[发明专利]计算机流水线结果的认证

说明书

本公开涉及计算机流水线结果的认证。提供了关于流水线安全合规的技术。例如，在此描述的一个或多个实施例可以包括一种系统，该系统可以包括可以存储计算机可执行组件的存储器。该系统还可包括处理器，其可操作地耦合到存储器，并且可执行存储在存储器中的计算机可执行组件。计算机可执行组件可以包括认证组件，该认证组件基于与流水线相关联的实施的安全控制配置文件和从与计算机应用相关联的源工件中识别的适用的安全控制配置文件的比较来认证来自计算机应用的流水线的执行的结果。

技术领域

本公开涉及来自一个或多个计算机流水线(例如，开发、安全和操作(“DevSecOps”)流水线)的结果的认证，并且更具体地涉及一个或多个流水线结果符合可应用的端到端安全控制的自动认证。

背景技术

在计算中，流水线包括一系列数据处理步骤，该数据处理步骤可促进各位置之间(例如，计算机应用、计算机应用和数据仓库、数据储存库和分析数据库等之间)的数据传输。开发和操作(“DevOps”)流水线可以是包括一组自动化数据处理步骤的流水线，其可以使得开发者和操作实体能够在产品环境中构建和/或部署计算机应用上进行协作。通过使信息技术(“IT”)安全实体能够在建立和/或部署计算机应用时与开发者和操作实体协作，DevSecOps流水线可以进一步在DevOps流水线的原则上进行扩展。

然而，流水线(例如，DevSecOps流水线)可能易受关于目标安全控制的一个或多个顺应性缺陷的影响。例如，在DevSecOps流水线中，多个安全控制(例如，弱点扫描器、顺式扫描器、许可证扫描器、其组合和/或类似物)可被单独地实现并被组装到数据流水线中。然而，流水线中可能不存在可用的安全控制；由此危及流水线安全合规。在另一示例中，包括在流水线中的安全控制可具有可确定结果任务结果的不同配置参数。错误配置的安全控制参数还可损害流水线安全合规。在又一示例中，流水线中所包括的安全控制可针对来自代码储存库的各种类型的静态源工件来实现，其中相应的安全控制与不同的源工件相关。实施对给定计算机应用的源工件不理想的安全控制还可危害流水线安全合规。

发明内容

以下呈现概述以提供对本发明的一个或多个实施例的基本理解。本发明内容部分并不旨在标识关键或重要的元素，或描绘特定实施例的任何范围或权利要求的任何范围。其唯一的目的是以简化的形式呈现概念，作为稍后呈现的更详细描述的序言。在本文所描述的一个或多个实施例中，描述了可以关于安全合规考虑一个或多个流水线结果的认证的系统、计算机实现的方法、装置和/或计算机程序产品。

根据实施例，提供了一种系统。该系统可包括存储计算机可执行组件的存储器。该系统还可包括处理器，其可操作地耦合到存储器，并且可执行存储在存储器中的计算机可执行组件。计算机可执行组件可以包括认证组件，该认证组件基于与流水线相关联的实现的安全控制配置文件和从与计算机应用相关联的源工件(artifact)中识别的可用的(适用的)安全控制配置文件的比较，来认证来自针对计算机应用的流水线的执行的结果。这样的系统的优点可以是实现一个或多个流水线的自动安全合规(compliance)分析。

在一些示例中，该系统可进一步包括工件分类组件，该工件分类组件可扫描来自代码储存库的静态代码资产以对源工件进行分类。而且，该系统可包括工件映射组件，该工件映射组件可生成可使已分类的源工件与一个或多个安全控制关联的工件映射。这样的系统的优点可以是基于源工件识别可应用的安全控制。

根据实施例，提供了一种计算机实现的方法。该计算机实现的方法可以包括：由操作地耦合到处理器的系统基于与流水线相关联的实现的安全控制配置文件和从与计算机应用相关联的源工件识别的可应用的安全控制配置文件的比较来验证来自用于计算机应用的流水线的执行的结果。这种计算机实现的方法的优点可以是确定流水线中是否缺少一个或多个安全控制。