Ringkasan Assured Open Source Software

Assured Open Source Software (Assured OSS) memungkinkan Anda memanfaatkan keamanan dan pengalaman yang diterapkan Google pada software open source (OSS) dengan menyertakan paket OSS yang sama dengan yang diamankan dan digunakan Google ke dalam alur kerja developer Anda sendiri.

Assured OSS memungkinkan Anda melakukan hal berikut:

  • Dapatkan paket OSS Anda dari pemasok yang tepercaya dan terkenal.
  • Pelajari lebih lanjut konten paket dengan SBOM Assured yang disediakan dalam format standar industri seperti SPDX.
  • Pelajari ancaman dan keamanan paket dengan informasi VEX dalam format standar industri seperti CycloneDX.
  • Mengurangi risiko keamanan karena Google secara aktif memindai, menemukan, dan memperbaiki kerentanan baru dalam paket yang diseleksi.
  • Tingkatkan kepercayaan terhadap integritas OSS yang Anda gunakan melalui provenance yang ditandatangani dan jelas.
  • Pilih dari lebih dari seribu paket Java, Go, Python, dan JavaScript (NPM) yang paling populer, termasuk project machine learning dan kecerdasan buatan umum seperti TensorFlow, Pandas, dan Scikit-learn.

Paket open source dibuat oleh Google dengan cara yang aman. Paket ini memenuhi persyaratan Supply-chain Levels for Software Artifacts (SLSA) level 3 serta memiliki provenance dan SBOM yang dapat diverifikasi.

Paket Assured OSS

Assured OSS memiliki paket Gratis dan paket Premium. Paket Premium tersedia saat Anda membeli Security Command Center Premium atau Security Command Center Enterprise.

Paket Gratis mencakup hal berikut:

  • Paket open source Python, Go, dan Java di repositori yang diseleksi.
  • Langkah-langkah penyiapan manual.
  • Repositori pilihan yang dibuat di project yang dikelola Google.
  • Endpoint proxy universal untuk paket open source. Proxy ini memungkinkan Anda mendownload paket open source dan metadatanya dari satu sumber, baik paket tersebut dibuat oleh Google maupun tidak.
  • Dukungan untuk akses akun Amazon Web Services (AWS).

Paket Premium memungkinkan Anda mengintegrasikan Assured OSS dengan Security Command Center Premium atau Security Command Center Enterprise. Paket ini mencakup:

  • Paket open source Python, Go, Java, dan JavaScript (NPM) di repositori yang diseleksi.
  • Paket open source JavaScript dalam repositori kanonis.
  • Penyiapan otomatis sebagai bagian dari proses aktivasi level organisasi untuk Security Command Center Premium atau Security Command Center Enterprise.
  • Repositori pilihan yang dibuat dalam project yang Anda tentukan.
  • Metadata paket universal yang dikumpulkan dan ditandatangani oleh Google. Metadata ini memberikan informasi tentang build paket, kerentanan, dan kondisi paket. Informasi kesehatan paket hanya tersedia untuk paket yang dibuat oleh Google.
  • Dukungan untuk Google Cloud region dan multi-region untuk repositori Artifact Registry jarak jauh (atau proxy).

Untuk mengetahui informasi selengkapnya tentang harga langganan Security Command Center, lihat Harga Security Command Center.

Opsi repositori Assured OSS

Paket Assured OSS disimpan di repositori Artifact Registry yang dikelola Google. Anda dapat mengakses dan mendownload paket open source yang ditawarkan oleh Assured OSS menggunakan salah satu metode berikut:

  • Siapkan repositori jarak jauh (juga disebut mirror atau proxy) di lingkungan Anda untuk bertindak sebagai proxy untuk repositori Artifact Registry yang dikelola Google. Developer Anda dapat terhubung ke repositori jarak jauh untuk mendownload paket. Gunakan metode ini jika Anda menggunakan pengelola repositori seperti JFrog Artifactory atau Sonatype Nexus.

  • Terhubung ke repositori Artifact Registry secara langsung menggunakan akun layanan. Gunakan metode ini jika developer menggunakan alat build seperti Maven, Gradle, Go, atau pip.

  • Gunakan repositori upstream virtual yang berfungsi sebagai titik akses tunggal bagi developer Anda sehingga mereka dapat mendownload, menginstal, atau men-deploy paket.
    Di paket Premium, dua repositori virtual dibuat secara otomatis: satu untuk paket Java dan satu untuk paket Python. Di paket Gratis, Anda harus mengonfigurasi repositori virtual sendiri. Anda dapat menggunakan repositori standar Artifact Registry atau repositori jarak jauh Artifact Registry sebagai repositori virtual upstream. Anda juga dapat menggunakan repositori jenis Assured OSS, yang merupakan wrapper di atas repositori virtual yang memiliki akses ke paket Paket gratis dan Paket premium. Repositori jenis Assured OSS melakukan pemeriksaan sisi server.

Diagram berikut menunjukkan Assured OSS yang terhubung ke repositori jarak jauh.

Menghubungkan ke repositori jarak jauh.

Keamanan supply chain software

Assured Open Source Software adalah salah satu komponen Google Cloud yang dapat Anda gunakan untuk melindungi supply chain software Anda. Anda dapat menggunakan Assured Open Source Software bersama dengan produk dan fitur Google Cloud lainnya untuk meningkatkan postur keamanan alur kerja dan alat developer, dependensi software, sistem CI/CD yang digunakan untuk membangun dan men-deploy software, serta lingkungan runtime seperti Google Kubernetes Engine dan Cloud Run. Untuk mempelajari lebih lanjut, lihat Keamanan supply chain software.

Langkah berikutnya