Supply Chain Security
La seguridad de la cadena de suministro protege la cadena del software (dependencias/compilación/distribución) contra ataques de inyección, usando firmas, lock files, SBOM y compilaciones reproducibles.
Propósito
Evitar dependencias maliciosas e inyección de artefactos de compilación, manteniendo fiable la procedencia del software.
Mecanismo
Los lock files fijan versiones de dependencias. Las auditorías (npm audit/Trivy) detectan vulnerabilidades. Las imágenes firmadas (Cosign) verifican la procedencia. Los SBOM enumeran todas las dependencias. Las compilaciones reproducibles verifican la integridad. El marco SLSA gradúa la madurez.
Casos de uso
- Seguridad de dependencias
- Firma de imágenes
- Uso de SBOM