Attestkeep
Dil: Türkçe
Kayıt ol
Güvenlik · ABD (NIST)

NIST SP 800-218 (SSDF v1.1)

Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 13 maddeye eşler. Kaynak: NIST SP 800-218 v1.1. Bunlardan 11 tanesi bu kayıtlardan değerlendirilir; 2 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.

Hesap oluşturBir paket nasıl hazırlanır
Framework ne istiyor

Cluster'ın cevap verebildiği 11 madde.

Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.

Secure Software Development Framework

NIST SP 800-218 v1.1

PO.3 ve PO.5, PS.1 ila PS.3, PW.4 ve RV.1 ila RV.2: build'in ötesine geçip deploy edilen yazılıma kadar uzanan uygulamalar

MaddeBaşlıkRapor bölümleri
PO.3.2
Deploy and maintain the toolchain

Araçları ve toolchain'leri kurmak, işletmek ve bakımını yapmak için önerilen güvenlik uygulamalarını izleyin; amaçlandığı gibi çalıştıklarından emin olun.

AvailabilityEvidence chain
PO.5.1
Separate and protect the environments used for software

Her ortam için çok faktörlü, risk tabanlı kimlik doğrulama ve koşullu erişim kullanın; ortamı kimin değiştirebileceğini kısıtlayın.

Evidence chain
PS.1.1
Protect all forms of code from unauthorized access and tampering

Kodu en az yetki ilkesine göre saklayın ve deploy edilen yazılımın yayımlanan release ile aynı olduğunu doğrulayın.

Supply chainControl statement
PS.2.1
Provide a mechanism for verifying software release integrity

Kriptografik hash'ler yayımlayın ya da release'leri imzalayın; kullanıcılar çalıştırdıkları yazılımın yayımlanan yazılım olduğunu doğrulayabilsin.

Supply chainControl statement
PS.3.1
Archive and protect each software release

Release'i ve provenance verisini arşivleyin; release daha sonra tanımlanabilsin ve kökeni belirlenebilsin.

Supply chainControl statementEvidence chain
PS.3.2
Collect and maintain provenance data for components

Bir release'in oluşturulduğu bileşenler için, SBOM dahil provenance verisini erişilebilir kılın.

Supply chain
PW.4.1
Acquire well-secured components from commercial or open-source sources

Bileşenleri bilinen ve güvenilen kaynaklardan yeniden kullanın; edinilen her bileşenin iddia ettiği yerden geldiğini kontrol edin.

Control statementSupply chain
PW.4.4
Verify that acquired components comply with requirements

Edinilen her bileşeni kullanmadan önce kuruluşun güvenlik gerekliliklerine göre doğrulayın ve bunu bileşenin ömrü boyunca sürdürün.

CoverageAdmission decisionsOutcomes
RV.1.1
Gather information about potential vulnerabilities

Yazılım ve bağlı olduğu bileşenlerle ilgili zafiyet bilgisi kaynaklarını sürekli izleyin.

Coverage
RV.1.2
Confirm and prioritize each vulnerability

Bildirilen her zafiyeti inceleyin, doğrulayın, önceliklendirin ve kaydedin; müdahale orantılı ve izlenebilir olsun.

CoverageAdmission decisionsOutcomesTriage decisionsEvidence chain
RV.2.1
Analyze and plan the remediation of each vulnerability

Müdahaleyi belirlemek için her zafiyeti analiz edin ve tanımlı bir süre içinde harekete geçin.

Control statementAdmission decisionsIssuesBreak-glass events
Kapsam dışı işaretlenen 2 madde ve nedenleri
MaddeMadde ve gerekçe
PW.1 to PW.3, PW.5 to PW.9Design, review, and test the software itself

Bu uygulamalar yazılımın bir image'a dönüşmeden önce nasıl yazılıp gözden geçirildiğini düzenler; bu belge bir cluster'ın neyi kabul ettiğini raporlar, bu da hepsinin sonrasında gelir.

RV.3.3Review the root cause of vulnerability classes

Kök neden analizi, üreticinin kaynak kod ve tasarım üzerinde yaptığı bir iştir; buradaki kayıtlar hangi bulguların tekrarladığını gösterir, neden yazıldıklarını değil.

Attestkeep ne üretir

Cluster'ın zaten tuttuğu kayıtlardan kanıt.

Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.

Eşlemenin dayandığı beyanlar

Değerlendirilen her madde, dönemin kayıtlarıyla ilgili bu beyanlardan bir ya da birkaçıyla cevaplanır. Aynı soruyu her framework'te aynı beyan cevaplar; bu yüzden aynı döneme ait iki rapor birbiriyle çelişemez.

  • Her karar ve her yönetim işlemi kaydedilir4 madde
  • Yalnızca kaynağı kanıtlanmış image'lar çalışabilir4 madde
  • Workload'lar image'ı değişebilen bir tag ile değil, digest ile belirtir2 madde
  • Envanterdeki her image'ın bir tarama kaydı vardır2 madde
  • Ağır bulgu taşıyan image'lar reddedilir2 madde
  • Yönetici erişimi bir dizine bağlıdır1 madde
  • Kontrolün kendisi dönem boyunca çalıştı1 madde
  • Kabul edilen risklerin adı, gerekçesi ve süresi var1 madde
  • Bir ret ya da kritik bir bulgu bir insana ulaşır1 madde
  • Image'lar yalnız adı belirtilen registry'lerden girebilir1 madde
  • Her önem derecesi için bir giderme süresi tanımlıdır1 madde
  • Kullanımdaki image'lar için SBOM tutulur1 madde
Paket

Raporda neler var.

Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar NIST SSDF cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.

Pakete dair ayrıntılar

  1. Organisation
  2. Framework mapping
  3. Cluster
  4. Control statement5
  5. Coverage3
  6. Vulnerability findings
  7. Outcomes2
  8. Admission decisions3
  9. Supply chain5
  10. Triage decisions1
  11. Break-glass events1
  12. Availability1
  13. Evidence chain4
  14. Deployment context
  15. Issues1
  16. Ledger
  17. Population
  18. Runtime events
  19. Producer statements (VEX)
Kapsam

Kapsam paragrafı, raporda yazıldığı gibi.

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Secure Software Development Framework. SSDF governs how software is produced; a deployment-time control speaks to the practices that reach past the build — verifying the integrity and provenance of what is released, knowing which third-party components are in service, and finding and answering vulnerabilities in software already deployed. Practices about source code, design review, build toolchains and developer training belong to the producing organisation and are marked outside the scope of this document rather than stretched to fit.

Sorular

NIST SSDF hakkında

Bu bir NIST SSDF sertifikası mı?

Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.

Maddelerin 2 tanesi neden kapsam dışı?

Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.

NIST SSDF hangi planda var?

Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.

Denetçi paketi nasıl kontrol eder?

Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.

Kendiniz kurun.

Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.

Hesap oluştur