Übersicht über Assured Open Source Software

Mit Assured Open Source Software (Assured OSS) können Sie die Sicherheitsfunktionen nutzen, die Google auf Open-Source-Software (OSS) anwendet. Dazu binden Sie die gleichen OSS-Pakete, die Google sichert und verwendet, in Ihre eigenen Entwicklerworkflows ein.

Assured OSS bietet folgende Möglichkeiten:

  • OSS-Pakete von einem vertrauenswürdigen, bekannten Anbieter abrufen
  • Weitere Informationen zu Paketinhalt mit Assured SBOMs, die in Branchenstandards wie SPDX bereitgestellt werden.
  • Informationen zu Bedrohungen und zur Sicherheit eines Pakets mit VEX-Informationen in einem branchenüblichen Format wie CycloneDX.
  • Sicherheitsrisiko reduzieren, da Google aktiv nach neuen Sicherheitslücken in ausgewählten Paketen sucht und diese behebt.
  • Erhöhen Sie das Vertrauen in die Integrität der von Ihnen verwendeten OSS durch signierte, manipulationssichere provenance.
  • Wählen Sie aus über tausend der beliebtesten Java-, Go-, Python- und JavaScript-Pakete (NPM) aus, darunter gängige Projekte für maschinelles Lernen und künstliche Intelligenz wie TensorFlow, Pandas und Scikit-learn.

Die Open-Source-Pakete werden von Google auf sichere Weise erstellt. Diese Pakete erfüllen die Anforderungen von Supply Chain Levels for Software Artifacts (SLSA) Level 3 und haben eine überprüfbare Herkunft und SBOM.

Assured OSS-Stufen

Assured OSS ist in einer kostenlosen und einer Premium-Stufe verfügbar. Die Premium-Stufe ist verfügbar, wenn Sie Security Command Center Premium oder Security Command Center Enterprise erwerben.

Die kostenlose Stufe umfasst Folgendes:

  • Python-, Go- und Java-Open-Source-Pakete in ausgewählten Repositories.
  • Schritte zur manuellen Einrichtung.
  • Kuratierte Repositories, die in einem von Google verwalteten Projekt erstellt wurden.
  • Universelle Proxy-Endpunkte für Open-Source-Pakete. Mit diesem Proxy können Sie Open-Source-Pakete und ihre Metadaten aus einer Quelle herunterladen, unabhängig davon, ob die Pakete von Google erstellt wurden oder nicht.
  • Unterstützung für den Zugriff auf Amazon Web Services-Konten (AWS).

Mit der Premium-Stufe können Sie Assured OSS in Security Command Center Premium oder Security Command Center Enterprise einbinden. Folgende Angaben sind enthalten:

  • Python-, Go-, Java- und JavaScript-Open-Source-Pakete (NPM) in ausgewählten Repositories.
  • JavaScript-Open-Source-Pakete in einem kanonischen Repository.
  • Automatische Einrichtung im Rahmen des Aktivierungsprozesses auf Organisationsebene für Security Command Center Premium oder Security Command Center Enterprise.
  • Kuratierte Repositories, die in einem von Ihnen angegebenen Projekt erstellt wurden.
  • Universelle Paketmetadaten, die von Google erfasst und signiert werden. Diese Metadaten enthalten Informationen zum Paket-Build, zu Sicherheitslücken und zum Paketstatus. Die Informationen zum Paketstatus sind nur für Pakete verfügbar, die von Google erstellt wurden.
  • Unterstützung für Google Cloud  Regionen und multiregionale Standorte für Remote-Artifact Registry-Repositories (oder Proxy-Repositories).

Weitere Informationen zu den Preisen für Security Command Center-Abos finden Sie unter Security Command Center-Preise.

Assured OSS-Repository-Optionen

Assured OSS-Pakete werden in einem von Google verwalteten Artifact Registry-Repository gespeichert. Sie können die von Assured OSS angebotenen Open-Source-Pakete mit einer der folgenden Methoden aufrufen und herunterladen:

  • Richten Sie in Ihrer Umgebung ein Remote-Repository (auch Spiegel oder Proxy genannt) ein, das als Proxy für das von Google verwaltete Artifact Registry-Repository fungiert. Ihre Entwickler können eine Verbindung zum Remote-Repository herstellen, um die Pakete herunterzuladen. Verwenden Sie diese Methode, wenn Sie einen Repository-Manager wie JFrog Artifactory oder Sonatype Nexus verwenden.

  • Stellen Sie über ein Dienstkonto eine direkte Verbindung zum Artifact Registry-Repository her. Verwenden Sie diese Methode, wenn Entwickler Build-Tools wie Maven, Gradle, Go oder pip verwenden.

  • Verwenden Sie ein virtuelles Upstream-Repository, das als einzelner Zugriffspunkt für Ihre Entwickler dient, damit sie Pakete herunterladen, installieren oder bereitstellen können.
    In der Premium-Stufe werden automatisch zwei virtuelle Repositories erstellt: eines für Java-Pakete und eines für Python-Pakete. In der kostenlosen Stufe müssen Sie ein virtuelles Repository selbst konfigurieren. Sie können ein Artifact Registry-Standard-Repository oder ein Artifact Registry-Remote-Repository als virtuelles Upstream-Repository verwenden. Sie können auch ein Assured OSS-Repository verwenden. Dies ist ein Wrapper für ein virtuelles Repository, das Zugriff auf Pakete der kostenlosen und der Premium-Stufe hat. Das Assured OSS-Repository führt serverseitige Prüfungen durch.

Das folgende Diagramm zeigt Assured OSS, das mit einem Remote-Repository verbunden ist.

Verbindung zu einem Remote-Repository herstellen

Sicherheit der Softwarelieferkette

Assured Open Source Software ist eine der Google Cloud -Komponenten, mit denen Sie Ihre Softwarelieferkette schützen können. Sie können Assured Open Source Software zusammen mit anderen Produkten und Features von Google Cloud verwenden, um den Sicherheitsstatus von Entwicklerworkflows und -tools, Softwareabhängigkeiten, CI/CD-Systemen zum Erstellen und Bereitstellen Ihrer Software sowie Laufzeitumgebungen wie Google Kubernetes Engine und Cloud Run zu verbessern. Weitere Informationen finden Sie unter Sicherheit der Softwarelieferkette.

Nächste Schritte