SBOM та постачальні ланцюги

Формати і інструменти

SPDX, CycloneDX; генерація під час CI, підписи (Sigstore, Cosign), атестації SLSA/Inspektor Gadget.

Процеси

Автогенерація SBOM для кожного білду.

Сканування залежностей (OSV/NVD), політики прийому.

Зберігання і перевірка SBOM та підписів при деплої.

Гайд з прикладами

Приклад: Політика деплою з перевіркою SBOM

CI генерує CycloneDX, підписує Cosign.

CD блокує деплой без валідного підпису і без CVE≥High.

SIEM отримує подію відмови для розслідування.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.