Visão geral do Assured Open Source Software

Com o Assured Open Source Software (Assured OSS), você aproveita a segurança e a experiência que o Google aplica ao software de código aberto (OSS, na sigla em inglês) incorporando os mesmos pacotes de OSS que o Google protege e usa nos seus próprios fluxos de trabalho de desenvolvedores.

Com o Assured OSS, você pode fazer o seguinte:

  • Receba seus pacotes de OSS de um fornecedor confiável e conhecido.
  • Saiba mais sobre o conteúdo do pacote com SBOMs do Assured, fornecidos em formatos padrão do setor, como SPDX.
  • Saiba mais sobre as ameaças e a segurança de um pacote com informações do VEX em um formato padrão do setor, como o CycloneDX.
  • Reduza o risco de segurança, já que o Google está verificando, encontrando e corrigindo ativamente novas vulnerabilidades em pacotes selecionados.
  • Aumente a confiança na integridade do OSS que você está usando com a provenance assinada e à prova de adulteração.
  • Escolha entre mais de mil dos pacotes mais conhecidos de Java, Go, Python e JavaScript (NPM), incluindo projetos comuns de machine learning e inteligência artificial, como TensorFlow, Pandas e Scikit-learn.

Os pacotes de código aberto são criados pelo Google de maneira segura. Esses pacotes atendem aos requisitos de nível 3 dos níveis da cadeia de suprimentos para artefatos de software (SLSA, na sigla em inglês) e têm uma procedência e uma SBOM verificáveis.

Níveis do Assured OSS

O Assured OSS tem um nível sem custo financeiro e um nível Premium. O nível Premium está disponível quando você compra o Security Command Center Premium ou o Security Command Center Enterprise.

O nível sem custo financeiro inclui o seguinte:

  • Pacotes de código aberto em Python, Go e Java em repositórios selecionados.
  • Etapas de configuração manual.
  • Repositórios selecionados criados em um projeto gerenciado pelo Google.
  • Endpoints de proxy universais para pacotes de código aberto. Esse proxy permite fazer o download de pacotes de código aberto e dos metadados deles de uma única fonte, sejam os pacotes criados pelo Google ou não.
  • Suporte para acesso à conta do Amazon Web Services (AWS).

O nível Premium permite integrar o Assured OSS ao Security Command Center Premium ou ao Security Command Center Enterprise. Inclui o seguinte:

  • Pacotes de código aberto em Python, Go, Java e JavaScript (NPM) em repositórios selecionados.
  • Pacotes de código aberto do JavaScript em um repositório canônico.
  • Configuração automatizada como parte do processo de ativação no nível da organização para o Security Command Center Premium ou o Security Command Center Enterprise.
  • Repositórios selecionados criados em um projeto que você especificar.
  • Metadados de pacotes universais coletados e assinados pelo Google. Esses metadados fornecem informações sobre o build do pacote, as vulnerabilidades e a integridade do pacote. As informações de integridade do pacote estão disponíveis apenas para pacotes criados pelo Google.
  • Suporte para regiões e multirregiões doGoogle Cloud para repositórios remotos (ou proxy) do Artifact Registry.

Para mais informações sobre os preços de assinatura do Security Command Center, consulte Preços do Security Command Center.

Opções de repositório do Assured OSS

Os pacotes do Assured OSS são armazenados em um repositório do Artifact Registry gerenciado pelo Google. É possível acessar e fazer o download dos pacotes de código aberto oferecidos pelo Assured OSS usando um dos seguintes métodos:

  • Configure um repositório remoto (também chamado de espelho ou proxy) no seu ambiente para atuar como proxy do repositório do Artifact Registry gerenciado pelo Google. Os desenvolvedores podem se conectar ao repositório remoto para fazer o download dos pacotes. Use esse método se estiver usando um gerenciador de repositórios como o JFrog Artifactory ou o Sonatype Nexus.

  • Conecte-se diretamente ao repositório do Artifact Registry usando uma conta de serviço. Use esse método se os desenvolvedores estiverem usando ferramentas de build como Maven, Gradle, Go ou pip.

  • Use um repositório upstream virtual que atue como um único ponto de acesso para que os desenvolvedores possam baixar, instalar ou implantar pacotes.
    No nível Premium, dois repositórios virtuais são criados automaticamente: um para pacotes Java e outro para pacotes Python. No nível sem custo financeiro, é preciso configurar um repositório virtual por conta própria. É possível usar um repositório padrão do Artifact Registry ou um repositório remoto do Artifact Registry como repositório virtual upstream. Também é possível usar um repositório do tipo Assured OSS, que é um wrapper sobre um repositório virtual que tem acesso aos pacotes do nível sem custo financeiro e do nível Premium. O repositório do tipo Assured OSS realiza verificações do lado do servidor.

O diagrama a seguir mostra o Assured OSS conectado a um repositório remoto.

Conexão com um repositório remoto.

Segurança da cadeia de suprimentos de software

O Assured Open Source Software é um dos componentes do Google Cloud que você pode usar para proteger sua cadeia de suprimentos de software. É possível usar o Assured Open Source Software com outros produtos e recursos do Google Cloud para melhorar a postura de segurança dos fluxos de trabalho e das ferramentas do desenvolvedor, das dependências de software, dos sistemas de CI/CD usados para criar e implantar o software e dos ambientes de execução, como o Google Kubernetes Engine e o Cloud Run. Para saber mais, consulte Segurança da cadeia de suprimentos de software.

A seguir