אבטחת שרשרת אספקה ​​של תוכנה: רכיבים לשחרור

מה מדריך זה עוזר להשיג

• הכרת התלויות שסופקו בפועל.
• אימות מקור החפץ.
• קביעת סדרי עדיפויות לפגמים בהקשר.
• בדיקת החלפה והחזרה למצב קודם.

בדיקה מהירה

• האם רשימת החומרים תואמת את הגרסה שנפרסה?
• האם תלויות טרנזיטיביות כלולות?
• מי יכול לחתום על גרסה?
• האם פגיעות נגישה בשימושכם?
• האם ניתן להסיר רכיב קריטי ללא אלתור?

שיטה שלב אחר שלב

1. 1

   מיפוי מהדורות שנשלחו.

   זיהוי מאגרים, תלויות ישירות וטרנזיטיביות, בניית כלים, תמונות, שירותים חיצוניים ובעלים. חיבור כולם למהדורה ניתנת לאימות.

   תוצר: מפת מוצר, רכיב, גרסה ובעלים.

2. 2

   יצירת רשימת חומרים שמיש

   יצירת SBOM עבור כל מהדורה והשוואתה עם הממצאים שנשלחו בפועל. פתרון שמות לא מדויקים, גרסאות חסרות ורכיבים פנימיים.

   תוצר: SBOM מתוארך ומאומת.

3. 3

   הגנה על ה-build

   הגבלת זכויות פרסום, בידוד שלבים רגישים ושמירה על מקור, תקצירים וחתימות. אימות ראיות אלה לפני הפריסה.

   תוצר: רישום בנייה ומדיניות אימות.

4. 4

   התראות מיון

   חיבור כל הודעת פגיעות לרכיב, לגרסה, לחשיפה ולשימוש בפועל. הקצאת בעלים, מועד אחרון, החלטה וסגירה.

   תוצר: תור מיון הקשרי.

5. 5

   תרגול שינוי

   החלפת רכיב קריטי בסביבת בדיקה, בדיקת מסעות עסקיים תרגול החזרה למצב קודם. מדידת תלויות שחוסמות את השינוי.

   תוצר: דוח תרגיל החלפה וגיבוי.

6. 6

   שמירת ראיות

   סקירת רכיבים וספקים בעת שחרורים משמעותיים ולאחר אירועים. שמירת רשומות לתקופה התומכת בחקירה ובתיקון.

   תוצר: סקירת לוח שנה והיסטוריית שחרורים.

מדדי ניהול

טעויות נפוצות

• בלבול של מלאי מאגר עם רכיבים שנפרסו
• שמירת SBOM מבלי לעדכן אותו
• דירוג פגם רק לפי ניקוד
• חתימה על ארטיפקט מבלי לאמת את מקור הבנייה