أبقِ التبعيات
مقروءة.
دليل عملي للاستمرارية لتحديد المكونات الطرف الثالث المهمة والاتفاق على كيفية الاستجابة عندما يتغير أحدها أو يتدهور أداؤه أو يصبح غير متاح. هذا ليس فحصًا للثغرات أو ضمانًا للمورد.
استخدمه لـ: استخدمه لجعل سطح التبعيات والملكية وقرارات الإصدارات وافتراضات التراجع قابلة للمراجعة قبل الإصدار.
قم بالخطوة التالية المعروفة.
- سجّل التبعيات في مسار العميل: حزم التطبيقات، أدوات البناء، APIs الخارجية، مزوِّدو التسليم، والخدمات التشغيلية. عيّن مالكًا مسؤولًا لكل تبعية مادية.
- سجّل الإصدار أو تكوين الخدمة في أدلة الإصدار. استخدم ملف القفل المعتمد من الفريق، أو ضوابط إثبات المنشأ، أو ضوابط مراجعة المورّد بدلاً من الاستبدالات غير المعتمدة.
- بالنسبة لكل تبعية، وثّق التأثير الظاهر على العملاء إذا تأخرت أو أصبحت غير متاحة، وخيار التدهور السلس الموافق عليه أو خيار التصعيد، إن وُجد.
- راجع إخطارات الموردين والسلوك المرصود عبر القنوات المعتمدة؛ أجرِ التغييرات عبر مسار الإصدار المراجع الاعتيادي بدلاً من تغيير تبعية أثناء حادث دون تفويض.
تحقّق من أن لكل تبعية مادية مالكًا ومصدرًا للحقيقة ومرجع إصدار حالي.
قارن مجموعة التبعيات المخططة للإصدار مع الـ lockfile المراجع أو سجل المنصة باستخدام أدوات الفريق المعتمدة.
نظّم تمرين محاكاة لانقطاع تبعية واحدة: حدد من يقرر، وما سلوك العملاء المقبول، ومتى يتم التصعيد.
ملاحظات المصدر، لا يقين مستعار.
أساس التخطيط: إرشادات OWASP لسلسلة توريد البرمجيات
- OWASP — Software Supply Chain Security Cheat Sheet ↗توصي OWASP بجرد التبعيات، وإنشاء SBOM آليًا حيثما كان مناسبًا، والمراقبة، وتثبيت الإصدارات، وجرد أدوات البناء، وضوابط إثبات المنشأ.
التأليف: مسودة تحريرية لتمكين SIU؛ إرشادات تشغيلية محدودة بالمصدر. تمت مراجعته بواسطة: يستعرض مالكو الهندسة والمنصة والأمن ومالكو الموردين قائمة التبعيات المادية. أعد التحقق: أعد التحقق ربع سنويًا وقبل أي تغيير في تبعية أو بناء أو مورد أو وضع التراجع (fallback-mode).