軟體供應鏈安全性
目錄
什麼是軟體供應鏈安全 (SSCS)？
SSCS 包含一系列旨在保護軟體開發全生命週期的實踐與策略，從最初的程式碼撰寫到部署與維護皆涵蓋在內。其重點在於保護所有組件，包括程式碼、依賴項、建置流程以及發布管道，以防止惡意行為者破壞軟體供應鏈。鑒於現今對開源函式庫與第三方組件的依賴日益加深，確保這些元素的完整性與安全性至關重要。
為什麼 SSCS 很重要？
由於針對軟體供應鏈的複雜網路攻擊日益增加，SSCS 的重要性已大幅提升。近期的安全事件以及對開源組件漏洞的利用，凸顯了採取穩健供應鏈安全措施的急迫需求。若軟體生命週期的任一環節遭到破壞，都可能導致廣泛的安全漏洞、資料外洩及重大財務損失。
Docker Hardened Images 如何協助實現 SSCS
Docker Hardened Images (DHI) 是專為安全而設計的容器映像檔，旨在解決現代軟體供應鏈安全所面臨的挑戰。透過將 DHI 整合到您的開發與部署流程中，您可以藉由以下功能增強組織的 SSCS 防禦能力：
極小化攻擊面：DHI 經過精心設計，極度精簡，移除了不必要的組件，將攻擊面減少高達 95%。這種「去發行版 (distroless)」的方法最大限度地減少了惡意行為者潛在的切入點。
加密簽章與來源追溯：每個 DHI 皆經過加密簽章，確保其真實性與完整性。系統會維護建置來源證明 (Build provenance)，為映像檔的起源與建置流程提供可驗證的證據，並符合 SLSA (軟體工件供應鏈層級) 等標準。
軟體物料清單 (SBOM)：DHI 包含詳盡的 SBOM，詳細列出映像檔中的所有組件與依賴項。這種透明度有助於漏洞管理與合規性追蹤，使團隊能夠有效評估並降低風險。
持續維護與快速修復 CVE：Docker 會定期更新並修補 DHI，並提供針對重大與高風險漏洞的服務水準協定 (SLA)。這種主動式的作法有助於確保映像檔持續安全，並符合企業標準。