زنجیره تامین نرم‌افزار تمام ابزارها، کتابخانه‌ها، Buildها و فرایندهایی را شامل می‌شود که برای تولید نسخه نهایی برنامه لازم‌اند.
یک سناریوی واقعی
پکیج آلوده یا Image ناشناخته می‌تواند امنیت محصول را به خطر بیندازد.
نکته فنی
Lockfile، بررسی Dependency، SBOM و امضای Artifact از روش‌های کاهش ریسک هستند.
برای انتخاب ابزار، ابتدا نوع مسئله و محدودیت‌های پروژه را مشخص کنید.
ریسک زنجیره تامین نرم‌افزار
یک وابستگی آسیب‌پذیر یا بسته آلوده می‌تواند از طریق سیستم Build وارد برنامه شود. قفل نسخه بسته‌ها، بررسی امضا، اسکن وابستگی و کنترل دسترسی CI/CD از کنترل‌های مهم‌اند.