Обновление DevSecOps Assessment Framework (DAF)

Всем привет!

Настала очередь обновления DAF и вот основные изменения нового релиза:
🦴 Скорректировали опечатки и ошибки в формулах на всех листах
🦴 Актуализировали карту DAF
🦴 Перенесли на 4й уровень:
- T-CODE-IMG-3-1 -> T-CODE-IMG-4-1 Выполняется проверка цифровых подписей образов контейнеров
- T-ADI-DEP-3-3 -> T-ADI-DEP-4-1 Выполняется верификация цифровой подписи SBOM перед использованием зависимостей в сборке. Это может быть реализовано с помощью SCA решения
- T-ADI-ART-2-2 -> T-ADI-ART-4-4 Выполняется создание хэш сумм артефактов перед отправкой их в registry, а также их проверка при сборке
- T-ADI-ART-3-1 -> T-ADI-ART-4-3 Выполняется создание цифровых подписей всех артефактов перед их отправкой в registry
- T-ADI-ART-3-4 -> T-ADI-ART-4-1 Конвейер сборки (build pipeline) подписывает все артефакты, которые он создает
🦴 Удалили:
- T-ADI-DEP-4-2 Выполняется создание и проверка цифровой подписи собранных зависимостей. Например, с помощью Cosign
- T-ADI-DEP-4-3 Выполняется создание и проверка цифровой подписи на SBOM для собранных зависимостей. Например, с помощью Cosign

Наш фреймворк становится все более структурированным и комплексным. Качайте новую версию, анализируйте её и свои процессы безопасной разработки!

Мы всегда открыты к обратной связи и ждем новых контрибьюторов!