Внутри из полезного вы найдете:
- Common Threat Matrix for CI/CD Pipeline
- Рассказ о том, как они внутри компании отработали инцидент с
CodeCove - Помимо матрицы угроз еще и набор
mitigations - Замечательную мысль: "If CD can deploy, it should be considered part of production."
В эту тему можно также вспомнить проект SLSA (
Supply-chain Levels for Software Artifacts) и подход U.S. Air Force и Department of Defense (DoD) ,где все включая CI/CD pipline контейнерезировано и запущено в Kubernetes, чтобы ко всему применять одни и те же подходы по защите и контролю контейнеров и уменьшить blast radius.