Vou configurar um pipeline devsecops ci cd com assinatura de imagem SBOM e varredura de CVE

Precisa de uma pipeline DevSecOps CI/CD que detecta ataques na cadeia de suprimentos ANTES que cheguem à produção? Eu vou montar ela pra você.

Vou entregar uma pipeline de GitHub Actions de nível de produção que:

Assina toda imagem de container com Sigstore Cosign (sem chaves de longa duração, sem necessidade de chaves de longo prazo)

Gera SBOMs duais SPDX + CycloneDX (Syft)

Bloqueia imagens vulneráveis usando Grype / Trivy com verificações de CVE

Enforce a verificação de assinatura na admissão do Kubernetes (Kyverno)

Produz a proveniência de build do nível SLSA 3

Demo funcionando: assinado na admissão, rejeitado se adulterado

POR QUE ESCOLHER MIM:

Criei uma plataforma de cadeia de suprimentos de nível SLSA 3 completa (pública no GitHub)

Formação em segurança nativa da nuvem e engenharia de detecção

Tese de bacharelado sobre IDS adaptativo em revisão pelo IEEE

Experiência prática com Kubernetes, eBPF, Cosign, Kyverno, padrões OWASP

PILHA TECNOLÓGICA:

GitHub Actions, GitLab CI, Jenkins, Docker, Kubernetes (EKS / k3s / kind), Helm, Cosign, Fulcio, Rekor, Syft, Grype, Trivy, Kyverno, SLSA v1.0

VOCÊ RECEBE:

Arquivos completos de workflow CI/CD (comprometidos no seu repositório)

Imagens de container assinadas e escaneadas a cada push

Artefatos SBOM (SPDX + CycloneDX)

Políticas de admissão Kyverno (opcional)

Documentação completa de configuração + revisão gratuita