Google推出软件供应链安全框架-低调大师

Google推出软件供应链安全框架

2021-06-18 683

为了应对不断升级的软件供应链安全威胁，Google近日推出了一个软件供应链安全框架——SLSA。

熟练的攻击者们已经发现软件供应链才是软件行业的软肋。除了改变游戏规则的SolarWinds供应链攻击之外，Google还指出了最近的Codecov供应链攻击，甚至网络安全公司Rapid7也成了受害者。

Google将SLSA描述为“用于确保整个软件供应链中软件工件完整性的端到端框架”。

SLSA以Google内部的“Borg二进制授权”(BAB)为主导——Google八年来一直使用这一流程来验证代码出处和实现代码身份。

Google在一份白皮书中指出，BAB的目标是通过确保部署在Google的生产软件得到适当审查来降低内部风险，特别是当这些代码可以访问用户数据时。

Google的开源安全团队的专家指出：“SLSA的目标是改善软件行业安全状况，尤其是开源软件，以抵御最紧迫的完整性威胁。通过SLSA，消费者可以对他们使用的软件的安全状况做出明智的选择。”

SLSA希望锁定软件开发链中的所有内容，从开发人员到源代码、开发平台和CI/CD系统、以及包存储库和依赖项。

依赖性是开源软件项目的主要弱点。2月，Google为关键的开源软件开发提出了新协议，该协议需要两个独立方的代码审查，并且维护人员需要使用双因素身份验证。

Google认为更高的SLSA级别将有助于防止类似SolarWinds的软件供应链攻击，以及防范CodeCov攻击。

虽然SLSA框架目前只是一套指导方针，但Google预计其最终将提供超过最佳实践的可执行性。

“它将支持自动创建可审计的元数据，这些元数据可以输入到策略引擎中，从而为特定的包或构建平台提供SLSA认证。”Google指出。

SLSA分为四个级别，其中第四级别是所有软件开发过程都受到保护的理想状态，如下图所示：

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202106/667111.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

宜家设计员工监控系统被罚120万美元

近日，据BBC报道，一家法国法院以非法监视400名客户和员工为由对瑞典家具巨头宜家公司的法国子公司处以120万美元罚款。据英国广播公司报道，检察官表示，该公司总共非法监视了约400人。据德国之声报道，宜家法国前首席执行官让·路易斯·巴约(Jean-Louis Baillot)也因“存储个人数据”而被个人罚款5万欧元，并被法国法院判处两年缓刑。据德国之声报道，另有十几人因间谍计划而受审，其中包括四名被控交出机密记录的警察和一名宜家法国公司的前任首席执行官。据报道，这家家具销售子公司被判在2009年至2012年期间犯有经营非法业务的罪名，该业务涉及雇用一家私人安保公司Eirspace来挖掘其员工和对手的污点。在一个例子中，宜家法国公司调查了一名员工，以了解为什么他的薪水能买得起宝马。据BBC报道，一位门店经理帕特里克·索维 (Patrick Soavi)向法庭描述了他如何要求一名警官表弟“关注”49名求职者。后来，他又提供了68个人名进行非法背景调查。去年春天，宜家法国前风险管理业务负责人让弗朗索瓦·帕里斯作证说，他每年为外部安全公司Eispace进行此类调查的预算在63.3万...

2021-06-18

595

>本文案例收录在 https://github.com/chengxy-nds/Springboot-Notebook 也当过面试官，面试过不少应聘者，因为是我自己招人自己用，所以我不会看应聘者造火箭的技术有多牛比，只看拧螺丝的手艺瓷不瓷实。毕竟以后是一个整体，拖了大家后腿团队都很难受。面试的题目一般也不会太难，就像问`Redis`，我只是想确认他真正用过就够了。`Redis` 5种基础数据结构和简单操作要知道，最基本的要求，如果这个时候他会说出每种数据结构大致的应用场景，那么这一定是加分的，起码要比那些只会说出几种数据结构后，在那干瞪眼等我问下一个问题的强很多，千万别冷场。有想交流技术或面试经验的可以加我`VX：xinzhifu521`，一定知无不言，好了就聊这么多进入正题！ --- ### Redis基础数据结构有哪些？ #### 一、String（字符串）在任何一种编程语言里，字符串`String`都是最基础的数据结构，那你有想过`Redis`中存储一个字符串都进行了哪些操作嘛？在`Redis`中`String`是可以修改的，称为`动态字符串`(`Simple Dy...

2021-06-18

650

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。