Configurerò una pipeline devsecops ci cd con firma dell'immagine sbom e scansione cve

Hai bisogno di una pipeline DevSecOps CI/CD che intercetta gli attacchi alla supply-chain PRIMA che raggiungano la produzione? La realizzerò per te.

Ti consegnerò una pipeline GitHub Actions di livello produzione che:

Firma ogni immagine di container con Sigstore Cosign (senza chiavi, senza chiavi a lungo termine)

Genera SBOM duali SPDX + CycloneDX (Syft)

Blocca immagini vulnerabili tramite Grype / Trivy CVE gates

Applica la verifica della firma all'ingresso di Kubernetes (Kyverno)

Produce la provenienza di build di livello SLSA 3

Demo funzionante: firma in ingresso, rifiuta le modifiche non autorizzate

PERCHÉ SCEGLIERE ME:

Ho creato una piattaforma di supply-chain di livello SLSA 3 (pubblica su GitHub)

Background di ricerca in sicurezza cloud-native e ingegneria della detection

Tesi di laurea in IDS adattivo in revisione IEEE

Esperienza pratica con Kubernetes, eBPF, Cosign, Kyverno, standard OWASP

STACK TECNOLOGICO:

GitHub Actions, GitLab CI, Jenkins, Docker, Kubernetes (EKS / k3s / kind), Helm, Cosign, Fulcio, Rekor, Syft, Grype, Trivy, Kyverno, SLSA v1.0

INCLUSO:

File di workflow CI/CD completi (inclusi nel tuo repo)

Immagini di container firmate e scansionate ad ogni push

Artefatti SBOM (SPDX + CycloneDX)

Politiche di admission Kyverno (opzionale)

Documentazione completa di setup + revisione gratuita