ARK. 1Słownik pojęćChmura, kontenery i łańcuch dostaw
model współdzielonej odpowiedzialności
Podział obowiązków bezpieczeństwa między dostawcę chmury lub hostingu a klienta: dostawca odpowiada za bezpieczeństwo samej infrastruktury, klient za to, co w niej umieszcza — dane, konta, uprawnienia i konfigurację. Na hostingu WordPressa oznacza to, że firma hostingowa dba o serwer, a aktualizacje wtyczek, hasła i kopie zapasowe strony zwykle pozostają po stronie właściciela.
TAB. 1Nazwaobie formy
| Po angielsku | shared responsibility model |
|---|---|
| Po polsku | model współdzielonej odpowiedzialności |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | model wspólnej odpowiedzialności · współdzielona odpowiedzialność · wspólna odpowiedzialność w chmurze |
| Odmiana | rodzaj męski: modelu współdzielonej odpowiedzialności, w modelu współdzielonej odpowiedzialności |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | W polskich blogach dostawców chmury forma polska z angielską w nawiasie: „AWS Shared Responsibility Model (współdzielonej odpowiedzialności)” (Hostersi); Microsoft w polskiej dokumentacji pisze „model wspólnej odpowiedzialności”. |
|---|
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „musimy zapoznać się z informacjami dotyczącymi AWS Shared Responsibility Model (współdzielonej odpowiedzialności)” | hostersi.pl |
| PL | „Model współdzielonej odpowiedzialności w chmurze obliczeniowej” | kylos.pl |
| PL | „Rozważanie i ocenianie usług w chmurze publicznej ma kluczowe znaczenie dla zrozumienia modelu wspólnej odpowiedzialności” | learn.microsoft.com |
| EN | „Security and Compliance is a shared responsibility between AWS and the customer.” | aws.amazon.com |
TAB. 4Obok w tej dziedzinie6
| błędna konfiguracja chmury | cloud misconfiguration | Pozostawienie zasobu chmurowego — bucketu na pliki, bazy danych czy uprawnień IAM — w ustawieniach udostępniających go publicznie lub szerzej, niż wymaga tego działanie usługi. |
| CSPM | cloud security posture management (CSPM) | Klasa narzędzi, które stale sprawdzają konfigurację kont chmurowych (AWS, Azure, GCP) i wskazują błędy: publiczne zasoby, brak szyfrowania, zbyt szerokie uprawnienia, niezgodność z normami. Dla małej firmy z jedną stroną to zwykle przesada; ma sens przy wielu usługach w chmurze. |
| dependency confusion (podmiana zależności) | dependency confusion | Atak polegający na opublikowaniu w publicznym repozytorium pakietu o nazwie identycznej z wewnętrzną biblioteką firmy i wyższym numerze wersji, przez co system budowania pobiera i uruchamia kod atakującego zamiast własnego. |
| podpisywanie kodu | code signing | Opatrywanie programu, sterownika, aktualizacji lub paczki podpisem cyfrowym wydawcy, żeby system i użytkownik mogli sprawdzić, kto go wydał i czy nie został zmieniony. Kradzież klucza do podpisywania kodu pozwala napastnikom podpisywać malware tak, jakby pochodził od zaufanej firmy. |
| SBOM (wykaz komponentów oprogramowania) | software bill of materials (SBOM) | Maszynowo czytelny wykaz wszystkich komponentów, bibliotek i zależności wchodzących w skład oprogramowania wraz z ich wersjami, pozwalający sprawdzić, czy produkt zawiera podatny element. |
| skanowanie obrazów kontenerów | container image scanning | Sprawdzanie obrazów Dockera (i innych kontenerów) pod kątem znanych podatności, przestarzałych pakietów, sekretów i malware, zanim zostaną uruchomione. Robi się to narzędziami typu Trivy czy Grype, najlepiej automatycznie w procesie budowania. |