Sonatype et la sécurité de la chaîne logicielle open source

Une application d'entreprise typique s'appuie aujourd'hui sur des centaines, parfois des milliers, de composants open source. Chacun de ces composants est une porte d'entrée potentielle si une vulnérabilité y est découverte, et beaucoup le sont chaque année.

Les outils de Sonatype (Nexus Repository, Nexus Lifecycle) permettent de cartographier ces dépendances, de détecter les vulnérabilités connues avant qu'elles n'atteignent la production, et de bloquer automatiquement l'intégration de composants compromis ou malveillants dans les pipelines de build.

Dans le cadre de nos missions DevSecOps, nous intégrons cette analyse de la chaîne logicielle dès les premières étapes du développement : la confiance dans une dépendance open source doit se vérifier, pas se supposer.