Was macht software-supply-chain-security-agent-skill?
🛡️ Ein Scanner für die Software-Lieferkette | Auditiert Abhängigkeiten, Herkunft und CI/CD-Pipelines gegen SLSA- und OWASP-Standards, um bösartige Exploits zu verhindern. 📦
Dieser Skill analysiert die Software-Lieferkette Ihres Projekts auf Sicherheitslücken und Konfigurationsfehler. Er bewertet die Integrität von Abhängigkeiten, überprüft Build-Herkunftsnachweise (Provenance) und vergleicht CI/CD-Pipelines mit den branchenweit anerkannten Richtlinien von SLSA und OWASP.
Funktionen
- Abhängigkeitsaudit: Scannt
package.json,requirements.txt,go.modund ähnliche Dateien auf bekannte Schwachstellen. - Provenance-Prüfung: Überprüft, ob Build-Artefakte signierte Herkunftsnachweise (SLSA) besitzen.
- CI/CD-Pipeline-Check: Analysiert YAML-Definitionen (GitHub Actions, GitLab CI, etc.) auf Sicherheitslücken wie hartcodierte Secrets oder unzureichende Berechtigungen.
- Zusammenfassungsbericht: Erstellt eine priorisierte Liste von Empfehlungen zur Risikominimierung.
Unterstützte Plattformen
- GitHub Actions
- GitLab CI/CD
- Lokale
package.json(npm, yarn, pnpm) - Weitere Plattformen in Entwicklung
Verwendung
- Fügen Sie diesen Skill zu Ihrem KI-Agenten hinzu.
- Navigieren Sie in das Wurzelverzeichnis Ihres Projekts.
- Führen Sie den Befehl
scanaus oder lassen Sie den Agenten automatisch prüfen.
# Beispiel: Initialisieren des Scans
supply-chain-scan --type dependencies
Konfiguration
Erstellen Sie eine Datei .scconfig.yaml im Projektstammverzeichnis:
# .scconfig.yaml
slsa_level: 2
ignored_packages:
- "test-*"
ci_providers:
- github_actions
Lizenz
MIT
Mitwirken
Beiträge sind willkommen! Bitte lesen Sie die CONTRIBUTING.md für Details.