अपनी सॉफ्टवेयर supply chain को कैसे सुरक्षित करते हैं?

यह काबू में रखें कि अंदर क्या जाता है, बाहर क्या आता है, और पाइपलाइन कौन बदल सकता है। dependencies को lockfile से pin करें, उन्हें अंदरूनी proxy या mirror से खींचें, और हर build पर ज्ञात vulnerabilities के लिए scan करें। SBOM बनाएं और नतीजे वाले artifact को sign करें ताकि deploy step provenance जांच सके। खुद build सिस्टम को कसें: अल्पजीवी credentials, protected branches, पाइपलाइन परिभाषाओं पर रिव्यू, और अलग थलग ephemeral runners।

मैं इसे तीन परतों में सोचता हूं। inputs: dependencies lockfile से pin होती हैं और अंदरूनी proxy से आती हैं, ताकि कोई package upstream से गायब हो जाए या बदल दिया जाए तो build न टूटे और न ज़हरीली हो, और सब कुछ ज्ञात vulnerabilities के लिए scan होता है, ऐसी policy के साथ जो fix वाले high severity मुद्दों पर fail करती है। base images digest से pin होती हैं और तय समय पर दोबारा build होती हैं ताकि patches सच में उतरें। मेरी नज़र में build खुद प्रोडक्शन इंफ्रास्ट्रक्चर है, तो runners ephemeral और अलग थलग होते हैं, पाइपलाइन परिभाषा protected है और एप्लिकेशन कोड जैसी ही रिव्यू होती है, और कोई लंबे समय वाले cloud credentials नहीं, सिर्फ अल्पजीवी federated। outputs: हर artifact को SBOM और signature मिलता है, और deployment step उस signature को जांचता है ताकि cluster ऐसी किसी भी चीज़ से मना कर दे जो हमारी पाइपलाइन से नहीं आई। आखिरी हिस्सा वही है जिसे लोग छोड़ देते हैं, और वही signing को checkbox से असली कंट्रोल बनाता है। मुझे इसकी परवाह इसलिए है कि दुनिया भर की dependency scanning बेकार है अगर कोई सीधे registry में image push कर सकता है।