Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Protegido antes mesmo de entrar na sua pilha – de forma contínua até a data de fim de vida útil.
Todos os benefícios do ecossistema. Sem nenhuma confiança cega.
SecureChain para software de código aberto
Repositórios de módulos Go reforçados – confiáveis no momento da obtenção, verificados contra malware e protegidos enquanto permanecerem em sua pilha
O SecureChain substitui os repositórios públicos de módulos Go por uma alternativa verificada e recompilada a partir do código-fonte. Ele verifica cada módulo no momento da obtenção, oferece correção contínua de vulnerabilidades e protege as dependências mesmo muito tempo depois que as atividades do desenvolvedor original forem encerradas.
Cobertura dos ecossistemas que sustentam as pilhas de produção atuais
A simplicidade do Go esconde os riscos da cadeia de suprimentos
Os repositórios de módulos do Go foram projetados para oferecer simplicidade e rapidez.
Mas essa simplicidade depende fortemente da confiança distribuída.
Repositórios públicos, fontes de VCS e proxies representam, todos, possíveis vias de ataque.
Fontes distribuídas. Risco persistente.
-
Abuso do cache de proxy do módulo Go
Os módulos maliciosos, uma vez carregados, permanecem indefinidamente no cache do Go Module Proxy, explorando justamente a imutabilidade que garante compilações reproduzíveis.
-
Repojacking
Nomes de usuário abandonados no GitHub são recuperados por invasores, que passam a controlar o namespace do módulo e distribuem código malicioso por meio de um caminho de importação confiável.
No Go, a confiança deve ser verificada, não presumida.
Como o risco se insere nas suas dependências do Go
O risco está diretamente ligado à forma como os módulos são obtidos e mantidos.
Em buscar e cada pull de versão
Cada chamada ao `go get` recupera código de fontes externas.
Essa cadeia pode ser manipulada.
- Repositórios adulterados
- Módulos maliciosos
- Fontes não verificadas
- Código injetado
Tudo o que acontece após o término da manutenção
Cada chamada ao `go get` recupera código de fontes externas.
Essa cadeia pode ser manipulada.
- Os mantenedores se afastam
- As vulnerabilidades vêm à tona com o passar do tempo
Seus ativos não mudam – mas seu perfil de risco sim.
A segurança do Go se limita à verificação.
O que acontece a seguir depende de você.
Até o SecureChain.
O SecureChain se diferencia porque não é meramente consultivo – ele é ativo.
E isso não acaba quando o mantenedor para de trabalhar.
para software de código aberto
Segurança em todo o ciclo de vida dos módulos Go
Desde o momento em que você adiciona um módulo – até muito tempo depois que os mantenedores deixam de mantê-lo.
Ciclo de vida do pacote
Adotar
Construir e entregar
Operar
Pós-fim de vida útil
Cobertura mantida por um longo período após o término da manutenção
Segurança para visitas sem agendamento:
Nada muda para seus desenvolvedores
Configure seu gerenciador de repositórios — ou diretamente seu gerenciador de pacotes — para
SecureChain e continue trabalhando.
Os mesmos pacotes, as mesmas APIs, o mesmo fluxo de trabalho.
Compatível com:
JFrog Artifactory
Sonatype Nexus
Pacotes do GitHub
Proteja seus pacotes Go em todas as etapas
Pergunte-nos como o SecureChain verifica os pacotes durante a instalação, corrige vulnerabilidades continuamente e protege suas dependências mesmo muito tempo depois do fim da manutenção.
Faça uma pergunta para nós
A velocidade e a flexibilidade do código aberto,
, sem os riscos.
Com o SecureChain, cada pacote é:
Recondicionado e verificado
Cada pacote é recompilado a partir do código-fonte em ambientes fortificados e isolados — sem binários herdados, sem artefatos opacos do desenvolvedor original. O que você instala é exatamente o que foi compilado e verificado de ponta a ponta.
Verificado contra malware
Cada pacote é analisado em busca de malware conhecido, padrões de código suspeitos e riscos na cadeia de suprimentos. Qualquer item que não passe na inspeção é bloqueado antes de chegar ao seu ambiente.
Atualizado continuamente
Os componentes ativos são monitorados e atualizados de acordo com o SLA à medida que surgem CVEs. Quando a manutenção do desenvolvedor original é encerrada, o Endless Lifecycle Support (ELS) continua fornecendo correções enquanto você depender do pacote.
Em conformidade e pronto para auditoria
Saiba exatamente o que está em execução e o que já recebeu correções. A proveniência SLSA Nível 3, o SBOM e o VEX oferecem garantia completa da cadeia de suprimentos — as evidências de que seus auditores precisam, sempre que necessário.
+ Cobertura sob demanda
Se um pacote do qual você depende ainda não estiver no catálogo, nós o adicionaremos
sem custo adicional: verificado, atualizado e com suporte, assim como todos os outros.
Criado para equipes que assumem o risco:
Segurança e Dev
DevSecOps
Componentes verificados na instalação, proteção contínua a partir de então. Sem pontos cegos ao longo de todo o ciclo de vida.
Liderança em Engenharia d
Sem alterações no fluxo de trabalho. Sem reescritas forçadas quando as dependências chegam ao fim da vida útil.
Conformidade
e e GRC
SBOMs integrados, VEX, proveniência e cobertura de patches – projetado para estar pronto para auditorias.
Por que a TuxCare?
Conta com a confiança de inovadores da
em todo o mundo
Perguntas frequentes
Não. As somas de verificação do Go garantem a consistência, não a segurança. Elas confirmam que o código não sofreu alterações desde a publicação, mas não comprovam que o módulo seja seguro ou isento de comportamentos maliciosos. O SecureChain verifica e analisa os módulos do Go antes da entrega, ajudando a garantir tanto a consistência quanto a segurança.
Sim. Os módulos Go podem incluir lógica prejudicial nas funções `init()` ou comportamentos condicionais que só são ativados em determinados ambientes, o que dificulta a detecção. O SecureChain detecta e bloqueia essas ameaças antes que elas cheguem às suas compilações.
Muitas vezes, é maior do que se imagina. Mesmo serviços simples em Go podem envolver dezenas de módulos indiretos, cada um deles representando um risco em potencial. O SecureChain protege todo o gráfico de dependências do Go, garantindo que cada módulo seja verificado e protegido.
Não basta apenas a validação por checksum. O SecureChain verifica os módulos Go antes do uso, bloqueia aqueles maliciosos e corrige vulnerabilidades continuamente, proporcionando às equipes de produção uma cadeia de suprimentos de dependências segura.
Não. O SecureChain monitora as CVEs e o banco de dados de vulnerabilidades do Go e, em seguida, fornece correções validadas compatíveis com suas versões atuais.
O risco aumenta com o tempo. O SecureChain continua aplicando correções por meio do Suporte de Ciclo de Vida Ilimitado, para que você possa se manter protegido sem precisar forçar atualizações ou refatoração.
Não. O SecureChain se integra às configurações existentes de módulos Go sem alterar os fluxos de trabalho dos desenvolvedores. Os comandos dos módulos Go continuam funcionando como de costume.
