Configuraré una pipeline de devsecops ci cd con firma de imágenes sbom y escaneo de cve

¿Necesitas una pipeline de DevSecOps CI/CD que detecte ataques en la supply-chain ANTES de que lleguen a producción? La construiré para ti.

Entregaré una pipeline de GitHub Actions de nivel producción que:

Firma cada imagen de contenedor con Sigstore Cosign (sin claves de larga duración y sin clave)

Genera SBOMs duales SPDX + CycloneDX (Syft)

Bloquea imágenes vulnerables mediante puertas CVE de Grype / Trivy

Aplica verificación de firma en la admisión de Kubernetes (Kyverno)

Produce la procedencia de construcción de nivel SLSA 3

Demostración en funcionamiento: firmado, admitido, rechazado por manipulación

¿POR QUÉ YO?

Construí una plataforma de supply-chain de nivel SLSA 3 completa (pública en GitHub)

Experiencia en investigación en seguridad nativa en la nube y ingeniería de detección

Tesis de licenciatura sobre IDS adaptativo en revisión por IEEE

Experiencia práctica con Kubernetes, eBPF, Cosign, Kyverno, estándares OWASP

STACK TECNOLÓGICO:

GitHub Actions, GitLab CI, Jenkins, Docker, Kubernetes (EKS / k3s / kind), Helm, Cosign, Fulcio, Rekor, Syft, Grype, Trivy, Kyverno, SLSA v1.0

OBTÉN:

Archivos completos de flujo de trabajo CI/CD (comprometidos en tu repositorio)

Imágenes de contenedor firmadas y escaneadas en cada push

Artefactos SBOM (SPDX + CycloneDX)

Políticas de admisión Kyverno (opcional)

Documentación completa de configuración + revisión gratuita