Security tutorial - IT technology blog
Posted inSecurity

Bảo mật Private Container Registry với Harbor: Quét lỗ hổng tự động, ký ảnh bằng Cosign và kiểm soát triển khai

Chỉ riêng private registry là chưa đủ để ngăn các container dính lỗ hổng lọt vào môi trường production. Nếu thiếu các chốt chặn tự động, các base layer chưa qua kiểm định và các tag bị can thiệp sẽ dễ dàng lọt lưới. Dưới đây là cách Harbor kết hợp quét Trivy, chữ ký số Cosign cùng chính sách chặn pull nghiêm ngặt để bảo vệ toàn diện chuỗi cung ứng phần mềm của bạn.
DevOps tutorial - IT technology blog
Posted inDevOps

Xây dựng SLSA Pipeline cho Ứng dụng Container: Bảo mật Chuỗi Cung ứng Phần mềm từ Source đến Registry

Tấn công chuỗi cung ứng nhắm vào build pipeline của bạn, không chỉ code ứng dụng. Hướng dẫn này đi qua việc triển khai SLSA Level 2–3 cho container image sử dụng Cosign, keyless signing với Sigstore và tạo provenance bằng GitHub Actions — kèm ví dụ workflow thực tế và thực thi chính sách Kubernetes.
Security tutorial - IT technology blog
Posted inSecurity

Threat Modeling với STRIDE: Phân Tích Rủi Ro Bảo Mật Trước Khi Viết Một Dòng Code

STRIDE threat modeling giúp bạn xác định rủi ro bảo mật trong web app và API trước khi viết code — phát hiện lỗ hổng xác thực, leo thang đặc quyền và rò rỉ dữ liệu ngay từ giai đoạn thiết kế. Hướng dẫn này đi qua các công cụ thực tế như OWASP Threat Dragon và pytm, với ví dụ cụ thể cho kiến trúc REST API.