SBOM ve köken kaydı: bir yayın hakkında ne söylerler?

Bağımlılık envanteri ve derleme kökeni farklı soruları yanıtlar. Bunları dağıtım kararlarına bağlamayı ve sınırlarını anlamayı öğrenin.

Savunmasız kütüphane uyarısı bir soru doğurur: hangi dağıtılmış sürümler bu bileşeni içeriyor? Konteyner imajı hakkındaki kuşku başka soru doğurur: ne tarafından, hangi kaynaktan oluşturuldu? Bunlar farklı kanıt ister. Paket envanteri yayının kökenini kontrol etmenin yerini alamaz; geçerli derleme kaydı da bağımlılıklardaki her açığı açıklayamaz.

Gerçekte çalışan artifaktın envanterini çıkarın

SBOM yazılım bileşenlerini ve ilişkilerini açıklar. CycloneDX bunun için biçim sağlar. Operasyonel değer, envanteri somut sürüme bağlamaktan gelir. Geliştiricinin çalışma klasörünü taramak, üretimde çalışan konteynerden farklı tablo verebilir.

Pratik yaklaşım envanteri yayın sırasında üretip imaj kimliğiyle saklamaktır. Seçilen kapsamın uygulama bağımlılıklarını ve işletim sistemi paketlerini içerip içermediğini belirleyin. Boşlukları açıkça kaydedin. Tarayıcı ilgili katmanı hiç incelemediyse raporda bileşenin olmaması onun bulunmadığının kanıtı değildir.

Varsayımsal belge işleme hizmetini düşünün. Envanter, belirli ayrıştırıcı sürümünü içeren yayınları bulabilir. Tek başına güvenilmeyen dosyaların savunmasız işleve ulaşıp ulaşmadığını belirleyemez. Bu, inceleme sorusudur; istismar kanıtı veya tamamlanmış müşteri projesi anlatımı değildir.

Güvenilir derlemeyi tanımlayın

SLSA provenance, derleme süreci ve ilgili girdiler dâhil artifaktın kökenini kaydeder. Doğrulamadan önce ekip kabul edilebilir değerleri tanımlamalıdır. Tanınmayan derleyiciden kriptografik olarak geçerli imza, şirketin yayın politikasını yine ihlal edebilir.

SLSA doğrulama rehberi imzayı, artifakt kimliğini ve beklenen derleme parametrelerini kapsar. İç uygulamada bu dağıtım kuralı olabilir: izin verilen depodan onaylı süreçle üretilmiş belirli digest'i kabul etmek. İstisnaların sorumlusu ve nedeni olmalıdır; aksi takdirde kural zamanla isteğe bağlı olur.

Başarılı doğrulama kadar ret yollarını da deneyin. Eksik köken kaydı, beklenmedik imzalayan veya digest uyuşmazlığı anlaşılır hata vermelidir. Her imajın dağıtımına izin verirken köken dosyalarını arşivlemek, kullanım noktasında kontrol bulunduğunu göstermez.

Politikayı tek geliştiricinin makinesinden bağımsız tutun. Başka operatör artifakt ve tutulan kanıttan kararı tekrarlayabilmelidir. Belgelenmemiş yerel ayarlara dayanan prosedürü olay sırasında savunmak veya yinelemek zordur.

Kalan güven sınırını anlayın

Resmî SLSA tehdit modeli kaynak değişikliklerini, ele geçirilmiş bağımlılıkları ve değiştirilmiş derleme çıktılarını ayırır. Mühendislik sonucu açıktır: doğru köken kaydı kötü amaçlı kaynak kodunu güvenli yapmaz. İzin verilen süreçten giren istenmeyen değişikliği güvenilir altyapı yine derleyebilir.

Köken kontrollerini değişiklik incelemesi, sınırlı CI izinleri ve bağımlılık analiziyle birleştirin. Derleme araçları ve kurulum betikleri, son artifakt oluşmadan eylem yapabildikleri için dikkat ister. Güven sınırı yalnızca çıktı dosyasını değil, yayın katılımcılarını kapsamalıdır.

Tek bir yayın yoluyla başlayın

Küçük ekip için yararlı ilk kapsam tek uygulama ve tek dağıtım yoludur. Bağımlılıkları sabitleyin, SBOM'u imaja bağlayın, köken kaydını tutun ve başlatmadan önce kanıtı kontrol edin. Beklenmedik kaynağı, değiştirilmiş dosyayı ve kullanılamayan doğrulama hizmetini test edin. Acil yayının belgelenmemiş atlamaya dönüşmemesi için acil durum prosedürünü kararlaştırın.

Sonucu ekibin artık yanıtlayabildiği sorularla ölçün: ne kurulu, nereden geldi ve yayın neden reddedildi? Üretilen rapor sayısı bu yeteneği kanıtlamaz. Yeni bilgi mevcut sürümün değerlendirmesini değiştirince yanıtı sahiplenen biri de bulunmalıdır.

Altyapı ve yayın planlaması, ekibin tutarlı biçimde üretebileceği ve doğrulayabileceği kanıtı belirlemelidir. Kapsam, uygulamanın riskine ve bakım kapasitesine uygun olmalıdır.

Kaynaklar 7 Ekim 2026 tarihinde kontrol edildi. SLSA bağlantıları, açıklamanın tekrarlanabilmesi için sabit 1.0 belirtimini kullanır; en yeni sürüm olarak sunulmaz.

Google Cloud'daki arşiv Debian projesi, değişiklik teslimatını web hizmetleri, veritabanı ve süreç yönetimiyle birlikte ele alır. Bu kapsam, yayın kayıtlarının neden hem uygulamayı hem ortamını kapsaması gerektiğini açıklar. Arşiv planlanan işleri anlatır; uygulanmış SBOM veya köken kontrolünü kanıtlamaz. Bu kontrollerin kendi gereksinimleri ve kabul ölçütleri olmalıdır.

Debian uzaktan erişim tarihsel incelemem başka sınırı gösterir: bir sürümün talimatları sonraki sürümlerle uyumluluğu kanıtlamaz. Doğrulanmış çalışma ortamını derleme kökeni kanıtıyla tutun; böylece ekip yayın belgelerini kurulu belirli örnekle ilişkilendirebilir.