क्या है सप्लाई चेन सुरक्षा
सॉफ्टवेयर घटकों को समझौते से बचाना
सप्लाई चेन सुरक्षा विकास और डिलीवरी के किसी भी चरण में सभी सॉफ्टवेयर घटकों को समझौते से बचाने के उपायों का एक सेट है।
खतरे
- डिपेंडेंसी में दुर्भावनापूर्ण कोड
- समझौता किए गए npm/PyPI पैकेज
- CI/CD पाइपलाइन हमले
- बिल्ड आर्टिफैक्ट प्रतिस्थापन
- ओपन-सोर्स लाइब्रेरी में कमजोरियां
सुरक्षा उपाय
- डिपेंडेंसी ऑडिटिंग (npm audit, Snyk)
- पैकेज साइनिंग और वेरिफिकेशन
- SBOM (सॉफ्टवेयर बिल ऑफ मैटेरियल्स)
- Lockfiles और वर्शन पिनिंग
- प्राइवेट पैकेज रिपॉजिटरी
उपकरण
- Dependabot / Renovate
- Snyk, Sonatype Nexus
- Sigstore / Cosign
- SLSA Framework
- GitHub Advanced Security
सर्वोत्तम प्रथाएं
- डिपेंडेंसी कम करें
- नियमित लाइब्रेरी अपडेट
- CVE और कमजोरी मॉनिटरिंग
- पैकेज प्रतिष्ठा सत्यापन
- बिल्ड एनवायरनमेंट आइसोलेशन