Inventaire CycloneDX
Générez un inventaire de packages lisible par machine pour les workflows ISO et d'image disque pris en charge.
Construire des preuves de l'artefact vers l'extérieur
OpenFactory génère un inventaire logiciel pour les créations d'images Linux prises en charge et conserve les enregistrements d'artefacts et de vérification à côté du résultat. Le flux de travail est conçu pour échouer visiblement lorsque les preuves sont incomplètes plutôt que de qualifier silencieusement les paquets inconnus de sûrs.
Identité de l'artefact
Liez l'enregistrement d'inventaire et de vérification à la sortie créée avec des identifiants et des hachages stables.
Vérifications d'exécution
Démarrez l'image produite dans un VM et conservez le résultat des contrôles fonctionnels ou visuels convenus.
Couverture explicite
Préservez la couverture de l’inventaire et les résultats inconnus afin que les examinateurs de sécurité puissent distinguer les preuves manquantes d’un package non affecté.
Une chaîne de preuves révisables
Chaque étape apporte un fait différent. Ensemble, ils rendent une révision de version plus concrète.
- 01
Déclarer
Versionnez la recette Linux et les attentes de validation pour le système.
- 02
Produire
Créez l'artefact, générez son side-car CycloneDX et enregistrez les identifiants et les hachages de l'artefact.
- 03
Vérifier
Démarrez le résultat réel, effectuez des vérifications et conservez les preuves réussies et non résolues pour examen.
Questions de chaîne d'approvisionnement
OpenFactory revendique-t-il des versions entièrement déterministes ?
Non. OpenFactory rend les entrées, les artefacts et les contrôles révisables, mais ne commercialise pas chaque création d'image comme étant déterministe bit par bit.
Les artefacts et SBOMs sont-ils signés cryptographiquement ?
Les hachages d'artefacts et les enregistrements CycloneDX liés au hachage sont disponibles aujourd'hui. Les revendications de signature et d'attestation externe plus larges ne sont pas présentées comme étant généralement disponibles.
Est-ce que cela remplace notre scanner de sécurité ?
Non. Les preuves d’inventaire et d’artefacts peuvent prendre en charge vos flux de travail de révision et de numérisation. OpenFactory effectue également une évaluation consultative prise en charge, mais les contrôles spécialisés restent partie intégrante du programme de sécurité du client.
Prouver un chemin de publication de bout en bout
Utilisez une image représentative pour identifier les preuves produites aujourd'hui par OpenFactory et les contrôles qui appartiennent encore à votre processus environnant.