Software Delivery Shield – Übersicht

Software Delivery Shield ist eine vollständig verwaltete End-to-End-Sicherheitslösung für die Softwarelieferkette. Es bietet eine umfassende und modulare Reihe von Funktionen und Tools für Google Cloud-Produkte, mit denen Entwickler, DevOps und Sicherheitsteams den Sicherheitsstatus der Softwarelieferkette verbessern können.

Software Delivery Shield umfasst:

  • Google Cloud-Produkte und -Features mit Best Practices für die Sicherheit zum Erstellen, Testen, Scannen, Bereitstellen und Erzwingen von Richtlinien.
  • Dashboards in der Google Cloud Console mit Sicherheitsinformationen zu Quelle, Builds, Artefakten, Bereitstellungen und Laufzeit. Zu diesen Informationen gehören Sicherheitslücken in Build-Artefakten, Build-Herkunft und die Abhängigkeitsliste in der Software Bill of Materials (SBOM).
  • Informationen zum Reifegrad der Sicherheit Ihrer Softwarelieferkette mit dem SLSA-Framework (Supply Chain Levels for Software Artifacts).

Komponenten von Software Delivery Shield

Das folgende Diagramm zeigt, wie die verschiedenen Dienste in Software Delivery Shield zusammenarbeiten, um Ihre Softwarelieferkette zu schützen:

Ein Diagramm mit den Komponenten von Software Delivery Shield

In den folgenden Abschnitten werden die Produkte und Funktionen der Software Delivery Shield-Lösung erläutert:

Komponenten für eine sichere Entwicklung

Die folgenden Komponenten von Software Delivery Shield tragen zum Schutz des Softwarequellcodes bei:

  • Cloud Workstations

    Cloud Workstations bietet vollständig verwaltete Entwicklungsumgebungen in Google Cloud. IT- und Sicherheitsadministratoren können ihre Entwicklungsumgebungen bereitstellen, skalieren, verwalten und schützen. Außerdem können Entwickler mit einheitlichen Konfigurationen und anpassbaren Tools auf Entwicklungsumgebungen zugreifen.

    Cloud Workstations verbessert den Sicherheitsstatus Ihrer Anwendungsentwicklungsumgebungen und trägt so dazu bei, die Sicherheit nach links zu verschieben. Es bietet Sicherheitsfeatures wie VPC Service Controls, privater ein- oder ausgehender Traffic, erzwungene Image-Updates und Zugriffsrichtlinien für Identity and Access Management. Weitere Informationen finden Sie in der Dokumentation zu Cloud Workstations.

  • Cloud Code Source Protect (Vorabversion)

    Cloud Code bietet IDE-Unterstützung zum Erstellen, Bereitstellen und Integrieren von Anwendungen in Google Cloud. Entwickler können damit eine neue Anwendung aus Beispielvorlagen erstellen und anpassen und die fertige Anwendung ausführen. Cloud Code Source Protect bietet Entwicklern während der Arbeit in ihren IDEs Echtzeit-Sicherheitsfeedback, z. B. die Identifizierung von anfälligen Abhängigkeiten und Lizenzberichte. Es bietet schnelles und umsetzbares Feedback, mit dem Entwickler zu Beginn des Softwareentwicklungsprozesses Korrekturen an ihrem Code vornehmen können.

    Verfügbarkeit von Funktionen: Cloud Code Source Protect ist für den öffentlichen Zugriff nicht verfügbar. Informationen zum Zugriff auf diese Funktion finden Sie auf der Seite für die Zugriffsanfrage.

Komponenten zur Sicherung der Softwarebereitstellung

Die Absicherung der Softwarebereitstellung – Build-Artefakte und Anwendungsabhängigkeiten – ist ein wichtiger Schritt zur Verbesserung der Sicherheit der Softwarelieferkette. Der allgegenwärtige Einsatz von Open-Source-Software macht dieses Problem besonders schwierig.

Die folgenden Komponenten von Software Delivery Shield tragen zum Schutz von Build-Artefakten und Anwendungsabhängigkeiten bei:

  • Assured OSS

    Mit dem Assured OSS-Dienst können Sie auf die von Google verifizierten und getesteten OSS-Pakete zugreifen und diese einbinden. Es bietet Java- und Python-Pakete, die mit den sicheren Pipelines von Google erstellt werden. Diese Pakete werden regelmäßig gescannt, analysiert und auf Sicherheitslücken getestet. Weitere Informationen finden Sie in der Dokumentation zu Assured Open Source Software.

