Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Se garantiza antes de que entre en tu pila, de forma continua hasta la fecha de caducidad.
Todos los beneficios del ecosistema. Sin necesidad de confiar a ciegas.
SecureChain para software de código abierto
Repositorios de módulos Go reforzados: fiables desde el momento de la descarga, analizados en busca de malware y protegidos mientras permanezcan en tu entorno
SecureChain sustituye los repositorios públicos de módulos de Go por una alternativa verificada y recompilada a partir del código fuente. Comprueba cada módulo en el momento de su descarga, ofrece una corrección continua de vulnerabilidades y protege las dependencias mucho después de que cese la actividad del desarrollador original.
Cobertura de los ecosistemas que sustentan las pilas de producción actuales
La simplicidad de Go oculta los riesgos de la cadena de suministro
Los repositorios de módulos de Go están diseñados para ofrecer simplicidad y rapidez.
Pero esa simplicidad depende en gran medida de la confianza distribuida.
Los repositorios públicos, los códigos fuente de los sistemas de control de versiones y los servidores proxy suponen posibles vías de ataque.
Fuentes dispersas. Riesgo persistente.
-
Uso indebido de la caché del proxy del módulo Go
Los módulos maliciosos que se suben una vez permanecen indefinidamente en la caché del proxy de módulos de Go, aprovechando precisamente esa inmutabilidad que garantiza la reproducibilidad de las compilaciones.
-
Robo de vehículos
Los atacantes se apropian de nombres de usuario abandonados en GitHub, con lo que pasan a controlar el espacio de nombres del módulo y distribuyen código malicioso a través de una ruta de importación de confianza.
En el Go, la confianza hay que verificarla, no darla por sentada.
Cómo se introduce el riesgo en tus dependencias de Go
El riesgo está directamente relacionado con la forma en que se obtienen y se mantienen los módulos.
En recoger y cada versión
Cada llamada a «go get» recupera código de fuentes externas.
Esa cadena se puede manipular.
- Repositorios manipulados
- Módulos maliciosos
- Fuentes no verificadas
- Código inyectado
Todo lo que ocurre una vez finalizado el mantenimiento
Cada llamada a «go get» recupera código de fuentes externas.
Esa cadena se puede manipular.
- Los soportes se separan
- Las vulnerabilidades van saliendo a la luz con el tiempo
Tus activos no cambian, pero sí su perfil de riesgo.
La seguridad de Go se limita al escaneo.
Lo que suceda después depende de ti.
Hasta que llegue SecureChain.
SecureChain se diferencia de otros sistemas porque no es meramente consultivo, sino que es activo.
Y no se detiene cuando lo hace el responsable del mantenimiento.
para el software de código abierto
Seguridad durante todo el ciclo de vida de los módulos Go
Desde el momento en que añades un módulo hasta mucho después de que los mantenedores dejen de ocuparse de él.
Ciclo de vida del paquete
Adoptar
Crear y entregar
Operar
Post-EOL
Cubierto mucho tiempo después de que finalice el mantenimiento
Seguridad sin cita previa:
Para tus desarrolladores no cambia nada
Configura tu gestor de repositorios —o directamente tu gestor de paquetes— para que apunte a
SecureChain y sigue trabajando.
Los mismos paquetes, las mismas API, el mismo flujo de trabajo.
Compatible con:
JFrog Artifactory
Sonatype Nexus
Paquetes de GitHub
Protege tus paquetes Go en cada etapa
Pregúntanos cómo SecureChain verifica los paquetes durante la instalación, corrige las vulnerabilidades de forma continua y protege tus dependencias mucho después de que finalice el mantenimiento.
Pregúntenos
La rapidez y la flexibilidad del código abierto,
, pero sin riesgos.
Con SecureChain, cada paquete:
Reacondicionado y comprobado
Cada paquete se compila desde el código fuente en entornos reforzados y aislados: sin binarios heredados ni artefactos opacos del desarrollador original. Lo que instalas es exactamente lo que se ha compilado y verificado de principio a fin.
Analizado en busca de malware
Cada paquete se analiza en busca de malware conocido, patrones de código sospechosos y riesgos en la cadena de suministro. Todo lo que no supere la inspección se bloquea antes de que llegue a su entorno.
Actualizado continuamente
Los componentes activos se supervisan y se actualizan conforme al acuerdo de nivel de servicio (SLA) a medida que surgen vulnerabilidades CVE. Cuando finaliza el mantenimiento del desarrollador original, el servicio Endless Lifecycle Support (ELS) sigue proporcionando correcciones mientras usted siga utilizando el paquete.
Conforme a la normativa y preparado para una auditoría
Sepa exactamente qué programas se están ejecutando y cuáles han sido parcheados. La trazabilidad SLSA de nivel 3, la SBOM y VEX ofrecen una garantía total de la cadena de suministro: la documentación que sus auditores necesitan en cualquier momento.
+ Cobertura bajo demanda
Si un paquete del que dependes aún no figura en el catálogo, lo añadiremos a
sin coste adicional: verificado, actualizado y con soporte técnico, como cualquier otro.
Diseñado para equipos que asumen el riesgo:
Seguridad y DevSecOps de
Componentes verificados durante la instalación y protección continua a partir de ese momento. Sin puntos ciegos a lo largo de todo el ciclo de vida.
Liderazgo en ingeniería e
Sin cambios en los flujos de trabajo. Sin reescrituras obligatorias cuando las dependencias llegan al final de su vida útil.
Cumplimiento normativo
o y GRC
SBOM integradas, VEX, trazabilidad y cobertura de parches: diseñado para estar listo para auditorías.
¿Por qué elegir a TuxCare?
Con la confianza de
innovadores
alrededor del mundo
Preguntas frecuentes
No. Las sumas de comprobación de Go garantizan la coherencia, no la seguridad. Confirman que el código no ha cambiado desde su publicación, pero no demuestran que el módulo sea seguro ni que esté libre de comportamientos maliciosos. SecureChain verifica y analiza los módulos de Go antes de su entrega, lo que contribuye a garantizar tanto la coherencia como la seguridad.
Sí. Los módulos de Go pueden incluir lógica maliciosa en las funciones `init()` o comportamientos condicionales que solo se activan en determinados entornos, lo que dificulta su detección. SecureChain detecta y bloquea estas amenazas antes de que lleguen a tus compilaciones.
A menudo son más grandes de lo que cabría esperar. Incluso los servicios sencillos en Go pueden incorporar docenas de módulos indirectos, cada uno de los cuales supone un riesgo potencial. SecureChain protege todo el grafo de dependencias de Go, garantizando que cada módulo sea verificado y protegido.
No basta con la validación de la suma de comprobación. SecureChain verifica los módulos de Go antes de su uso, bloquea los maliciosos y corrige continuamente las vulnerabilidades, lo que proporciona a los equipos de producción una cadena de suministro de dependencias segura.
No. SecureChain supervisa las CVE y la base de datos de vulnerabilidades de Go, y a continuación proporciona soluciones validadas que se ajustan a tus versiones actuales.
El riesgo aumenta con el paso del tiempo. SecureChain sigue aplicando parches a través de su servicio de soporte de ciclo de vida ilimitado, para que puedas mantener la seguridad sin tener que realizar actualizaciones forzadas ni reestructuraciones.
No. SecureChain se integra en las configuraciones existentes de módulos de Go sin alterar los flujos de trabajo de los desarrolladores. Los comandos de los módulos de Go siguen funcionando como hasta ahora.
