Wie sicherst du deine Software-Lieferkette ab?

Kontrolliere, was reingeht, was rauskommt und wer die Pipeline ändern darf. Pinne Dependencies per Lockfile, zieh sie über einen internen Proxy oder Mirror und scanne bei jedem Build auf bekannte Schwachstellen. Erzeug eine SBOM und signiere das entstandene Artefakt, damit der Deploy-Schritt die Herkunft verifizieren kann. Sichere das Build-System selbst mit kurzlebigen Credentials, geschützten Branches, Review auf Pipeline-Definitionen und isolierten, kurzlebigen Runnern.

Ich denke in drei Schichten. Inputs: Dependencies sind per Lockfile gepinnt und laufen über einen internen Proxy, sodass ein Paket, das upstream verschwindet oder ersetzt wird, keinen Build bricht oder vergiftet, und alles wird auf bekannte Schwachstellen gescannt, mit einer Policy, die bei behebbaren High-Severity-Findings fehlschlägt. Base Images sind per Digest gepinnt und werden nach Zeitplan neu gebaut, damit Patches tatsächlich ankommen. Der Build selbst ist für mich Produktionsinfrastruktur, also sind Runner kurzlebig und isoliert, die Pipeline-Definition ist geschützt und wird wie Anwendungscode reviewt, und es gibt keine langlebigen Cloud-Credentials, nur kurzlebige föderierte. Outputs: Jedes Artefakt bekommt eine SBOM und eine Signatur, und der Deployment-Schritt verifiziert diese Signatur, sodass das Cluster alles ablehnt, was nicht aus unserer Pipeline kam. Genau diesen letzten Teil überspringen die meisten, und er ist der, der aus Signierung statt einer Checkbox eine echte Kontrolle macht. Der Grund, warum mir das wichtig ist: Alles Dependency-Scanning der Welt ist wertlos, wenn jemand ein Image direkt in die Registry pushen kann.