避坑，不要看：CIS软件供应链安全指南腾讯云开发者社区

很明显，要直接定义特定的基线是不现实的，更实际的做法是定义一个通用的指南，然后以此为基础来进一步定义更精准的内容。因此CIS软件供应链安全指南诞生了。这篇指南的目的在于引出全球社区的反馈，从而帮助制定未来的更准确、更针对特定平台的指南。

本指南面向下图所示的软件供应链过程，涵盖了从代码到交付的生命周期。

本指南目前包含了一百多条建议，按照以下维度进行组织：

本指南和CIS基准的愿景，是支持关键的新兴标准，如软件产品的供应链级别（SLSA）和更新框架（TUF），为基准支持的平台上的配置设置和审计工作奠定基础。

通过制定CIS软件供应链指南，CIS和Aqua希望建设一个活跃的社区，来支持开发未来的针对平台的软件供应链基线。呼吁开发这些平台或与这些平台合作的专家（SubjectMatterExperts）以CIS的协作和共识方式帮助创建这一指南。

迄今为止，来自AquaSecurity、CIS、Microsoft、PayPal、RedHat、CyberArk、Axonius等组织的SME们已经对本指南进行了评审。CIS和AquaSecurity希望开放目前工作成果的方式，吸引有更多的SME为这个项目做出贡献，使所有人受益。

要贡献给CIS基线项目，请联系CIS基线开发团队：benchmarkinfo@cisecurity.org。

本指南适用于计划通过DevOps管道的自动化手段构建和部署软件更新的开发、部署、评估或保护解决方案的DevOps和应用安全管理员、安全专家、审计师、HelpDesk和平台部署人员。

本节对管理员账户和普通账户分而治之。因为管理员的权限过大，因此管理员账户只应用于管理工作，而非日常任务。

本节针对组织开发的构建管线，提出安全建议。

构建管线是一组基础设施，会读取原始的代码问价，运行一组任务，最终输出制品。制品是软件最近版本的最终输出物，这些输出物会被打包以便于后续的存储、使用和部署。

本节针对构建管线的环境提出安全建议。构建环境包含所有制品构建过程所需的基础设施——编排器、管线执行、构建器所在的环境等。绝大多数构建环境的安全建议是针对自建构建平台的——例如自建的CircleCI。

管线中使用指令来获取源代码的原始文件，并进行一系列处理最终输出制品。多数时候，这些指令是由第三方开发者编写的，受攻击的几率可能较高，因此需要谨慎对待。

将管道指令作为代码存储在版本控制系统中，提高了构建步骤的自动化程度，并减少人为错误导致的安全漏洞。此外，这种做法也具备了恢复管道配置版本的能力，在发生恶意事件时，更容易准确的定位受影响的变化。

制品被推送到仓库之后，可能发生各种攻击：例如使用同名恶意制品进行覆盖、盗取制品文件等。

部署是供应链的最后一段，本节提供关于发布、部署和配置等方面的安全建议。