Bağımlılıkları sürdürün
anlaşılır.
Önemli üçüncü taraf bileşenlerini belirleme ve bunlardan biri değiştiğinde, bozulduğunda veya kullanılamaz hale geldiğinde nasıl yanıt verileceği konusunda uzlaşma sağlama konusunda pratik bir süreklilik rehberi. Bu bir güvenlik açığı taraması veya tedarikçi güvencesi değildir.
ŞUNLAR İÇİN KULLANIN: Sürüm öncesinde bağımlılık yüzeyini, sahipliği, sürüm kararlarını ve fallback varsayımlarını gözden geçirilebilir hale getirmek için kullanın.
Bir sonraki adımı yapın bilinen adım.
- Müşteri yolundaki bağımlılıkları listeleyin: uygulama paketleri, yapı araçları, harici API'ler, teslim sağlayıcıları ve operasyonel hizmetler. Her önemli bağımlılığa sorumlu bir sahip atayın.
- Sürüm delillerine sürümü veya hizmet yapılandırmasını kaydedin. İncelenmemiş ikameler yerine ekibin onaylı lockfile, provenance veya tedarikçi inceleme kontrollerini kullanın.
- Her bağımlılık için, gecikme veya kullanılamama durumunda müşteri tarafından görülen etkiyi ve varsa onaylı graceful-degradation veya escalation seçeneğini belgeleyin.
- Tedarikçi bildirimlerini ve gözlemlenen davranışı onaylı kanallar aracılığıyla inceleyin; bir olay sırasında yetkisiz olarak bağımlılığı değiştirmek yerine değişiklikleri normal gözden geçirilmiş sürüm yoluyla yapın.
Her önemli bağımlılığın bir sahibi, bir doğruluk kaynağı ve güncel bir sürüm referansı olduğunu kontrol edin.
Planlanan sürüm bağımlılık kümesini, ekibin onaylı araçlarını kullanarak gözden geçirilmiş lockfile veya platform kaydı ile karşılaştırın.
Tek bir bağımlılık kesintisini tabletop senaryosuyla canlandırın: kimin karar verdiğini, hangi müşteri davranışının kabul edilebilir olduğunu ve ne zaman yükseltileceğini belirleyin.
Kaynak notları, ödünç alınmış kesinlik değil.
Planlama temeli: OWASP yazılım tedarik zinciri rehberliği
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP, bağımlılık envanteri, uygun olduğu yerlerde otomatik SBOM oluşturma, izleme, version pinning, build-tool envanteri ve provenance kontrollerini önerir.
Yazarlık: SIU Enablement editoryal taslak; kaynağa bağlı operasyonel rehberlik. İnceleyen: Mühendislik, platform, güvenlik ve tedarikçi sahipleri önemli bağımlılık listesini inceler. Yeniden doğrula: Üç aylık olarak ve bir bağımlılık, yapı, tedarikçi veya fallback-mode değişikliğinden önce yeniden doğrulayın.