Scope
This original IROSG guide covers امنیت زنجیرهٔ تأمین Open Source و secure-by-design using the cited primary documentation.
Core model
محصول نرم‌افزاری از source code تنها ساخته نمی‌شود؛ compiler، dependency، build runner، registry و signing key هم بخشی از زنجیره‌اند. SBOM inventory را می‌دهد، provenance دربارهٔ نحوهٔ build evidence می‌سازد و signature تمامیت/هویت artifact را تقویت می‌کند.
Practical workflow
dependency pinning، isolated build، least-privilege CI token، artifact signing و deploy-time verification را مرحله‌ای پیاده کنید. هر کنترل باید failure mode و owner داشته باشد.
Failure modes
SBOM به‌تنهایی امنیت ایجاد نمی‌کند. اگر artifact بدون verification deploy شود یا build secret بیش از حد privilege داشته باشد، فهرست dependency فقط inventory است.
Lab
یک image ساده بسازید، SBOM تولید کنید، digest را ثبت کنید و یک artifact تغییرکرده را در مرحلهٔ verification رد کنید. سپس provenance build را کنار release نگه دارید.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
