Supply Chain Security

# 소프트웨어 공급망 보안 체크리스트 구현

# 1. SBOM 생성 (Syft)
syft packages ghcr.io/myorg/myapp:latest -o spdx-json > sbom.json

# 2. 취약점 스캔 (Grype)
grype sbom:sbom.json --output json > vulnerabilities.json

# 3. 의존성 잠금 (package-lock.json, go.sum 등)
npm ci --ignore-scripts  # 스크립트 실행 없이 정확한 버전 설치

# 4. 비공개 레지스트리 설정 (.npmrc)
registry=https://registry.myorg.com/
@myorg:registry=https://registry.myorg.com/

# 5. 컨테이너 이미지 서명 (Cosign)
cosign sign --yes ghcr.io/myorg/myapp:latest

# 6. SLSA Provenance 검증
slsa-verifier verify-artifact myapp.tar.gz \
  --provenance-path myapp.tar.gz.intoto.jsonl \
  --source-uri github.com/myorg/myapp

# 7. Kubernetes 정책 (Kyverno - 서명된 이미지만 허용)
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-signed-images
spec:
  validationFailureAction: Enforce
  rules:
    - name: verify-signature
      match:
        resources:
          kinds:
            - Pod
      verifyImages:
        - imageReferences:
            - "ghcr.io/myorg/*"
          attestors:
            - entries:
                - keyless:
                    issuer: "https://token.actions.githubusercontent.com"

# 8. CI 파이프라인 보안 (GitHub Actions)
# - 최소 권한 원칙 (permissions)
# - OIDC 토큰 사용 (id-token: write)
# - Dependabot 활성화
# - branch protection 설정