05 · Segurança da supply chain
Cada artefato que chega a produção precisa ter origem comprovada, componentes inventariados e scans aprovados, todos impostos pelo template.
| Controle | Quando roda | Ferramenta de referência | Bloqueia? |
|---|---|---|---|
| Secret scanning | Push e PR | GitHub Advanced Security for Azure DevOps (push protection) ou gitleaks | Sim |
| SAST | PR e build da main | CodeQL, Semgrep ou Sonar | Críticos novos |
| SCA | PR e build | Trivy / dependency scanning + Dependency-Track | Críticos com correção disponível |
| IaC scanning | PR em repos de infra | Checkov ou trivy config | Sim |
| Container scanning | Build da imagem | Trivy | Críticos |
| SBOM | Todo build publicado | CycloneDX (cyclonedx-maven, Trivy); SPDX via sbom-tool quando exigido | Gera, não bloqueia |
| Provenance | Todo build publicado | Atestação in-toto assinada com cosign | Verificada no deploy |
| DAST | Após deploy em hml | OWASP ZAP | Altos e críticos |
Rumo ao SLSA
- Build isolado e efêmero: agentes descartados a cada execução, sem estado entre builds.
- Definição de build controlada: template obrigatório via
extendse required template check. - Provenance: gerada pelo pipeline (não pelo desenvolvedor), assinada, ligada ao commit e ao run ID.
- Verificação no deploy: o stage de produção recusa imagem sem assinatura ou provenance válida.
Dependências
- Todo download passa por feeds internos com upstream; agentes não acessam registros públicos diretamente.
- SBOMs enviados ao Dependency-Track viram o inventário vivo da organização e a base para responder a novos CVEs em minutos.
Indicadores: D4 · Supply chain