Безопасность цепочки поставок программного обеспечения

Комплексная серия из трех книг по безопасности цепочки поставок программного обеспечения, охватывающая угрозы, защиту и управление. Эта рукопись с открытым исходным кодом предоставляет специалистам по безопасности, разработчикам и руководителям организаций практические рекомендации по защите современных практик разработки программного обеспечения.

Серия книг

Книга 1: Понимание цепочки поставок программного обеспечения

Предоставляет основу для понимания безопасности цепочки поставок: как современное программное обеспечение строится, ландшафт угроз, исторические атаки и подробные модели атак.

• Часть I - Основы (Главы 1-4): Как сегодня создается программное обеспечение, обзор угроз цепочки поставок, исторические атаки и риски, специфичные для экосистем
• Часть II - Модели атак (Главы 5-10): Вредоносные пакеты, путаница зависимостей, тайпсквоттинг, атаки на системы сборки, инсайдерские угрозы и социальная инженерия

Книга 2: Защита цепочки поставок программного обеспечения

Переводит знания об угрозах в практические меры защиты на протяжении всего жизненного цикла разработки, от выбора зависимостей до развертывания в производстве.

• Часть III - Оценка рисков и тестирование (Главы 11-15): Измерение рисков, SBOM, управление зависимостями, тестирование безопасности и Red Teaming
• Часть IV - Защита и реагирование (Главы 16-20): Защита сред разработки, конвейеров CI/CD, каналов распространения, реагирование на инциденты и антикризисная коммуникация
• Часть V - Операционализация защиты (Главы 21-22): Построение программ безопасности и подходы платформенной инженерии

Книга 3: Управление цепочкой поставок программного обеспечения

Рассматривает человеческие, политические и стратегические аспекты безопасности цепочки поставок: организационную приверженность, соблюдение нормативных требований, экономические стимулы и отраслевое сотрудничество.

• Часть V - Люди и организации (Главы 23-25): Обучение и культура безопасности, взгляды мейнтейнеров открытого кода и управление рисками поставщиков
• Часть VI - Регулирование и право (Главы 26-29): Регуляторный ландшафт (EO 14028, EU CRA), фреймворки соответствия, правовые аспекты и отраслевые инициативы
• Часть VII - Контекст и будущее (Главы 30-33): Экономика безопасности цепочки поставок, геополитические соображения, уроки других отраслей и будущие направления

Структура репозитория

contents/
├── book1/                 # Главы 1-10
│   └── chapter-XX/        # Каждый каталог главы содержит:
│       ├── README.md      #   Обзор главы
│       ├── ch-X.Y.md      #   Файлы разделов
│       └── img/           #   Изображения главы
├── book2/                 # Главы 11-22
├── book3/                 # Главы 23-33
├── appendices/            # Приложения A-H
└── frontmatter/           # Информация об авторе, юридические уведомления, шаблоны

scripts/
├── build-all.sh           # Сборка всех трех книг
├── cover-generator.py     # Генерация обложек книг
├── custom_template.latex  # Шаблон для сборки PDF
└── verify_urls.py         # Утилита проверки URL

Сборка PDF

Предварительные требования

• Pandoc (конвертер документов)
• XeLaTeX (генерация PDF)
• ImageMagick (преобразование изображений)
• Python 3.x (для генерации обложек)

Команды сборки

Сборка всех трех книг:

./scripts/build-all.sh

Сборка отдельных книг:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

Выходные PDF-файлы создаются в каталоге scripts/.

Приложения

Вклад

Вклад приветствуется. При внесении вклада:

• Поддерживайте техническую точность по темам безопасности
• Указывайте источники для фактических утверждений и статистики
• Не стесняйтесь использовать ИИ для генерации контента, но прочтите и осмыслите его перед отправкой pull request.
• Используйте единообразную терминологию (обращайтесь к Приложению A: Глоссарий).
• Следуйте существующей структуре глав/разделов (формат ch-X.Y.md).
• Приводите конкретные примеры из реального мира с проверяемыми деталями (имена, даты, последствия).

В репозиторий включена автоматическая проверка качества Markdown и совместимости с Zensical. Подробное руководство см. в CONTRIBUTING.md, а стандарты контента — в CLAUDE.md.

Лицензия

Эта работа лицензирована в соответствии с лицензией MIT. Вы можете копировать, изменять, распространять и использовать работу, даже в коммерческих целях, с указанием авторства.