Google針對(duì)軟件供應(yīng)鏈推出安全解決方案

針對(duì)軟件供應(yīng)鏈安全Google推出Software Delivery Shield，這是一個(gè)全托管軟件供應(yīng)鏈安全解決方案，其提供了一組模塊化功能，保護(hù)軟件供應(yīng)鏈的每個(gè)階段。

Software Delivery Shield覆蓋的范圍極廣，從開(kāi)發(fā)者工具到GKE、Cloud Code、Cloud Build、Cloud Deploy、Artifact Registry、Binary Authorization等一系列Google云計(jì)算服務(wù)，其主要解決軟件供應(yīng)鏈5大領(lǐng)域的安全問(wèn)題，分別是應(yīng)用程序開(kāi)發(fā)、軟件供應(yīng)、CI/CD、生產(chǎn)環(huán)境和政策，用戶可以根據(jù)需求，以及現(xiàn)有的環(huán)境和安全優(yōu)先層級(jí)，逐步采用Software Delivery Shield。

Software Delivery Shield的Cloud Workstations服務(wù)，能夠在Google云計(jì)算上提供全托管開(kāi)發(fā)環(huán)境，開(kāi)發(fā)人員可以通過(guò)瀏覽器隨時(shí)訪問(wèn)可自訂的開(kāi)發(fā)環(huán)境，同時(shí)IT和安全管理人員，也能夠簡(jiǎn)單地配置、擴(kuò)展和保護(hù)Google云計(jì)算的開(kāi)發(fā)環(huán)境。

官方提到，Cloud Workstations可以通過(guò)強(qiáng)化應(yīng)用程序開(kāi)發(fā)環(huán)境的安全態(tài)勢(shì)，左移開(kāi)發(fā)安全性。Cloud Workstations通過(guò)VPC服務(wù)控制、無(wú)本地存儲(chǔ)源碼，以及強(qiáng)迫鏡像文件更新和IAM訪問(wèn)政策，能夠有效解決常見(jiàn)本地開(kāi)發(fā)的痛點(diǎn)，像是程序代碼泄露、隱私風(fēng)險(xiǎn)和配置不一致等問(wèn)題。

Google也在Cloud Code IDE擴(kuò)展組件添加Source Protect功能，Source Protect能夠在IDE中提供即時(shí)安全保護(hù)，識(shí)別易受攻擊的相依項(xiàng)目和授權(quán)等問(wèn)題，而借由快速操作和回應(yīng)，可讓開(kāi)發(fā)人員即時(shí)調(diào)整程序代碼，減少未來(lái)需要修復(fù)的機(jī)會(huì)。

在保護(hù)軟件供應(yīng)鏈上，企業(yè)普遍使用開(kāi)源軟件成為具有挑戰(zhàn)性的問(wèn)題，Software Delivery Shield使DevOps團(tuán)隊(duì)可以在Artifact Registry安全地存儲(chǔ)、管理和保護(hù)構(gòu)件，通過(guò)集成Container Analysis掃描主動(dòng)偵測(cè)漏洞，Google也在該服務(wù)擴(kuò)展支持的語(yǔ)言，且除了掃描基礎(chǔ)鏡像文件，還能夠?qū)aven和Go容器，以及非容器化Maven組件進(jìn)行漏洞掃描。

而Google在5月的時(shí)候所推出Assured Open Source Software（Assured OSS）服務(wù)，也成為Software Delivery Shield的重點(diǎn)部分，提供企業(yè)和開(kāi)發(fā)商經(jīng)Google漏洞檢查和簽章的開(kāi)源組件。

在CI/CD工作管線上，Cloud Build和Cloud Deploy都具有高精細(xì)IAM控制、VPC服務(wù)控制、隔離和臨時(shí)環(huán)境等安全功能，使DevOps人員更好地管理構(gòu)建和部署過(guò)程，而對(duì)于生產(chǎn)環(huán)境中的應(yīng)用程序，GKE則內(nèi)置新的安全狀態(tài)管理功能，可識(shí)別和解決集群中的安全問(wèn)題，Cloud Run的安全面板則添加顯示SLSA構(gòu)建等級(jí)法遵資訊、構(gòu)建出處和已發(fā)現(xiàn)漏洞等供應(yīng)鏈安全資訊。

另外，Software Delivery Shield還具有基于信任的政策引擎，以創(chuàng)建和驗(yàn)證整個(gè)供應(yīng)鏈的信任鏈，Binary Authorization功能提供部署時(shí)的安全控制，可以確保GKE和Cloud Run部署受信任的容器鏡像文件，安全團(tuán)隊(duì)可以在開(kāi)發(fā)過(guò)程要求受信任的權(quán)威機(jī)構(gòu)映射像檔簽章，并在部署時(shí)強(qiáng)制驗(yàn)證簽章，確保只有經(jīng)過(guò)驗(yàn)證的內(nèi)容，可以集成進(jìn)構(gòu)建和發(fā)布程序，更嚴(yán)格地控制容器環(huán)境。