Embedded Files
Завершальний розділ Deployment присвячений довірі до програмного забезпечення та його походженню.
Тут розглядаються SBOM (Software Bill of Materials) як спосіб описати склад програмного продукту та його залежності, а також CoseSignTool для роботи з цифровими підписами supply-chain evidence.
Розділ показує наступний рівень Deployment:
не лише розгорнути систему, а й розуміти, з яких компонентів вона складається та як підтверджується цілісність і походження відповідних даних.
🔐 Supply Chain Trust Tools
│
├── 1. 📋 SBOM Tool
│ ├── Software Bill of Materials
│ ├── Inventory компонентів
│ ├── Dependencies
│ ├── Source / Origin
│ └── Vulnerability Management
│
└── 2. 🔏 CoseSignTool
├── COSE
├── Цифровий підпис
├── Перевірка підпису
├── Integrity
└── Authenticity
Після того як ми створили образ, налаштували систему, перенесли User State, перевірили продуктивність і сумісність — треба відповісти на питання:
А звідки взялися компоненти цієї системи, що саме в ній є і чи можна довіряти тому, що ми розгортаємо?
Microsoft прямо описує сучасний Windows supply chain через SBOM + COSE-підписи, причому CoseSignTool використовується для накладання та перевірки цифрових підписів SBOM та іншого build evidence.
1. 📋 SBOM Tool
1. 📋 SBOM Tool
SBOM — Software Bill of Materials, тобто буквально «перелік складових програмного продукту».
Для Deployment це дуже важлива зміна мислення.
Раніше ми могли дивитися на систему приблизно так:
Windows
├── Drivers
├── Applications
└── Components
А SBOM ставить питання значно точніше:
ЩО САМЕ МИ РОЗГОРТАЄМО?
│
├── Component A
├── Component B
├── Library C
├── Dependency D
└── Dependency E
Тобто SBOM створює машинно-читабельний опис складу програмного продукту та його залежностей.
Microsoft описує SBOM саме як інвентаризацію програмних компонентів, dependencies та пов'язаних метаданих.
Навіщо SBOM у Deployment
Навіщо SBOM у Deployment
Уявімо, що BAT створює власний Windows deployment image або пакет програм.
Через деякий час знаходять вразливість у певній бібліотеці.
Без SBOM:
Є CVE.
↓
А де ця бібліотека?
↓
У яких наших системах?
↓
Яка версія?
↓
Чи залежить від неї інший компонент?
Зі SBOM:
CVE
↓
Component
↓
Version
↓
Dependency
↓
Affected Build
↓
Affected Deployment
Тому SBOM — це не просто «список файлів».
Це інструмент прозорості складу програмного продукту та управління ризиками залежностей.
SBOM і Deployment Image
SBOM і Deployment Image
У нашій архітектурі:
Windows Image
│
├── Windows Components
├── Drivers
├── Applications
└── Dependencies
│
▼
SBOM
│
▼
Component Inventory
│
▼
Security / Audit
І це добре завершує попередні етапи:
BUILD
↓
CUSTOMIZE
↓
CAPTURE
↓
SBOM
↓
VERIFY
↓
DEPLOY
2. 🔏 CoseSignTool
2. 🔏 CoseSignTool
Тут уже наступний рівень.
SBOM відповідає:
Що знаходиться всередині?
А CoseSignTool допомагає відповісти:
Чи цей документ/доказ походить від того джерела і чи його не було змінено після підписання?
Microsoft описує CoseSignTool як платформонезалежний командний інструмент для накладання та перевірки цифрових підписів на SBOM та інші build evidence.
COSE означає CBOR Object Signing and Encryption.
Концептуально:
SBOM / Build Evidence
│
▼
CoseSignTool
│
▼
COSE Signature
│
▼
Signed Evidence
А при перевірці:
Signed SBOM
│
▼
CoseSignTool
│
├── Signature valid
│
├── Content unchanged
│
└── Trusted source
Тут важливо не плутати це зі звичайним SignTool.
Microsoft SignTool — це окремий Windows SDK інструмент для цифрового підпису та перевірки файлів.
А CoseSignTool у цьому контексті орієнтований саме на COSE-підписування SBOM та іншого supply-chain evidence.
3. 🛡️ Чому це називається Supply Chain Trust
3. 🛡️ Чому це називається Supply Chain Trust
Бо сучасний deployment — це вже не тільки:
«Чи Windows нормально встановилася?»
А ще:
«Чи можемо ми довести, що компоненти, які потрапили в цю систему, є саме тими компонентами, які ми очікували?»
Microsoft прямо пов'язує supply-chain security з provenance, SBOM, підписуванням артефактів, перевіркою integrity та контрольованим процесом promotion/deployment.
Тому логіка:
SOURCE
↓
COMPONENTS
↓
BUILD
↓
SBOM
↓
COSE SIGNATURE
↓
VERIFICATION
↓
DEPLOYMENT
Це вже ланцюжок довіри.
4. 🔗 Як це завершує BAT Deployment
4. 🔗 Як це завершує BAT Deployment
Тепер вся наша карта виглядає дуже красиво:
🚀 BAT Deployment
│
├── 🧰 Deployment Tools
│ └── Windows Image
│
├── 🖥️ Windows PE
│ └── Deployment Environment
│
├── 🧩 Windows Configuration Designer
│ └── Provisioning
│
├── ⚙️ Windows System Image Manager
│ └── Setup Automation
│
├── 👤 User State Migration Tool
│ └── User State
│
├── 📊 Windows Performance Toolkit
│ └── Deep Performance Analysis
│
├── 🧪 Windows Assessment Toolkit
│ └── Standardized Assessment
│
├── 🛠️ Application Compatibility Tools
│ └── Compatibility
│
├── 📦 App-V / UE-V
│ └── Legacy Deployment
│
└── 🔐 Supply Chain Trust Tools
│
├── 📋 SBOM Tool
│ └── Що входить у продукт
│
└── 🔏 CoseSignTool
└── Чи можна довіряти evidence
Page updated
Google Sites
Report abuse