Provjerite što ulazi u izdanje

Pitajte je li ovisnost potrebna

Agent može predložiti paket koji naizgled rješava problem. Prijedlog nije dokaz da paket postoji ili da je prikladan. Prije instalacije provjerite točan registar, izdavača, naziv paketa i verziju.

Za izmišljeni CSV izvoz izvršno okruženje možda već pruža potrebno ponašanje. Novi paket ipak može biti prikladan, ali dodaje održavanje i putove izvršavanja. Usporedite trud implementacije s trajnim odgovornostima za ovisnost.

Pregledajte licencu i podržano izvršno okruženje. Pregledajte aktivnosti održavanja i relevantne sigurnosne obavijesti. Poznat naziv može označavati drugi paket u drugom registru. Uspješna instalacija pokazuje samo da je instalacija dovršena.

Pregledajte ponašanje instalacije i izgradnje

Ovisnosti mogu izvršavati kod tijekom instalacije ili izgradnje. U tim okruženjima ograničite vjerodajnice i mrežni pristup. Nemojte izložiti produkcijske tajne podatke poslu koji obrađuje nepouzdan pull request.

Upotrijebite commitnutu lock datoteku gdje je ekosustav podržava. Zahtijevajte da je izgradnja poštuje. Promjene lock datoteke pregledajte s promjenom izvornog koda, uključujući neočekivane tranzitivne pakete. Fiksiranje verzije poboljšava ponovljivost, ali ne čini ranjivu verziju sigurnom.

NIST-ov SSDF obuhvaća zaštitu softvera i razvojne postupke kroz cijeli životni ciklus. Upotrijebite tu širu perspektivu pri dizajnu okruženja izgradnje. Pročitajte okvir.

Razlikujte inventar od podrijetla

Popis softverskih sastavnica, odnosno SBOM, bilježi komponente softvera. Pomaže utvrditi zahvaćena izdanja kad komponenta postane problematična. Samostalno ne potvrđuje da su komponente sigurne.

Podrijetlo opisuje kako je artefakt proizveden. SLSA definira format podataka o podrijetlu za informacije o izgradnji i njezinim ulazima. Provjera mora povezati te informacije s pouzdanim proizvođačem i artefaktom koji namjeravate upotrijebiti. Datoteka nazvana „provenance” nije dovoljna. SLSA podrijetlo.

Za uslugu izvoza zabilježite lanac koji možete pregledati:

1. Pregledani commit određuje prihvaćeni izvorni kod.
2. Izgradnja određuje svoje ulaze i okruženje izvršavanja.
3. Artefakt ima stabilan kriptografski sažetak.
4. Provjere određuju artefakt ili izvorni kod koji su ispitale.
5. Postavljanje bilježi artefakt stavljen u ciljno okruženje.

Izbjegnite drugačiju ponovnu izgradnju nakon odobrenja bez definiranog procesa provjere. Promjenjiva oznaka poput latest kasnije može označavati drugi image.

Odlučite što nalaz znači

Nalaz ranjivosti zahtijeva kontekst: zahvaćenu verziju, mogućnost dosezanja zahvaćenog dijela koda tijekom izvršavanja, izloženost, dostupan ispravak i posljedicu. Zabilježite dokaze iza privremene iznimke. Dodijelite joj odgovornu osobu, istek i povod za pregled.

Nemojte isključiti cijeli skener zato što jedan nalaz nije primjenjiv. Nemojte tvrditi da je rezultat čist ako skeniranje nije dovršeno. Istek vremena, nepodržani paket ili nedostupan izvor sigurnosnih obavijesti znače da dokazi nedostaju.

Na kraju planirajte ažuriranja nakon izdavanja. Nove obavijesti mogu utjecati na jučer prihvaćeni artefakt. Osoba odgovorna za uslugu treba inventar, postupak reakcije i kapacitet za proizvodnju ispravljenog izdanja.

Nastavite s kontinuiranim upravljanjem ranjivostima kako biste povezali ponovljena skeniranja s provjerenim produkcijskim ispravcima.