Operations

Software Supply Chain Incident Runbook

Vorgehen bei kompromittiertem Build Worker, Signer, Registry Account, Dependency oder manipuliertem Artefakt.

1 · Eindämmen

  • Promotion und betroffene Pipelines stoppen.
  • Admission auf bekannte gute Digests begrenzen.
  • Credentials, Tokens und Signaturvertrauen widerrufen.

2 · Umfang bestimmen

  • Rekor-, Registry- und CI-Audit-Events korrelieren.
  • Provenance nach Builder und Zeitfenster filtern.
  • SBOMs betroffener Artefakte und Deployments erfassen.

3 · Wiederherstellen

  • Runner aus vertrauenswürdigem Image neu aufbauen.
  • Dependencies und Toolchains erneut verifizieren.
  • Artefakte reproduzieren, neu attestieren und signieren.

4 · Nachweisen

  • Timeline, Root Cause und betroffene Digests sichern.
  • Ausnahmen und Revocations dokumentieren.
  • Policies, Detection und Recovery-Test aktualisieren.
Keine vorschnelle Aussage

Eine gültige Signatur beweist nur die Bindung an eine Identität und einen Digest. Sie beweist nicht automatisch, dass Source, Builder oder Signer zum Zeitpunkt des Builds vertrauenswürdig waren. Provenance, Audit Trail und Incident-Kontext bleiben notwendig.

⌂ Cockpit