کنترل‌های ساخت برای امنیت زنجیره تأمین

آنچه یاد خواهید گرفت

حمله‌کنندگان مدرن به‌صورت روز افزون بر روی سیستم‌های ساخت و تحویل نرم‌افزار هدف می‌گیرند، نه فقط بر روی خود نرم‌افزار. در این دوره، کنترل‌های ساخت برای امنیت زنجیره تأمین، یاد می‌گیرید چگونه محیط توسعه و پایپ لاین CI/CD را در برابر دستکاری، حملات وابستگی و شکست‌های یکپارچگی مقاوم کنید. ابتدا، بررسی می‌کنید که چگونه می‌توانید جوامع ساخت را امن کنید؛ با اجرای اصل حداقل امتیاز، کنترل دسترسی توسعه‌دهندگان و سیستم‌ها، و ایجاد پایپ لاین پایدار با اثبات دستکاری و امضاهای قابل تأیید.

سپس یاد می‌گیرید چگونه مدیریت وابستگی‌های منبع باز و شخص ثالث را با تمرکز بر امنیت انجام دهید؛ شامل خودکارسازی شناسایی آسیب‌پذیری، ارزیابی ریسک بر اساس شهرت و نگهداری، و اعمال سیاست‌های تصویب و نظارت بر وابستگی‌ها. در مرحله بعد، یاد می‌گیرید چگونه مواد قضایی نرم‌افزاری (SBOM‌ها) را در SDLC خود ادغام کنید؛ با ایجاد خودکار SBOM در طول ساخت، پیگیری منشأ کامپوننت ها، و استفاده از SBOM برای کاربری‌های الویت‌سنجی و پاسخ به حوادث.

در نهایت، چارچوب‌های ساخت امن، از جمله SLSA ،NIST SSDF، و راهنمایی‌های زنجیره تأمین CIS را بررسی می‌کنید تا بدست چگونه بلوغ فعلی خود را ارزیابی کرده و کنترل‌های قابل اجرا را برای ایمن‌سازی چرخه عمر تحویل نرم‌افزار اولویت‌بندی کنید. در پایان این دوره، مهارت‌های لازم برای حفاظت از پایپ لاین توسعه نرم‌افزار، افزایش دید در زنجیره تأمین و دفاع پیشگیرانه در برابر دستکاری‌های جدید سیستم ساخت را خواهید داشت.