Sécurité de la chaîne d'approvisionnement logicielle

Une série complète de trois livres sur la sécurité de la chaîne d'approvisionnement logicielle, couvrant les menaces, les défenses et la gouvernance. Ce manuscrit open source fournit aux professionnels de la sécurité, aux développeurs et aux responsables d'organisation des conseils pratiques pour sécuriser les pratiques modernes de développement logiciel.

La série de livres

Livre 1 : Comprendre la chaîne d'approvisionnement logicielle

Fournit les bases pour comprendre la sécurité de la chaîne d'approvisionnement : comment les logiciels modernes sont construits, le paysage des menaces, les attaques historiques et les schémas d'attaque détaillés.

• Partie I - Fondements (Chapitres 1-4) : comment les logiciels sont construits aujourd'hui, aperçu des menaces de la chaîne d'approvisionnement, attaques historiques et risques spécifiques à l'écosystème
• Partie II - Schémas d'attaque (Chapitres 5-10) : Paquets malveillants, confusion de dépendances, typosquattage, attaques sur les systèmes de construction, menaces internes et ingénierie sociale

Livre 2 : Protéger la chaîne d'approvisionnement logicielle

Traduit les connaissances sur les menaces en défenses pratiques tout au long du cycle de vie du développement, de la sélection des dépendances au déploiement en production.

• Partie III - Évaluation des risques et tests (Chapitres 11-15) : Mesure des risques, SBOMs, gestion des dépendances, tests de sécurité et Red teaming
• Partie IV - Défense et réponse (Chapitres 16-20) : Sécurisation des environnements de développement, des pipelines CI/CD, des canaux de distribution, réponse aux incidents et communication de crise
• Partie V - Opérationnaliser la défense (Chapitres 21-22) : Mise en place de programmes de sécurité et approches d'ingénierie de plateforme

Livre 3 : Gouverner la chaîne d'approvisionnement logicielle

Aborde les dimensions humaines, politiques et stratégiques de la sécurité de la chaîne d'approvisionnement : engagement organisationnel, conformité réglementaire, incitations économiques et collaboration industrielle.

• Partie V - Personnes et organisations (Chapitres 23-25) : Formation et culture de sécurité, perspectives des mainteneurs open source et gestion des risques fournisseurs
• Partie VI - Réglementation et aspects juridiques (Chapitres 26-29) : Paysage réglementaire (EO 14028, EU CRA), cadres de conformité, considérations juridiques et initiatives industrielles
• Partie VII - Contexte et avenir (Chapitres 30-33) : Économie de la sécurité de la chaîne d'approvisionnement, considérations géopolitiques, leçons d'autres industries et orientations futures

Structure du dépôt

contents/
├── book1/                 # Chapters 1-10
│   └── chapter-XX/        # Each chapter directory contains:
│       ├── README.md      #   Chapter overview
│       ├── ch-X.Y.md      #   Section files
│       └── img/           #   Chapter images
├── book2/                 # Chapters 11-22
├── book3/                 # Chapters 23-33
├── appendices/            # Appendices A-H
└── frontmatter/           # Author info, legal notices, templates

scripts/
├── build-all.sh           # Build all three books
├── cover-generator.py     # Generate book covers
├── custom_template.latex  # Template for building PDF
└── verify_urls.py         # URL verification utility

Construction des PDF

Prérequis

• Pandoc (convertisseur de documents)
• XeLaTeX (génération de PDF)
• ImageMagick (conversion d'images)
• Python 3.x (pour la génération des couvertures)

Commandes de construction

Construire les trois livres :

./scripts/build-all.sh

Construire des livres individuels :

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

Les PDF de sortie sont générés dans le répertoire scripts/.

Annexes

Contribution

Les contributions sont les bienvenues. Lorsque vous contribuez :

• Maintenez une précision technique sur les sujets de sécurité
• Citez les sources pour les affirmations factuelles et les statistiques
• N'hésitez pas à utiliser l'IA pour générer du contenu, mais lisez-le et comprenez-le avant d'envoyer une pull request.
• Utilisez une terminologie cohérente (référez-vous à l'annexe A : Glossaire)
• Suivez la structure existante des chapitres/sections (format ch-X.Y.md)
• Gardez les exemples concrets spécifiques avec des détails vérifiables (noms, dates, impacts)

Le dépôt inclut un linting automatisé pour la qualité du Markdown et la compatibilité avec Zensical. Consultez CONTRIBUTING.md pour les directives détaillées et CLAUDE.md pour les normes de contenu.

Licence

Ce travail est sous licence MIT. Vous pouvez copier, modifier, distribuer et utiliser le travail, même à des fins commerciales, avec attribution.