{"id":64948,"date":"2021-10-29T08:24:28","date_gmt":"2021-10-29T07:24:28","guid":{"rendered":"https:\/\/www.artefact.com\/?post_type=news&p=64948"},"modified":"2024-09-20T17:45:46","modified_gmt":"2024-09-20T16:45:46","slug":"how-to-secure-your-python-software-supply-chain","status":"publish","type":"blog","link":"https:\/\/www.artefact.com\/br\/blog\/how-to-secure-your-python-software-supply-chain\/","title":{"rendered":"Como proteger sua cadeia de suprimentos de software Python"},"content":{"rendered":"

Autor<\/h2><\/div>\"Image\"

Beno\u00eet Goujon<\/h3><\/div>

Data engenheiro da Artefact<\/p>\n<\/div><\/div><\/div><\/div><\/div>

<\/span><\/a><\/span>

Leia nosso artigo sobre<\/u><\/p>\n<\/div>

<\/span><\/div>

.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

Um guia para estar ciente dos riscos aos quais o senhor est\u00e1 exposto e algumas dicas para se proteger contra eles.
\n Um novo tipo de amea\u00e7a cibern\u00e9tica surgiu recentemente: os ataques \u00e0 cadeia de suprimentos de software. Embora raros, eles t\u00eam impactos enormes, e a prote\u00e7\u00e3o contra eles \u00e9 uma preocupa\u00e7\u00e3o crescente. Devido \u00e0 variedade de casos de uso, n\u00e3o h\u00e1 uma regra \u00fanica a ser aplicada aos seus projetos python para garantir a seguran\u00e7a e, como sempre, isso depende do seu contexto.<\/p>\n<\/div><\/div><\/div><\/div><\/div>

Introdu\u00e7\u00e3o<\/h2><\/div>

Nos setores tradicionais, uma cadeia de suprimentos \u00e9 tudo o que permite que uma empresa entregue um produto ao cliente. Por exemplo, quando o senhor compra um croissant na padaria, todos os ingredientes, a embalagem e o transporte fazem parte da cadeia de suprimentos.<\/p>\n<\/div>

No dom\u00ednio do software, uma cadeia de suprimentos \u00e9 tudo o que afeta o software antes de sua implanta\u00e7\u00e3o na produ\u00e7\u00e3o. Ela abrange tudo, desde a fase de desenvolvimento at\u00e9 o processo de lan\u00e7amento, incluindo o c\u00f3digo que o senhor escreveu, suas depend\u00eancias, seu ambiente de compila\u00e7\u00e3o, seu IDE, seu registro de imagem - todos os componentes com os quais seu software interage em qualquer ponto!<\/p>\n<\/div>

<\/span><\/div>

O termo \u201ccadeia de suprimentos\u201d veio \u00e0 tona recentemente devido a ataques cibern\u00e9ticos que tiveram um grande impacto. Entre todos os ataques, o da Solarwinds talvez seja o mais famoso. De fato, o governo dos EUA, grandes empresas de tecnologia como a Microsoft e a Intel, mas tamb\u00e9m hospitais, empresas de energia e institui\u00e7\u00f5es financeiras foram afetados.<\/p>\n

Ironicamente, a causa principal \u00e9 a infec\u00e7\u00e3o do Solarwinds Orion, um monitor de seguran\u00e7a de rede. O sistema de compila\u00e7\u00e3o foi comprometido e todas as novas vers\u00f5es entre mar\u00e7o e junho de 2020 foram infectadas por malware. O resultado \u00e9 que todos os clientes que atualizaram seu software durante esse per\u00edodo foram comprometidos.<\/p>\n<\/div>

Embora o ataque da Solarwinds tenha sido amplamente coberto pela m\u00eddia, h\u00e1 dezenas de ataques semelhantes dos quais nunca ouvimos falar. Felizmente, a Cloud Native Computing Foundation mant\u00e9m o controle de todos eles em um\u00a0reposit\u00f3rio p\u00fablico<\/a>. O senhor pode se surpreender com a acelera\u00e7\u00e3o desses ataques nos \u00faltimos anos.<\/p>\n

N\u00e3o \u00e9 poss\u00edvel cobrir tudo relacionado \u00e0 seguran\u00e7a da cadeia de suprimentos em uma \u00fanica postagem do blog, portanto, neste artigo, vamos nos concentrar principalmente em projetos que usam Python como linguagem principal.<\/p>\n<\/div>

Como gerenciar suas depend\u00eancias em Python<\/h3><\/div>

Embora o Python tenha uma filosofia de \u201cbaterias inclu\u00eddas\u201d, muitas vezes o usu\u00e1rio precisa de bibliotecas externas que podem ser baixadas do PyPI, o \u00edndice oficial de pacotes, e \u00e9 nesse ponto que o usu\u00e1rio precisa ser muito cuidadoso.<\/p>\n

O ecossistema Python j\u00e1 foi visado, especialmente por meio do uso de duas t\u00e9cnicas:<\/p>\n<\/div>