafeagai.
- Filifili se tasi tulaga e te manaʻo ai ma lafo i luga aʻo leʻi oʻo atu i le isi. O le L1 i le L2 i le L3 o se foliga, ae le o se tapulaʻa.
- le pipeline o le sini lea. E manaʻomia pulega e taulaʻi i talosaga ae e le lava; togafitia le pipeline e avea o se osofa'iga sili ona lelei.
- Fa'amaonia le atoaga pipeline, e le o se fasi pepa e tasi. O le malosi i le su'esu'eina o le fa'alagolago e le fa'atumuina ai le vaivai o le pulega o fa'asalalauga po'o ni siosiomaga fausiaina e le'o mata'ituina.
- O siata laulau o ni ata pu'upu'u; o le fesuia'iga e faifai pea. Fausia se masini otometi, e tusa lava pe o se meafaigaluega faigofie i totonu o le kamupani, e iloa ai le eseesega i le va o su'esu'ega.
- E sili atu le faigata o galuega faʻalefaʻalapotopotoga nai lo galuega faʻapitoa. Fa'atulaga se taimi e talanoa ai ma fa'ata'ita'i a'o le'i fa'alauiloaina, ma fa'amatala le taufa'amata'u patino o lo'o poloka e pulega ta'itasi.
Faitau Atili
- OWASP: saogalemu Pipeline faʻamausalīga Standard (SPVS) v1.0. Itūlau o le Galuega Faatino a le OWASP.
- Farshad Abasi: Aiseā na Matou Fausia ai le OWASP SPVS. Tusitusiga a le OWASP SPVS.
- Farshad Abasi: Pipeline Ua Fa'ateteleina Osofa'iga. O le Auala Lenei e Sauniuni Ai. Tusitusiga a le OWASP SPVS.
- Farshad Abasi: OWASP SPVS vs. Isi Fa'avae o le Sapalai. Tusitusiga a le OWASP SPVS.
- OWASP: Top 10 CI/CD Lamatiaga o le Puipuiga. Itūlau o le Galuega Faatino a le OWASP.
- SLSA: Tulaga o le Sapalai mo Mea Tau Polokalama Faakomepiuta.slsa.dev.
- OpenSSF: Tusitusiga sikoa.securityscorecards.dev.
