Panoramica di Assured Open Source Software

Assured Open Source Software (Assured OSS) ti consente di sfruttare la sicurezza e l'esperienza che Google applica al software open source (OSS) incorporando gli stessi pacchetti OSS che Google protegge e utilizza nei tuoi flussi di lavoro per sviluppatori.

Assured OSS ti consente di:

  • Richiedi i pacchetti OSS da un fornitore noto e affidabile.
  • Scopri di più sui contenuti dei pacchetti con gli SBOM di Assured, forniti in formati standard di settore come SPDX.
  • Scopri di più sulle minacce e sulla sicurezza di un pacchetto con informazioni VEX in un formato standard di settore come CycloneDX.
  • Riduci i rischi per la sicurezza, poiché Google scansiona, trova e corregge attivamente le nuove vulnerabilità nei pacchetti selezionati.
  • Aumenta la sicurezza dell'integrità dell'OSS che utilizzi tramite una provenance firmata a prova di manomissione.
  • Scegli tra oltre mille dei pacchetti Java, Go, Python e JavaScript (NPM) più popolari, inclusi progetti comuni di machine learning e intelligenza artificiale come TensorFlow, Pandas e Scikit-learn.

I pacchetti open source vengono creati da Google in modo sicuro. Questi pacchetti soddisfano i requisiti del livello 3 di Supply-chain Levels for Software Artifacts (SLSA) e hanno una provenienza e una SBOM verificabili.

Livelli di Assured OSS

Assured OSS ha un livello senza costi e un livello Premium. Il livello Premium è disponibile quando acquisti Security Command Center Premium o Security Command Center Enterprise.

Il livello senza costi include:

  • Pacchetti open source Python, Go e Java in repository selezionati.
  • Passaggi per la configurazione manuale.
  • Repository selezionati creati in un progetto gestito da Google.
  • Endpoint proxy universali per pacchetti open source. Questo proxy ti consente di scaricare pacchetti open source e i relativi metadati da un'unica origine, indipendentemente dal fatto che i pacchetti siano stati creati da Google o meno.
  • Supporto per l'accesso all'account Amazon Web Services (AWS).

Il livello Premium ti consente di integrare Assured OSS con Security Command Center Premium o Security Command Center Enterprise. Include quanto segue:

  • Pacchetti open source Python, Go, Java e JavaScript (NPM) in repository selezionati.
  • Pacchetti open source JavaScript in un repository canonico.
  • Configurazione automatizzata nell'ambito del processo di attivazione a livello di organizzazione per Security Command Center Premium o Security Command Center Enterprise.
  • Repository selezionati creati in un progetto specificato da te.
  • Metadati dei pacchetti universali raccolti e firmati da Google. Questi metadati forniscono informazioni sulla build del pacchetto, su eventuali vulnerabilità e sull'integrità del pacchetto. Le informazioni sull'integrità dei pacchetti sono disponibili solo per i pacchetti creati da Google.
  • Supporto per regioni e multiregioniGoogle Cloud per i repository Artifact Registry remoti (o proxy).

Per ulteriori informazioni sui prezzi degli abbonamenti a Security Command Center, consulta Prezzi di Security Command Center.

Opzioni del repository Assured OSS

I pacchetti Assured OSS sono archiviati in un repository Artifact Registry gestito da Google. Puoi accedere ai pacchetti open source offerti da Assured OSS e scaricarli utilizzando uno dei seguenti metodi:

  • Configura un repository remoto (chiamato anche mirror o proxy) nel tuo ambiente in modo che funga da proxy per il repository Artifact Registry gestito da Google. I tuoi sviluppatori possono connettersi al repository remoto per scaricare i pacchetti. Utilizza questo metodo se utilizzi un gestore di repository come JFrog Artifactory o Sonatype Nexus.

  • Connettiti direttamente al repository Artifact Registry utilizzando un account di servizio. Utilizza questo metodo se gli sviluppatori utilizzano strumenti di build come Maven, Gradle, Go o pip.

  • Utilizza un repository upstream virtuale che funga da singolo punto di accesso per i tuoi sviluppatori in modo che possano scaricare, installare o eseguire il deployment dei pacchetti.
    Nel livello Premium, vengono creati automaticamente due repository virtuali: uno per i pacchetti Java e uno per i pacchetti Python. Nel Livello senza costi, devi configurare manualmente un repository virtuale. Puoi utilizzare un repository standard di Artifact Registry o un repository remoto di Artifact Registry come repository virtuale upstream. Puoi anche utilizzare un repository di tipo Assured OSS, che è un wrapper di un repository virtuale che ha accesso ai pacchetti sia del Livello senza costi sia del livello Premium. Il repository di tipo Assured OSS esegue controlli lato server.

Il seguente diagramma mostra Assured OSS connesso a un repository remoto.

Connessione a un repository remoto.

Sicurezza della catena di fornitura del software

Assured Open Source Software è uno dei componenti Google Cloud che puoi utilizzare per proteggere la catena di fornitura del software. Puoi utilizzare Assured Open Source Software insieme ad altri prodotti e funzionalità Google Cloud per migliorare la security posture di flussi di lavoro e strumenti per sviluppatori, dipendenze software, sistemi CI/CD utilizzati per creare ed eseguire il deployment del software e ambienti di runtime come Google Kubernetes Engine e Cloud Run. Per scoprire di più, consulta Sicurezza della catena di fornitura del software.

Passaggi successivi