  • Artifact Registry und Artefaktanalyse

    Mit Artifact Registry können Sie Ihre Build-Artefakte speichern, schützen und verwalten. Mit der Artefaktanalyse werden Sicherheitslücken für Artefakte in Artifact Registry proaktiv erkannt. Artifact Registry bietet die folgenden Features, um den Sicherheitsstatus Ihrer Softwarelieferkette zu verbessern:

Komponenten zum Schutz der CI/CD-Pipeline

Betrüger können Softwarelieferketten angreifen, indem sie die CI/CD-Pipelines kompromittieren. Die folgenden Komponenten von Software Delivery Shield tragen zum Schutz der CI/CD-Pipeline bei:

  • Cloud Build

    Cloud Build führt Ihre Builds in der Google Cloud-Infrastruktur aus. Es bietet Sicherheitsfeatures wie detaillierte IAM-Berechtigungen, VPC Service Controls sowie isolierte und sitzungsspezifische Build-Umgebungen. Darüber hinaus bietet es die folgenden Funktionen, um den Sicherheitsstatus Ihrer Softwarelieferkette zu verbessern:

    • Sie unterstützt SLSA Level 3-Builds für Container-Images.
    • Es generiert authentifizierte und nicht fälschbare Build-Herkunft für containerisierte Anwendungen.
    • Er zeigt Sicherheitsinformationen für erstellte Anwendungen an. Dazu zählen:
      • Die SLSA-Build-Ebene, die das Reifegrad Ihres Software-Build-Prozesses gemäß der SLSA-Spezifikation angibt.
      • Sicherheitslücken in Build-Artefakten
      • Build-Herkunft, d. h. eine Sammlung überprüfbarer Metadaten zu einem Build. Sie enthält Details wie die Digests der erstellten Images, die Speicherorte der Eingabequellen, die Build-Toolchain, Build-Schritte und die Build-Dauer.

    Eine Anleitung zum Aufrufen von Sicherheitsstatistiken für erstellte Anwendungen finden Sie unter Anwendung erstellen und Sicherheitsstatistiken ansehen.

  • Cloud Deploy

    Cloud Deploy automatisiert die Bereitstellung Ihrer Anwendungen in einer Reihe von Zielumgebungen in einer definierten Reihenfolge. Sie unterstützt Continuous Delivery direkt an Google Kubernetes Engine, GKE Enterprise und Cloud Run mit Genehmigungen und Rollbacks mit nur einem Klick, Unternehmenssicherheit und -prüfung sowie integrierten Auslieferungsmesswerten. Außerdem werden Sicherheitsinformationen für bereitgestellte Anwendungen angezeigt.

Komponenten zum Schutz von Anwendungen in der Produktion

GKE und Cloud Run tragen zum Schutz des Sicherheitsstatus Ihrer Laufzeitumgebungen bei. Beide bieten Sicherheitsfeatures, um Ihre Anwendungen während der Laufzeit zu schützen.

  • GKE

    GKE kann den Sicherheitsstatus von Containern bewerten und aktiv Hinweise in Bezug auf Clustereinstellungen, Arbeitslastkonfiguration und Sicherheitslücken geben. Es enthält das Dashboard für den Sicherheitsstatus, das Ihre GKE-Cluster und -Arbeitslasten scannt, um Ihnen fundierte, umsetzbare Empfehlungen zur Verbesserung Ihres Sicherheitsstatus zu geben. Eine Anleitung zum Aufrufen von Sicherheitsinformationen im Dashboard für den GKE-Sicherheitsstatus finden Sie unter In GKE bereitstellen und Sicherheitsinformationen ansehen.

  • Cloud Run

    Cloud Run enthält einen Sicherheitsbereich, in dem Informationen zur Sicherheit der Softwarelieferkette angezeigt werden, z. B. Informationen zur Compliance auf SLSA-Build-Ebene, zur Build-Herkunft und zu Sicherheitslücken in ausgeführten Diensten. Eine Anleitung zum Aufrufen von Sicherheitsinformationen im Bereich mit den Cloud Run-Sicherheitsinformationen finden Sie unter In Cloud Run bereitstellen und Sicherheitsinformationen ansehen.

Vertrauenskette durch Richtlinien aufbauen

Mit der Binärautorisierung können Sie eine Vertrauenskette entlang Ihrer Softwarelieferkette einrichten, pflegen und verifizieren. Dazu werden attestations eingeholt. Dabei handelt es sich um digitale Dokumente zur Zertifizierung von Images. Eine Attestierung gibt an, dass das verknüpfte Image durch erfolgreiches Ausführen eines bestimmten, erforderlichen Prozesses erstellt wurde. Basierend auf diesen erfassten Attestierungen hilft die Binärautorisierung beim Definieren, Prüfen und Durchsetzen vertrauenswürdiger Richtlinien. Er sorgt dafür, dass das Image nur bereitgestellt wird, wenn die Attestierungen der Richtlinie Ihrer Organisation entsprechen. Außerdem kann es so eingestellt werden, dass Sie benachrichtigt werden, wenn Richtlinienverstöße festgestellt werden. Attestierungen können beispielsweise angeben, dass ein Image:

Sie können die Binärautorisierung mit GKE und Cloud Run verwenden.

Preise

Die folgende Liste enthält die Preisinformationen für die Dienste in der Software Delivery Shield-Lösung:

Nächste Schritte