Sicurezza delle dipendenze e della supply chain (SCA)

Le applicazioni moderne sono composte principalmente da dipendenze di terze parti. Un singolo pacchetto vulnerabile in profondità nell'albero delle dipendenze può compromettere l'intera applicazione.

Questo è il rischio della software supply chain e proteggerla è una parte fondamentale del DevSecOps.

Software Composition Analysis (SCA) analizza le dipendenze del progetto e le confronta con database di vulnerabilità note (CVE).

A differenza di SAST, che esamina il proprio codice, SCA si concentra sulle librerie importate.

• Rileva le versioni note per essere vulnerabili
• Segnala le licenze rischiose o incompatibili
• Suggerisce versioni sicure a cui eseguire l'aggiornamento

GitHub mette a disposizione Dependabot, che analizza continuamente i file manifest e genera avvisi quando una dipendenza presenta una vulnerabilità nota.

Lo abiliti in Impostazioni > Sicurezza del codice e analisi. Gli avvisi vengono visualizzati nella scheda Security, con indicazioni sulla gravità.

Dependabot può anche aprire automaticamente pull request per aggiornare le dipendenze vulnerabili. Lo configuri con un file dependabot.yml.

dependency-review-action viene eseguita sulle pull request e blocca il merge se una PR introduce una dipendenza con una vulnerabilità nota.

In questo modo la sicurezza viene portata nelle fasi iniziali, individuando i pacchetti rischiosi prima che raggiungano il branch principale.

Le action chiamate in un workflow sono a loro volta dipendenze. Fare riferimento a @v4 significa fidarsi di chiunque controlli quel tag.

Per ottenere il massimo livello di sicurezza, fissi le action a uno SHA completo del commit, che è immutabile.

Un lockfile, come package-lock.json o poetry.lock, fissa le versioni esatte delle dipendenze e i relativi hash.

In CI utilizzi un comando di installazione deterministico, così le build sono riproducibili e non possono scaricare in modo silenzioso una versione manomessa.

Un Software Bill of Materials (SBOM) è un inventario completo di ogni componente presente nella build. È sempre più spesso richiesto per motivi di conformità.

GitHub può esportare un SBOM in formato SPDX e strumenti come Syft possono generarne uno all'interno della CI.

SCA copre anche il rischio legato alle licenze. Includere una libreria con licenza GPL in un prodotto proprietario può creare obblighi legali.

Configuri lo scanner affinché segnali o blocchi le licenze non consentite, in modo che il problema emerga nella CI anziché durante un audit.

Il rilevamento è utile solo se impedisce l'introduzione di codice problematico. Configuri i controlli SCA affinché facciano fallire la pipeline quando viene rilevata una vulnerabilità critica.

Imposti una soglia di gravità, in modo che i problemi a basso rischio generino un avviso mentre quelli critici blocchino il merge o il deploy.

Ogni giorno vengono divulgate nuove vulnerabilità, quindi una scansione una tantum non è sufficiente. Esegua SCA secondo una pianificazione e a ogni PR.

In questo modo vengono rilevati i pacchetti che erano sicuri al momento del merge, ma che sono diventati vulnerabili in seguito.

Verifichi la propria comprensione della sicurezza della supply chain.

Ha imparato a proteggere la software supply chain.

• SCA analizza le dipendenze alla ricerca di vulnerabilità note
• Dependabot genera avvisi e aggiorna automaticamente i pacchetti rischiosi
• La revisione delle dipendenze blocca le PR rischiose
• Fissi le action agli SHA, utilizzi i lockfile e generi un SBOM

Insieme a SAST e alla gestione dei secret, questi elementi completano una pipeline sicura.