Segurança de dependências e da cadeia de fornecimento (SCA)

Os aplicativos modernos são construídos principalmente com dependências de terceiros. Um único pacote vulnerável em uma camada profunda da árvore de dependências pode comprometer todo o aplicativo.

Esse é o risco da cadeia de suprimentos de software, e protegê-la é uma parte essencial de DevSecOps.

Análise da composição de software (SCA) verifica as dependências do seu projeto e as compara com bancos de dados de vulnerabilidades conhecidas (CVEs).

Ao contrário de SAST, que inspeciona o seu código, a SCA se concentra nas bibliotecas que você importa.

• Detecta versões conhecidamente vulneráveis
• Sinaliza licenças arriscadas ou incompatíveis
• Sugere versões seguras para atualização

O GitHub fornece o Dependabot, que verifica continuamente seus arquivos de manifesto e gera alertas quando uma dependência apresenta uma vulnerabilidade conhecida.

Você pode ativá-lo em Configurações > Segurança e análise do código. Os alertas aparecem na aba Segurança com classificações de gravidade.

O Dependabot também pode abrir solicitações de alteração que atualizam automaticamente as dependências vulneráveis. Configure-o com um arquivo dependabot.yml.

A ação de revisão de dependências é executada nas solicitações de alteração e bloqueia a mesclagem se uma delas introduzir uma dependência com uma vulnerabilidade conhecida.

Isso antecipa a segurança, identificando pacotes arriscados antes que cheguem à ramificação principal.

As ações chamadas em um processo também são dependências. Referenciar @v4 significa confiar em quem controla essa marca.

Para obter o máximo de segurança, fixe as ações em um SHA completo da confirmação, que é imutável.

Um arquivo de bloqueio (como package-lock.json ou poetry.lock) fixa versões exatas e resumos criptográficos das dependências.

Na integração contínua, use um comando de instalação determinístico para que as compilações sejam reproduzíveis e não possam obter silenciosamente uma versão adulterada.

Uma lista de materiais de software (SBOM) é um inventário completo de cada componente da sua compilação. Ela é cada vez mais exigida para fins de conformidade.

O GitHub pode exportar um SBOM no formato SPDX, e ferramentas como Syft podem gerar um dentro da integração contínua.

A SCA também abrange o risco de licenças. Incluir uma biblioteca licenciada sob GPL em um produto proprietário pode criar obrigações legais.

Configure sua ferramenta de análise para sinalizar ou bloquear licenças não permitidas, para que o problema apareça no processo, e não durante uma auditoria.

A detecção só ajuda se impedir a entrada de código inadequado. Configure controles de SCA para interromper o processo quando uma vulnerabilidade crítica for encontrada.

Defina um limite de gravidade para que descobertas de baixo risco gerem avisos, enquanto descobertas críticas bloqueiem a mesclagem ou a implantação.

Novas vulnerabilidades são divulgadas diariamente, portanto uma verificação única não é suficiente. Execute a SCA conforme um agendamento e também em cada solicitação de alteração.

Isso identifica pacotes que eram seguros no momento da mesclagem, mas se tornaram vulneráveis depois.

Teste sua compreensão da segurança da cadeia de suprimentos.

Você aprendeu a proteger a cadeia de suprimentos de software.

• A SCA verifica as dependências em busca de vulnerabilidades conhecidas
• O Dependabot envia alertas e atualiza automaticamente os pacotes arriscados
• A revisão de dependências bloqueia solicitações de alteração arriscadas
• Fixe as ações em SHAs, use arquivos de bloqueio e gere um SBOM

Com SAST e gerenciamento de segredos, isso completa um processo seguro.