자동화된 CI/CD(지속적 통합/지속적 전달) 파이프라인은 개발 속도를 높이는 데 사용됩니다. 그러나 속도와 사용 편의성을 위해 구축되었다는 것은 대부분의 파이프라인이 본질적으로 보안을 염두에 두고 구축되지 않았다는 것을 의미합니다.
CI/CD 파이프라인은 내부에서 정확히 무슨 일이 일어나는지 알 수 없을 정도로 불투명합니다. 예, 지시 사항 목록을 작성합니다. 하지만 모든 일이 설명된 대로 정확하게 발생한다고 얼마나 확신합니까? 게다가 대부분의 파이프라인은 완전히 일시적이므로 나쁜 일이 발생하더라도 흔적이 남지 않습니다.
Scribe의 플랫폼은 CI/CD 보안 상태를 지속적으로 측정합니다.
Scribe는 SLSA, CIS 및 ESF와 같은 모범 사례에 대해 CI/CD 보안 상태를 지속적으로 측정합니다. 코드에 서명하고 빌드의 무결성을 검증하여 빌드 소비자와 무결성 배지를 공유합니다.
또한 Scribe는 프로덕션에 대한 컨테이너 액세스를 제어하는 정책을 적용합니다.
솔루션 요약 받기
CI/CD 자세 관리
보안 SDLC는 소프트웨어 공급망 보안에 매우 중요합니다. CI/CD 상태 관리는 검색을 자동화하고 보안 관행을 시행합니다.
개발 환경에서 SDLC 및 보안 인프라 사용에 대한 가시성은 기업의 과제입니다.
CI/CD 상태 관리에는 서버 인증, 공개 저장소/버킷에 대한 제한 및 키 만료가 포함되어야 합니다. 확인되지 않은 리소스 실행, 외부에서 변경된 이미지 참조 등 위험한 개발 관행을 제한하면 소프트웨어 보안이 향상되고 공급망 공격 위험이 줄어듭니다.
문서 읽기사용 중인 도구나 CI/CD 플랫폼에 관계없이 파이프라인이나 네트워크 보안을 개선할 수 있는 몇 가지 방법이 있습니다.
위협 모델링
네트워크 세분화
모니터링 및 경고
비밀 관리
최소 권한과 결합된 RBAC 원칙
Scribe를 사용하면 전례 없는 투명성을 얻을 수 있습니다
비교할 수 없는 가시성
Scribe는 소프트웨어 공급망의 업스트림과 다운스트림 모두에서 개발 환경과 그 너머의 "사건 지평선"에 대한 탁월한 가시성을 제공합니다.
안전한 코드 보장
Scribe를 사용하면 DevOps 팀은 CI/CD 파이프라인 전체의 모든 코드 변경 사항을 확인할 수 있습니다. 소프트웨어 개발자는 자신이 사용하는 아티팩트와 전달하는 코드가 안전하다고 확신할 수 있습니다.
목표의 정렬
DevOps, 개발자 및 보안 전문가를 조정함으로써 Scribe는 보다 원활하고 생산적인 작업을 가능하게 합니다.
