État de la sécurité de la chaîne d'approvisionnement
Les applications modernes tirent 90% de leur code de l'Open source. L'incident log4j (2021), qui affecte des millions de systèmes dans le monde, est la pire attaque de la chaîne d'approvisionnement de l'histoire. L'incident solarwinds affecte les agences gouvernementales américaines.
Risques communs
Confusion de dépendance: un attaquant publie un paquet du même nom dans un entrepôt public. Paquet empoisonné: le numéro de compte du mainteneur a été noirci et un code malveillant a été implanté. Dépendance non maintenue: le paquet abandoned n'est plus mis à jour et la vulnérabilité n'a pas été corrigée.
Outils de protection
Analyse de la composition du logiciel SCA: snyk, dependabot, owasp dependance Check. Liste des matériaux du logiciel sbom: formats cyclonedx, spdx, liste de toutes les dépendances.
Meilleures pratiques
Principe de dépendance minimale, version verrouillée, vérification périodique des dépendances, utilisation d'entrepôts privés, hachage verrouillé, surveillance des bulletins de sécurité.
Avertissement : les articles de ce site proviennent de contenus originaux, de republications, de génération IA et d'autres sources. En cas de problème de droit d'auteur ou autre, merci denous contacter, notre entreprise vérifiera et traitera la demande rapidement.