Said OULMAKHZOUNE Descripción general Los runners alojados en GitHub son compartidos y efímeros por defecto — cada trabajo obtiene una máquina virtual nueva que se destruye después de que el trabajo se completa. Los runners autoalojados, por otro lado, son persistentes y compartidos entre ejecuciones de flujos de trabajo. Esto crea un riesgo de seguridad significativo: secretos, … Leer más
Descripción General Los Software Bills of Materials (SBOMs) se están convirtiendo rápidamente en un componente obligatorio de la transparencia en la cadena de suministro de software. Órdenes ejecutivas, marcos regulatorios como NIST SSDF y estándares de la industria ahora requieren que las organizaciones produzcan, distribuyan y verifiquen SBOMs para cada lanzamiento de software. Un SBOM … Leer más
Descripción general Poisoned Pipeline Execution (PPE) ocupa el puesto n.º 2 en el OWASP CI/CD Security Top 10. Se trata de una clase de ataques en la que un actor malicioso manipula el proceso de compilación inyectando código en las definiciones del pipeline o en los scripts de compilación, generalmente a través de un pull … Leer más
Introducción Comprender cómo se atacan los pipelines CI/CD es solo la mitad del panorama. El modelado de amenazas y la taxonomía de ataques nos proporcionan un mapa del campo de batalla, pero sin patrones defensivos concretos y mitigaciones de ingeniería, ese conocimiento permanece teórico. Esta guía cierra la brecha entre la concienciación y la acción. … Leer más
Introducción Los ataques a la cadena de suministro de software han aumentado tanto en frecuencia como en sofisticación en los últimos años. En lugar de atacar las aplicaciones directamente, los adversarios apuntan cada vez más a las capas de resolución de dependencias y distribución de artefactos que sustentan el desarrollo de software moderno. Dos de … Leer más
Introducción: Por Qué las Revisiones de Seguridad Manuales No Escalan Todo equipo de ingeniería eventualmente se topa con el mismo muro: las revisiones de seguridad que dependen de la inspección humana no pueden mantener el ritmo de la velocidad de los pipelines CI/CD modernos. Cuando los equipos despliegan decenas o cientos de veces al día, … Leer más
Introducción: Por Qué los Secretos Son la Causa #1 de Compromiso en CI/CD Si examina la causa raíz de casi todas las grandes brechas de CI/CD en los últimos años — desde el ataque a la cadena de suministro de Codecov hasta el incidente de seguridad de CircleCI — encontrará al mismo culpable: secretos comprometidos. … Leer más
Descripción General Las GitHub Actions de terceros son una de las funcionalidades más convenientes del ecosistema de GitHub. Con una simple directiva uses:, puedes incorporar lógica de compilación compleja, desplegar en proveedores cloud o ejecutar escáneres de seguridad. Pero esa conveniencia conlleva una contrapartida crítica: cada action de terceros ejecuta código en tu entorno de … Leer más
Introducción: Por qué la Firma de Artefactos es Importante en CI/CD Los pipelines modernos de entrega de software son extraordinariamente buenos para compilar y desplegar código rápidamente. Pero la velocidad sin confianza es un riesgo. Entre el momento en que el código fuente se hace commit y el momento en que una imagen container se … Leer más
Introducción Si no puede reproducir un build, no puede verificarlo. Esta simple verdad se encuentra en el corazón de la seguridad de la cadena de suministro de software. La integridad de builds garantiza que lo que usted despliega es exactamente lo que pretendía construir — nada añadido, nada modificado, nada manipulado entre el código fuente … Leer más
