Segurança na Cadeia de Suprimentos de Software

Uma série abrangente de três livros sobre segurança na cadeia de suprimentos de software, cobrindo ameaças, defesas e governança. Este manuscrito de código aberto fornece a profissionais de segurança, desenvolvedores e líderes organizacionais orientações práticas para proteger práticas modernas de desenvolvimento de software.

A Série de Livros

Livro 1: Entendendo a Cadeia de Suprimentos de Software

Fornece a base para entender a segurança da cadeia de suprimentos: como o software moderno é construído, o panorama de ameaças, ataques históricos e padrões de ataque detalhados.

• Parte I - Fundamentos (Capítulos 1-4): Como o software é construído hoje, visão geral das ameaças à cadeia de suprimentos, ataques históricos e riscos específicos de ecossistemas
• Parte II - Padrões de Ataque (Capítulos 5-10): Pacotes maliciosos, confusão de dependências, typosquatting, ataques a sistemas de build, ameaças internas e engenharia social

Livro 2: Protegendo a Cadeia de Suprimentos de Software

Traduz o conhecimento sobre ameaças em defesas práticas ao longo de todo o ciclo de vida de desenvolvimento, desde a seleção de dependências até a implantação em produção.

• Parte III - Avaliação de Risco e Testes (Capítulos 11-15): Medição de risco, SBOMs, gerenciamento de dependências, testes de segurança e red teaming
• Parte IV - Defesa e Resposta (Capítulos 16-20): Proteção de ambientes de desenvolvimento, pipelines CI/CD, canais de distribuição, resposta a incidentes e comunicação de crise
• Parte V - Operacionalização da Defesa (Capítulos 21-22): Construção de programas de segurança e abordagens de engenharia de plataforma

Livro 3: Governando a Cadeia de Suprimentos de Software

Aborda as dimensões humana, política e estratégica da segurança da cadeia de suprimentos: compromisso organizacional, conformidade regulatória, incentivos econômicos e colaboração da indústria.

• Parte V - Pessoas e Organizações (Capítulos 23-25): Treinamento e cultura de segurança, perspectivas de mantenedores de código aberto e gerenciamento de risco de fornecedores
• Parte VI - Regulatório e Jurídico (Capítulos 26-29): Panorama regulatório (EO 14028, EU CRA), frameworks de conformidade, considerações legais e iniciativas da indústria
• Parte VII - Contexto e Futuro (Capítulos 30-33): Economia da segurança da cadeia de suprimentos, considerações geopolíticas, lições de outras indústrias e direções futuras

Estrutura do Repositório

contents/
├── book1/                 # Chapters 1-10
│   └── chapter-XX/        # Each chapter directory contains:
│       ├── README.md      #   Chapter overview
│       ├── ch-X.Y.md      #   Section files
│       └── img/           #   Chapter images
├── book2/                 # Chapters 11-22
├── book3/                 # Chapters 23-33
├── appendices/            # Appendices A-H
└── frontmatter/           # Author info, legal notices, templates

scripts/
├── build-all.sh           # Build all three books
├── cover-generator.py     # Generate book covers
├── custom_template.latex  # Template for building PDF
└── verify_urls.py         # URL verification utility

Construindo PDFs

Pré-requisitos

• Pandoc (conversor de documentos)
• XeLaTeX (geração de PDF)
• ImageMagick (conversão de imagens)
• Python 3.x (para geração de capa)

Comandos de Build

Construir todos os três livros:

./scripts/build-all.sh

Construir livros individuais:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

Os PDFs de saída são gerados no diretório scripts/.

Apêndices

Contribuindo

Contribuições são bem-vindas. Ao contribuir:

• Mantenha a precisão técnica em tópicos de segurança
• Cite fontes para afirmações factuais e estatísticas
• Sinta-se à vontade para usar IA para gerar conteúdo, mas leia e entenda antes de enviar um pull request.
• Use terminologia consistente (consulte o Apêndice A: Glossário)
• Siga a estrutura existente de capítulo/seção (formato ch-X.Y.md)
• Mantenha exemplos do mundo real específicos com detalhes verificáveis (nomes, datas, impactos)

O repositório inclui linting automatizado para qualidade Markdown e compatibilidade com Zensical. Consulte CONTRIBUTING.md para orientações detalhadas e CLAUDE.md para padrões de conteúdo.

Licença

Este trabalho está licenciado sob a Licença MIT. Você pode copiar, modificar, distribuir e usar o trabalho, mesmo para fins comerciais, com atribuição.