Blog của kỹ sư SCSK!
Đã lâu rồi Đây là Kawasugi, phụ trách phiên họp thứ 34 Lần này chúng tôi sẽ giới thiệu chính sách chuỗi cung ứng của tỷ lệ cá cược world cup hôm nay
Vậy thì đi thôi!

Tấn công chuỗi cung ứng là gì?

Các bạn có biết về chuỗi cung ứng phần mềm không?Chuỗi cung ứng phần mềm là thuật ngữ chung để chỉ chuỗi quy trình và các yếu tố liên quan cho đến khi phần mềm được phát hành trong môi trường sản xuất, chẳng hạn như mã nguồn, thư viện, bản dựng và thử nghiệmTrong những năm gần đây, các cuộc tấn công nhắm vào chuỗi cung ứng phần mềm này đang thu hút rất nhiều sự chú ý, chủ yếu ở nước ngoài Các cuộc tấn công thông thường chủ yếu nhắm vào các lỗ hổng trong hệ thống bị lộ ra bên ngoài, chẳng hạn như ``dịch vụ web công cộng'' và ``thiết bị VPN'' Tuy nhiên,Các cuộc tấn công chuỗi cung ứng nhắm vào các điểm cung cấp phần mềm

Các cuộc tấn công sau đây là ví dụ

• Đánh cắp môi trường xây dựng
  Tấn công máy chủ CI/CD và đưa mã độc vào hình ảnh vùng chứa và tệp nhị phân
• Thay thế các gói phụ thuộc
  Sử dụng lỗ hổng trong trình quản lý gói để thay thế gói hợp pháp bằng phần mềm độc hại
• Xáo trộn sổ đăng ký vùng chứa
  Phát tán hình ảnh độc hại bằng cách xâm nhập vào các kho lưu trữ và cơ quan đăng ký hợp pháp rồi viết lại nội dung trong khi không thay đổi tên thẻ của hình ảnh vùng chứa

Bằng cách tận dụng các quy trình được các nhà phát triển và nhà điều hành tin cậy, việc phát hiện các cuộc tấn công có thể bị trì hoãn và có thể gây ra thiệt hại nghiêm trọngCó thể Các biện pháp đối phó chống lại các cuộc tấn công như vậy không chỉ bao gồm xử lý các lỗ hổng gói mà cònĐảm bảo tính minh bạch của phần mềm bằng SBOM và kiểm tra giả mạo bằng cách kiểm tra chữ ký của hình ảnh vùng chứa có hiệu quả

Giới thiệu về chính sách chuỗi cung ứng

Chính sách chuỗi cung ứng của tỷ lệ cá cược world cup hôm nay kiểm tra xem hình ảnh mục tiêu có được ký hay khôngHình ảnh thiếu chữ ký hoặc không xác minh được chữ ký được coi là vi phạm chính sáchViệc xác minh chữ ký được thực hiện bởi Bộ điều khiển tiếp nhận tỷ lệ cá cược world cup hôm nay trước khi triển khai hình ảnh vùng chứaNgoài ra, bạn có thể đặt chặn triển khai hoặc hiển thị cảnh báo trên CLI dưới dạng hành động sau khi phát hiệnXác minh chữ ký không thành công nếu hình ảnh vùng chứa bị giả mạoTính năng hay giúp bảo vệ chuỗi cung ứng
Để biết chi tiết về chức năng, vui lòng tham khảo tài liệu chính thức của tỷ lệ cá cược world cup hôm nay bên dưới

Chuẩn bị trước

Từ đây, chúng ta hãy hiểu sâu hơn về chính sách chuỗi cung ứng bằng cách xem các ví dụ
Hãy bắt đầu bằng việc chuẩn bị xác minh
Các mục sau đây phải được chuẩn bị trước cho việc xác minh này

• Máy chủ Linux nơi Cosign được cài đặt
• Triển khai tác nhân tỷ lệ cá cược world cup hôm nay với Bộ điều khiển nhập học và chuỗi cung ứng đã bật

Các bước hỗ trợ Chính sách chuỗi cung ứng và Kiểm soát viên tuyển sinh
Vui lòng thêm thông tin sau vào valueyaml của Shield

tính năng:

　

Vui lòng xem bên dưới để biết chi tiết về cách bật Người kiểm soát tuyển sinh

Hãy xác minh

Trước tiên, hãy cài đặt cosign trên máy chủ Linux và tạo khóa chung
*Nếu bạn đang xác minh việc triển khai sản xuất, vui lòng đặt khóa chung của chữ ký hình ảnh vùng chứa và thông tin nhà cung cấp OIDC được sử dụng trong môi trường của bạn Khi xác minh, vui lòng tham khảo các hạn chế trong URL bên dưới

Đăng nhập vào bất kỳ máy chủ Linux nào và thực hiện lệnh bên dưới

$=$(curl https://apigithubcom/repos/sigstore/cosign/releases/latest | grep tag_name | cut -d : -f2 | tr -d "v\", ")curl -O -L "https://githubcom/sigstore/cosign/releases/latest/download/cosign-$

Phương pháp cài đặt khác nhau tùy thuộc vào trình quản lý gói của máy chủ

Tạo khóa chung và khóa riêng có cùng dấu và kiểm tra nội dung của khóa chung

$cosign tạo-cặp khóa

Tiếp theo, tạo chính sách chuỗi cung ứng
Chính sách chuỗi cung ứng yêu cầu thông tin khóa công khai mà bạn đã tạo trước đó

Bây giờ bạn đã sẵn sàng
Tiếp theo, hãy kéo một hộp đựng phù hợp và dùng thử

$oc chạy redis --image=redis -n mặc định

Đã phát hiện như mong đợi
Lần này, hành động sau khi phát hiện được đặt thành Cảnh báo, do đó nội dung cảnh báo sẽ được hiển thị trên CLI
Cảnh báo: x không thể truy xuất bản kê khai chữ ký hình ảnh được hiển thị, vì vậy có vẻ như hình ảnh vùng chứa chưa được ký và không thể truy xuất được

Hãy kiểm tra nó trên màn hình GUI tỷ lệ cá cược world cup hôm nay
Có thể kiểm tra kết quả phát hiện từ màn hình Sự kiện
Nó sẽ được hiển thị như bên dưới

Cuối cùng

Lần này chúng tôi đã giới thiệu chính sách chuỗi cung ứng
Trong môi trường dựa trên nền tảng đám mây, có những khu vực mà chỉ quét lỗ hổng bảo mật không thể ngăn chặn được và không khó để tưởng tượng rằng các cuộc tấn công nhắm vào những khu vực này sẽ tiếp tục xuất hiện
tỷ lệ cá cược world cup hôm nay cũng có thể kiểm tra SBOM nên nó cũng hữu ích như một công cụ đối phó với chuỗi cung ứng phần mềm Nếu bạn lo ngại về các biện pháp chuỗi cung ứng phần mềm, vui lòng đăng ký PoC của tỷ lệ cá cược world cup hôm nay và dùng thử

Giới thiệu người phụ trách