Что относится к рискам цепочки поставок ПО (Software Supply Chain Failures, A03 в OWASP Top 10:2025)?

Большая часть кода в продукте написана не вами: библиотеки, их зависимости, базовые образы, плагины сборки. Атакующему выгодно скомпрометировать одно звено и получить доступ ко всем, кто им пользуется.

Риски:

• уязвимости в зависимостях (Log4Shell в log4j);
• вредоносные пакеты: опечатки в именах (typosquatting), подмена внутренних имён публичными (dependency confusion), захват аккаунта мейнтейнера;
• скомпрометированная сборка или CI (SolarWinds): подписанный и доверенный, но вредоносный артефакт;
• непроверенные базовые образы и плагины.

Практический минимум:

• lock-файлы и фиксированные версии; обновления — осознанно, через ревью (Dependabot, Renovate);
• сканирование зависимостей и образов на известные уязвимости в каждой сборке (Trivy, OWASP Dependency-Check, Snyk);
• SBOM — перечень компонентов каждого артефакта, чтобы за минуты ответить «где у нас уязвимая версия»;
• подпись артефактов и образов (Sigstore/cosign) и проверка подписи при развёртывании;
• доверенные реестры и прокси-зеркала пакетов; приватные имена — в приватном реестре;
• защита CI: минимальные права, короткоживущие учётные данные, закреплённые версии действий и плагинов, изоляция сборок.