Supply chain security (SBOM, signing)
Тема дорожной карты · DevOps Engineer
Безопасность supply chain — это integrity каждого куска кода, зависимости, образа и артефакта, который оказывается в продакшене. Модель угроз: вредоносная зависимость (event-stream), скомпрометированный сборочный инструмент (SolarWinds, XZ Utils) или отравленный базовый образ. Защита: SBOM-ы (Software Bill of Materials), воспроизводимые сборки, подписанные артефакты (Sigstore/cosign), запиннингованные зависимости и фреймворк SLSA для уровней integrity build-пайплайна.
Как это работает
Supply chain security (SBOM, signing) для платформенных инженеров покрывает hardening ОС, сегментацию сетей, IAM, secrets management и защиту supply chain. Linux hardening — это CIS benchmarks (отключить ненужные сервисы, ограничить SSH, включить auditd). IAM следует least privilege: каждый пайплайн получает свой service account только с нужными ему правами. Секреты живут в Vault, AWS Secrets Manager или Yandex Lockbox — никогда в Git, никогда в env-переменных, видимых через printenv. Supply chain: подписывайте артефакты (Cosign, Sigstore), генерируйте SBOM (Syft), сканируйте на CVE (Trivy, Grype), используйте build-пайплайны с SLSA-уровнями.
Когда применять
Применяйте Supply chain security (SBOM, signing) с первого дня — security debt накапливается быстрее, чем feature debt. Минимум до публичного запуска: TLS везде (Let's Encrypt или Caddy), нет дефолтных паролей, IAM-роли на workload, секреты в vault, контейнерные images сканируются в CI, авто-патчи ОС включены. Для российских платформ, обрабатывающих персональные данные, 152-ФЗ требует задокументированные access controls, audit trails и incident response — Роскомнадзор проверяет бумаги не меньше технологии. Pen-тест ежегодно с момента появления выручки.
Типичные ошибки
Ловушки security: секреты в .env.example, закоммиченные в Git; долгоживущие AWS access keys вместо short-lived role assumption; "починим потом" исключения в CI-сканировании, остающиеся навсегда; нет политики ротации любого credential; IAM-политики, скопированные из блог-постов без понимания (Action: "*" не значит "все мои сервисы"); нет incident response playbook (при ransomware будете импровизировать плохо); нет patching policy (CVE-2014-0160 Heartbleed жил в продакшене месяцами у многих компаний).