Podlodka Podcast Podlodka #448 – Supply Chain Security
8 snips
Oct 27, 2025 В подкасте гостем стал Алексей Смирнов, основатель платформы CodeScoring и эксперт по безопасности цепочек поставок. Он объясняет, как уязвимости могут возникать не только в собственном коде, но и через сторонние библиотеки. Обсуждаются механизмы атаки Shai-Hulud, значимость статического анализа и проверок сторонних зависимостей. Алексей делится методами минимизации рисков с использованием AI и важностью отслеживания уязвимостей. Советы по интеграции безопасных практик в рабочие процессы также не остаются без внимания.
AI Snips
Chapters
Transcript
Episode notes
Что Такое Цепочка Поставки ПО
- Цепочка поставки ПО это набор компонентов, инструментов и процессов от кода до релиза и эксплуатации.
- Уязвимости могут появиться на любом этапе — от сторонних библиотек до CI/CD, компилятора и окружения.
Фиксируйте Происхождение Компонентов
- Используйте SLSA (Salsa) и SPDX для документирования происхождения и состава артефактов.
- Вводите требования по provenance, логам сборки и BOM для отслеживания компонентов.
Ловите Пакеты На Уровне Хранилки
- Разверните внутреннюю хранилку артефактов с политиками проверки пакетов и антивирусом.
- Интегрируйте ранние проверки в IDE, чтобы разработчик видел проблемы ещё до сборки.