Slim.AI wprowadza zabezpieczenie kontenera łańcucha dostaw oprogramowania w wersji beta jako usługę

Chcesz mieć pewność, że Twój kod jest bezpieczny? Slim.AI pomaga zabezpieczyć skonteneryzowane programy dzięki podejściu „Four S” — zestawieniom materiałów oprogramowania (SBOM), podpisywania, odchudzaniu i udostępnianiu.

Austin, Teksas: Na własnej skórze przekonaliśmy się, że jak to ujął dyrektor generalny Slim.AI, John Amaral, „Twój łańcuch dostaw oprogramowania jest tak bezpieczny, jak jego najsłabsze ogniwo”. Amen, bracie!

Dyrektor generalny Slim.AI, John Amaral: „Naszą podstawową wartością jest «Poznaj swoje oprogramowanie». "

Najlepszymi przykładami są liczne głośne ataki, naruszenia i exploity, takie jak fiasko SolarWinds i luka w zabezpieczeniach Log4J. Rzeczywiście zrobiło się tak źle, że prezydent Joseph Biden wydał zarządzenie wzywające nas wszystkich do zabezpieczenia łańcucha dostaw oprogramowania. Kiedy politycy zwracają uwagę na oprogramowanie, sprawy stają się realne.

Slim.AI podejmuje to wyzwanie, ogłaszając na szczycie Open Source w Austin w Teksasie usługę bezpieczeństwa łańcucha dostaw oprogramowania w wersji beta. Ta usługa pomoże organizacjom w sposób ciągły i automatycznie optymalizować i zabezpieczać ich kontenery oraz minimalizować ryzyko w łańcuchu dostaw oprogramowania.

Ta usługa jest budowana na fundamencie projektu open source firmy Slim.AI, DockerSlim. Ten popularny program dla programistów optymalizuje i zabezpiecza kontenery, analizując kod i wyrzucając niepotrzebny kod, „odchudzając” w ten sposób powierzchnię ataku kontenerów. Może również zmniejszyć rozmiar pojemnika nawet 30-krotnie.

Imponujące. Jak powiedział Amaral: „Obecnie dziesiątki tysięcy programistów i zespołów korzysta z otwartego oprogramowania Slim i bezpłatnego oprogramowania SaaS, aby zrozumieć, co znajduje się w ich kontenerach, zmniejszyć powierzchnię ataku kontenerów, usunąć luki w zabezpieczeniach i dostarczyć tylko taki kod, jakiego potrzebują”. projekt open source nie jest skalowalny. Dzięki tej nowej usłudze Amaral kontynuował: „Przechodzimy od pomagania indywidualnym programistom i małym zespołom do rozwiązania, które umożliwia organizacjom ciągłe i automatyczne osiąganie tych wyników na dużą skalę”.

Odbywa się to poprzez integrację kodu z rejestrami kontenerów, potokami ciągłej integracji/ciągłego wdrażania (CI/CD) i narzędziami, dzięki czemu można go zautomatyzować i zintegrować z istniejącymi przepływami pracy, aby szybko dostarczać bezpieczne oprogramowanie do środowiska produkcyjnego.

Obecne i planowane integracje obejmują rejestry Docker, AWS ECR, Google GCR, GitHub, DigitalOcean i Quay oraz platformy Jenkins, GitLab i GitHub CI/CD. Interfejsy programowania aplikacji (API) są również udostępniane partnerom wczesnego dostępu.

Ponadto, dzięki interfejsom API, usługa umożliwia korzystanie z wielu skanerów podatności na kontenerach w celu znalezienia problemów związanych z bezpieczeństwem, zanim Cię ugryzą.

Wszystko to stanowi część tego, co Amaral nazywa „Czterema stopniem bezpieczeństwa łańcucha dostaw oprogramowania”.

Dobra wiadomość na temat łańcucha dostaw oprogramowania typu open source jest taka, jak wyjaśnił Amaral, „programistom naprawdę łatwo jest włączyć ogromne biblioteki kodu do aplikacji, spakować je do kontenerów i wysłać do produkcji jednym kliknięciem. Działający kod w produkcji jest dzieckiem ogromnego łańcucha dostaw.” Zła wiadomość jest taka, że „ponosi korzyści i ryzyko związane ze wszystkimi decyzjami, wkładem, funkcjami i wadami ujawnionymi łącznie przez jego twórców”.

Jak niedawno zauważyła firma CodeNotary zajmująca się łańcuchem dostaw oprogramowania: „Oprogramowanie nigdy nie jest kompletne, a baza kodu wraz z jego zależnościami jest dokumentem stale aktualizowanym. To automatycznie oznacza, że należy je śledzić, zarówno dobre, jak i złe, pamiętając, że coś dobrego może stać się złym.” Tak, dokładnie tak!

Zdaniem Amarala odpowiedzią jest zbudowanie kompleksowego, zautomatyzowanego programu bezpieczeństwa łańcucha dostaw oprogramowania (SSCS): „Cztery S”. To są:

1. Lista materiałów oprogramowania: jest to lista wszystkich komponentów oprogramowania, takich jak biblioteki typu open source i komponenty innych firm. Dobrze znane podejścia SBOM obejmują platformę Linux Foundation Software Package Data Exchange (SPDX) i poziomy łańcucha dostaw dla artefaktów oprogramowania, czyli SLSA (salsa).

2. Podpisywanie: podpisywanie to sposób cyfrowego dołączenia zweryfikowanej, niezmiennej tożsamości programisty do fragmentu kodu. W połączeniu z innymi narzędziami pozwala na utworzenie przejrzystego, bezpiecznego kryptograficznie rejestru zmian oprogramowania i manifestuje stały i niezawodny cyfrowy łańcuch dostaw oprogramowania i powiązanych artefaktów. Sigstore i notariusz.

3. Odchudzanie: minimalizuje to obciążenie kodu produkcyjnego poprzez usunięcie niepotrzebnego kodu. Z natury zmniejsza także złożoność łańcucha dostaw oprogramowania, powierzchnię ataku oprogramowania i łączne ryzyko.

4. Udostępnianie: żadna osoba ani organizacja nie może zapewnić kompleksowego rozwiązania SSCS. Komunikacja na temat SSCS i współpraca nad rozwiązaniami zarówno w Twojej organizacji, jak i z innymi grupami są niezbędne do rozwoju branży i ochrony naszego globalnego ekosystemu opartego na oprogramowaniu. Jeśli chodzi o bezpieczeństwo oprogramowania typu open source, wszyscy jesteśmy w tym razem.

W firmie Slim Amaral podsumował: „Naszą podstawową wartością jest «Poznaj swoje oprogramowanie». Narzędzia Slim.AI można używać wraz ze skanerami podatności i generatorami SBOM, aby stworzyć całościowy obraz łańcucha dostaw oprogramowania”. Dzięki optymalizacji Slim możesz mieć pewność, że zespoły wysyłają tylko to, czego potrzebują do produkcji.

Chcieć wiedzieć więcej? Skontaktuj się z zespołem Slim.AI, aby uzyskać wcześniejszy dostęp. Jeśli jesteś na Open Source Summit, możesz odwiedzić zespół Slim.AI i dowiedzieć się więcej o programie na stoisku B2.