Docker activestate-partners-with-docker: أمان سلسلة توريد البرمجيات من البداية إلى النهاية

نظرة عامة تنفيذية وأهمية معمارية

لقد غيرت بنيات التطبيقات الحاوية الحديثة بشكل جذري كيفية بناء البرمجيات وشحنها وتنفيذها. ومع ذلك، أدت هذه السرعة إلى تحديات غير مسبوقة في مجال الرؤية عبر الطبقة البرمجية. وفقاً لبيانات مسح DevSecOps في أمريكا الشمالية مؤخراً، يشير 91% من قادة الهندسة إلى أن رؤية مكونات الحاويات هي أكبر نقطة عمياء تشغيلية لديهم، بينما يستمر 90% في نشر صور عامة معدلة قليلاً وبحد أدنى من الصلابة. ويتفاقم هذا الاحتكاك التشغيلي بسبب الاعتبارات السريعة لمساعدي البرمجة بالذكاء الاصطناعي، الذين يولدون تبعيات بوتيرة لا تستطيع مراجعات الود أحياناً مجاراتها. وفي الوقت نفسه، تكافح قواعد بيانات الثغرات التقليدية لمعالجة الحجم الهائل من التقديمات اليومية، بينما تفرض أطر التنظيم الصارمة مثل قانون المرونة السيبرانية للاتحاد الأوروبي تفويضات امتثال صارمة فيما يتعلق باتفاقيات مستوى الخدمة (SLAs) للإصلاح وأصل سلسلة التوريد.

لمعالجة هذه الثغرات النظامية، أعلنت شركتا Docker, Inc. و ActiveState عن شراكة إعادة بيع استراتيجية تقطع الفجوة الحرجة بين طبقة بنية الحاويات الأساسية وطبقة تبعيات التطبيقات. ومن خلال دمج صور Docker الصلبة (DHI) مع كتالوج البرمجيات مفتوحة المصدر المنسق بعناية من ActiveState، يمكن لفرق الهندسة في المؤسسات الآن إنشاء سلسلة لا تقطع من الثقة التشفيرية من نظام التشغيل الأساسي ووقت التشغيل وحتى المكتبات الخاصة باللغة. هذا التكامل يقضي بفعالية على الانقطاع التاريخي حيث كانت فرق الأمن تستثمر بقوة في تصلب الصور الأساسية فقط لتفقد الرؤية الكاملة عن الحزم التابعة لجهات خارجية وغير المدققة والمكدسة في الأعلى من قبل المطورين. والنتيجة هي أساس بناء وتشغيل موحد وقابل للتحقق مصمم لتلبية معايير الامتثال للمؤسسات دون التضحية بسرعه المطورين.

التحسينات الأساسية وبيئة عمل المطورين

على المستوى الأساسي، توفر صور Docker الصلبة بيئة وقت تشغيل آمنة افتراضياً وبحد أدنى، وتضم أكثر من 4000 صورة مبنية من المصدر ومصممة لتعرض شبه معدوم لثغرات الأمان (CVEs). وتتميز هذه الصور بقوائم مواد برمجية موقعة تشفيرياً (SBOMs) وتلتزم بدقة بمعايير أصل مستوى البناء SLSA Build Level 3. وتمتد ActiveState بهذه الفلسفة الدقيقة للثقة الصارمة صعوداً إلى طبقة التطبيقات من خلال تنسيق التبعيات مفتوحة المصدر عبر أكثر من عشر بيئات لغات رئيسية، بما في ذلك Python و JavaScript و Java و Perl و Tcl و Ruby. وكل مكون ضمن كتالوج ActiveState مبني بدقة من المصدر، ويتم رصده باستمرار، ومعالجته بنشاط مقابل اتفاقيات مستوى خدمة تعاقدية صارمة، محققاً ما يصل إلى 95% ثغرات أقل (CVEs) وانخفاضاً بنسبة 90% في وقت الإصلاح مقارنة بالمستودعات المجتمعية القياسية.

من منظور بيئة عمل المطورين، يزيل هذا التكامل العبء الإداري المتمثل في الحصول على طبقات التطبيقات المتبافتة وفحصها وتحديثها يدوياً. ون نظراً لأنه يتم تسليم مكونات ActiveState بشكل أصلي من خلال مديرات الحزم الحالية، وخطوط أنابيب البناء، وبيئات التطوير المتكاملة، ومساعدي البرمجة بالذكاء الاصطناعي التي يعتمد عليها المطورون بالفعل، يتم تقليل احتكاك سير العمل. علاوة على ذلك، توفر البنية الموحدة دورة إعادة بناء متزامنة: عند تحديد الثغرات الأمنية في المنبع، يستفيد كل من حزم نظام التشغيل الأساسية التي تديرها Docker وتبعيات اللغات التي تديرها ActiveState من سير عمل الإصلاح الآلي - والتي تتميز باتفاقية مستوى خدمة مدتها 7 أيام للثغرات الحرجة وعالية الخطورة على DHI واتفاقية مستوى خدمة مدتها 5 أيام للثغرات الحرجة داخل كتالوج ActiveState.

مصفوفة المقارنة المعمارية

التغييرات الكاسرة وتحذيرات الهجرة

متوافق تماماً مع الإصدارات السابقة.

نظراً لأن هذه الشراكة تركز على نموذج إعادة البيع وتكامل الكتالوج بدلاً من تعديلات محرك وقت التشغيل، فإن الترقية إلى سير العمل المدمج لا تقدم تغييرات كاسرة لمحركات الحاويات الحالية، أو محركات التنسيق، أو صيغة Dockerfile. ستستمر تكوينات الحاويات الحالية في التنفيذ بسلاسة. ومع ذلك، فإن اعتماد صور Docker الصلبة ومستودعات الحزم المنسقة من ActiveState يتطلب من الفرق الهندسية تحديث مراجع الصور الأساسية الخاصة بهم وتكوين نقاط نهاية مدير الحزم للإشارة إلى سجلات ActiveState الآمنة. يجب على الفرق التي تنتقل من السجلات العامة القياسية تدقيق خطوط أنابيب البناء الخاصة بهم لاستيعاب قوائم SBOM الموقعة حديثاً وضبط عتبات فحص الثغرات الأمنية الآلية للاستفادة من مقاييس اتفاقية مستوى الخدمة المضمونة.

دليل الترقية خطوة بخطوة

يتطلب انتقال سير عمل الحاويات الخاصة بك للاستفادة من الأمان المدمج لصور Docker الصلبة وكتالوج ActiveState المنسق ثلاثة تعديلات تكوين واضحة:

1. تحديث مراجع الصور الأساسية في ملفات Dockerfile قم بتعديل ملفات Dockerfile متعددة المراحل للسحب من صور Docker الصلبة بدلاً من الصور الأساسية العامة:

   # مثال: الانتقال إلى صورة بايثون الأساسية الصلبة من Docker
   FROM docker.io/docker-hardened/python:3.11-slim
   WORKDIR /app
   

2. تكوين تكامل إدارة حزم ActiveState قم بدمج بيئة التطوير الخاصة بك أو خط أنابيب CI/CD مع موجدات الحزم الآمنة من ActiveState باستخدام واجهة سطر الأوامر State Tool لسحب التبعيات المعالجة ضد الثغرات الأمنية:

   # تفعيل وربط مشروعك بمنصة ActiveState
   state activate enterprise-org/secure-python-app
   

3. التحقق من أصل SLSA وتوليد قوائم SBOM تأكد من أن أتمتة البناء لديك تتحقق من التواقيع التشفيرية وتنشئ تقارير امتثال تتطابق مع متطلبات مستوى البناء SL