Путь для опытных разработчиков и DevOps. Модель угроз цепочки поставки (кейс xz, EU CRA, SLSA, NIST SSDF), SBOM на Syft в форматах SPDX и CycloneDX со сканированием Grype и Trivy, keyless-подписи Sigstore — cosign, GitHub Artifact Attestations, provenance уровня L3 — и капстоун — защищённый GitHub Actions-конвейер с risk-based гейтом уязвимостей, VEX-заявлениями и политикой зависимостей без авто-мержа.
Как ломают цепочку поставки ПО — анатомия атаки на xz, Attack Trees для CI/CD, школьная модель риска зависимостей и регуляторная рамка EU CRA, SLSA, NIST SSDF, OWASP Top 10 CI/CD.
Syft, форматы SPDX и CycloneDX, скан по SBOM против скана по образу, экосистемы Go, Python и npm в спецификации, чтение VEX и требование машиночитаемости из EU CRA Annex I.
Sigstore keyless изнутри — Fulcio, Rekor, cosign; GitHub Artifact Attestations, SLSA-provenance уровня L3, in-toto Statement и проверка подписей в момент деплоя.
Полный GitHub Actions-пайплайн от сборки до верифицированного деплоя — SBOM, risk-based гейт с baseline, keyless-подпись и attestations, VEX-заявление в формате OpenVEX, Dependabot и Renovate без авто-мержа, гигиена самих CI-инструментов.