Supply Chain Security
Supply-Chain-Security schützt die Software-Lieferkette (Abhängigkeiten/Builds/Verteilung) vor Injektionsangriffen, mittels Signaturen, Lockfiles, SBOMs und reproduzierbaren Builds.
Zweck
Bösartige Abhängigkeiten und Build-Artefakt-Injektion verhindern und die Herkunft von Software vertrauenswürdig halten.
Mechanismus
Lockfiles pinnen Abhängigkeitsversionen. Abhängigkeits-Audits (npm audit/Trivy) finden Schwachstellen. Signierte Images (Cosign) verifizieren die Herkunft. SBOMs listen alle Abhängigkeiten. Reproduzierbare Builds prüfen die Build-Integrität. Das SLSA-Framework stuft die Reife ein.
Anwendungsfälle
- Abhängigkeitssicherheit
- Image-Signierung
- SBOM nutzen