Descripción general del software de código abierto garantizado

Assured Open Source Software (Assured OSS) te permite aprovechar la seguridad y la experiencia que Google aplica al software de código abierto (OSS) incorporando los mismos paquetes de OSS que Google protege y usa en tus propios flujos de trabajo de desarrollador.

Assured OSS te permite hacer lo siguiente:

  • Obtén tus paquetes de OSS de un proveedor conocido y de confianza.
  • Obtén más información sobre el contenido de los paquetes con las SBOM de Assured, que se proporcionan en formatos estándar de la industria, como SPDX.
  • Obtén información sobre las amenazas y la seguridad de un paquete con información de VEX en un formato estándar de la industria, como CycloneDX.
  • Reduce el riesgo de seguridad, ya que Google analiza, detecta y corrige de forma activa las vulnerabilidades nuevas en los paquetes seleccionados.
  • Aumenta la confianza en la integridad del OSS que usas a través de una provenance firmada y evidente.
  • Elige entre más de mil de los paquetes más populares de Java, Go, Python y JavaScript (NPM), incluidos los proyectos comunes de aprendizaje automático e inteligencia artificial, como TensorFlow, Pandas y Scikit-learn.

Google compila los paquetes de código abierto de forma segura. Estos paquetes cumplen con los requisitos del nivel 3 de los Niveles de cadena de suministro para artefactos de software (SLSA) y tienen una procedencia y una SBOM verificables.

Niveles de Assured OSS

Assured OSS tiene un nivel gratuito y un nivel Premium. El nivel Premium está disponible cuando compras Security Command Center Premium o Security Command Center Enterprise.

El nivel gratuito incluye lo siguiente:

  • Paquetes de código abierto de Python, Go y Java en repositorios seleccionados.
  • Pasos para la configuración manual
  • Son repositorios seleccionados que se crean en un proyecto administrado por Google.
  • Extremos de proxy universales para paquetes de código abierto. Este proxy te permite descargar paquetes de código abierto y sus metadatos de una fuente, independientemente de si Google los compiló o no.
  • Compatibilidad con el acceso a la cuenta de Amazon Web Services (AWS).

El nivel Premium te permite integrar Assured OSS en Security Command Center Premium o Security Command Center Enterprise. Incluye lo siguiente:

  • Paquetes de código abierto de Python, Go, Java y JavaScript (NPM) en repositorios seleccionados.
  • Paquetes de código abierto de JavaScript en un repositorio canónico
  • Configuración automatizada como parte del proceso de activación a nivel de la organización para Security Command Center Premium o Security Command Center Enterprise.
  • Repositorios seleccionados creados en un proyecto que especifiques.
  • Son metadatos universales del paquete que Google recopila y firma. Estos metadatos proporcionan información sobre la compilación del paquete, las vulnerabilidades y el estado del paquete. La información de estado de los paquetes solo está disponible para los paquetes que compila Google.
  • Compatibilidad con regiones y multirregiones deGoogle Cloud para repositorios remotos (o proxy) de Artifact Registry.

Para obtener más información sobre los precios de la suscripción a Security Command Center, consulta Precios de Security Command Center.

Opciones de repositorio de Assured OSS

Los paquetes de Assured OSS se almacenan en un repositorio de Artifact Registry administrado por Google. Puedes acceder a los paquetes de código abierto que ofrece Assured OSS y descargarlos con uno de los siguientes métodos:

  • Configura un repositorio remoto (también llamado duplicado o proxy) en tu entorno para que actúe como proxy del repositorio de Artifact Registry administrado por Google. Tus desarrolladores pueden conectarse al repositorio remoto para descargar los paquetes. Usa este método si utilizas un administrador de repositorios, como JFrog Artifactory o Sonatype Nexus.

  • Conectarte al repositorio de Artifact Registry directamente con una cuenta de servicio Usa este método si los desarrolladores usan herramientas de compilación como Maven, Gradle, Go o pip.

  • Usa un repositorio virtual ascendente que actúe como un único punto de acceso para tus desarrolladores, de modo que puedan descargar, instalar o implementar paquetes.
    En el nivel Premium, se crean automáticamente dos repositorios virtuales: uno para paquetes de Java y otro para paquetes de Python. En el nivel gratuito, debes configurar un repositorio virtual por tu cuenta. Puedes usar un repositorio estándar de Artifact Registry o un repositorio remoto de Artifact Registry como tu repositorio virtual ascendente. También puedes usar un repositorio de tipo Assured OSS, que es un wrapper sobre un repositorio virtual que tiene acceso a los paquetes de los niveles gratuito y Premium. El repositorio de tipo Assured OSS realiza verificaciones del servidor.

En el siguiente diagrama, se muestra Assured OSS conectado a un repositorio remoto.

Conectarse a un repositorio remoto

Seguridad de la cadena de suministro del software

Assured Open Source Software es uno de los componentes de Google Cloud que puedes usar para proteger tu cadena de suministro de software. Puedes usar Assured Open Source Software junto con otros productos y funciones de Google Cloud para mejorar la postura de seguridad de los flujos de trabajo y las herramientas de los desarrolladores, las dependencias de software, los sistemas de CI/CD que se usan para compilar e implementar tu software y los entornos de ejecución, como Google Kubernetes Engine y Cloud Run. Para obtener más información, consulta Seguridad de la cadena de suministro de software.

¿Qué sigue?