Ao desenvolver um projeto de software, você provavelmente usa outro software para criar e executar sua aplicação, como bibliotecas de código aberto, estruturas ou outras ferramentas. Esses recursos são chamados coletivamente de suas “dependências”, porque seu projeto depende deles para funcionar corretamente. Seu projeto pode contar com centenas dessas dependências, formando o que é conhecido como sua "cadeia de suprimentos".

Sua cadeia de suprimentos pode representar um risco de segurança. Se uma de suas dependências tiver uma falha de segurança conhecida ou um bug, agentes maliciosos poderão explorar essa vulnerabilidade para, por exemplo, inserir código malicioso (malware), roubar dados confidenciais ou causar algum outro tipo de interrupção no seu projeto. Esse tipo de ameaça é chamado de "ataque à cadeia de suprimentos". Ter dependências vulneráveis em sua cadeia de suprimentos compromete a segurança do seu próprio projeto e você também coloca seus usuários em risco.

Uma das coisas mais importantes que você pode fazer para proteger sua cadeia de suprimentos é corrigir suas dependências vulneráveis.

Os invasores não têm como alvo apenas as dependências que você usa; eles também visam as contas de usuários e processos de compilação. É importante proteger ambos para garantir que o código que você distribui não foi adulterado.

O GitHub oferece uma variedade de recursos para ajudar você a entender as dependências e protegê-las no seu ambiente, além de proteger suas contas do GitHub e seu sistema de compilação.

Ao contrário dos complementos de segurança de terceiros, os recursos da cadeia de suprimentos do GitHub operam integralmente nos fluxos de trabalho nativos do GitHub que os desenvolvedores já conhecem e adoram. Ao facilitar a correção de vulnerabilidades enquanto os desenvolvedores trabalham, o GitHub libera as equipes de segurança para manter o foco nas estratégias cruciais que protegem negócios, clientes e comunidades contra as vulnerabilidades em aplicações.

Níveis da cadeia de suprimentos para artefatos de software (SLSA) são uma estrutura para melhorar a integridade de ponta a ponta de um artefato de software durante todo o seu ciclo de vida de desenvolvimento. Eles fornecem uma metodologia abrangente e detalhada para criar garantias de integridade e procedência em sua cadeia de suprimentos de software. O SLSA Nível 3 significa uma cadeia de suprimentos de software significativamente reforçada, onde as compilações são altamente isoladas, o histórico do código-fonte é verificado e a procedência é rigorosamente controlada, fornecendo uma forte garantia contra adulteração e assegurando a integridade dos artefatos de software. O GitHub Actions e o Artifact Attestations simplificam muito a jornada para o SLSA Nível 3.

Você pode exportar uma lista de materiais de software ou SBOM para seu repositório a partir do gráfico de dependência do GitHub. As SBOMs permitem transparência no uso do código aberto e ajudam a expor vulnerabilidades da cadeia de suprimentos, reduzindo esses riscos.

A maioria dos recursos da cadeia de suprimentos do GitHub está disponível gratuitamente para todos os usuários. Alguns recursos avançados específicos estão disponíveis apenas para repositórios privados no GitHub Code Security. Consulte os preços.