Supply chain security e automazione GitOps

Distribuire software in modo continuo richiede che ogni anello della catena (sorgenti, pipeline CI, registry e cluster) sia crittograficamente verificabile. Questo percorso illustra come proteggere l'infrastruttura di build e deploy da attacchi di dependency confusion, segreti esposti e container compromessi.

1. Cos'è la supply chain security del software (SBOM, SLSA)?

   I vettori di attacco lungo la filiera del software moderno.

2. Come si configurano le branch protection rules per blindare main e impedire force push?

   Blindare il ramo principale con review obbligatorie e commit firmati.

3. Come si configurano hook di pre-commit con Gitleaks o Trufflehog per bloccare il push di credenziali nei repository Git?

   Intercettare credenziali e token prima che entrino nella storia Git.

4. Qual è la differenza tra git-crypt e SOPS con age per cifrare secrets nei repository Git?

   Cifrare i file di configurazione senza sacrificare i diff collaborativi.

5. Come si usano Cosign e Sigstore per firmare e verificare immagini container in OCI registry?

   Attestare l'autenticità e l'integrità delle immagini nei registry OCI.

6. Cos'è il framework SLSA e come funzionano i livelli 1-3 per la supply chain?

   Raggiungere livelli formali di build provenance non manipolabile.

7. Quali sono le differenze tra Trivy e Grype per la scansione delle vulnerabilità nei container?

   Identificare CVE e configurazioni errate nei container e nelle SBOM.

8. In cosa differiscono Flux v2 e Argo CD nell'implementazione di GitOps per Kubernetes?

   Riconciliare lo stato del cluster Kubernetes da sorgenti Git controllate.