基于软件制品的企业级DevSecOps建设

解读JFrog2023软件制品趋势分析报告

• 软件供应链现状：软件供应链日益庞大，涉及多种技术和语言，可跨本地、云和混合云环境交付。企业平均使用7种以上软件包类型，大型组织可达29种。Docker和Kubernetes等容器化技术使用量呈指数级增长，制品大小也随之增加。
• 趋势分析：
  • 容器为王：Docker + OCI容器和Helm Charts使用量快速增长，云原生成为企业DevOps建设的普遍趋势。
  • 传统技术语言实力未减：Java、JavaScript、Python和C/C++等传统编程语言仍占主导地位，超过90%的企业维护Maven仓库。
  • 供应链安全：2015-2021年62%的攻击通过软件供应链，2022年供应链软件攻击增长4倍，注册CVEs达21,000，识别时间平均延长26天。
• 软件供应链攻击原因：低成本、技术要求低、影响范围广，收益高。恶意代码通过供应链预注入已知漏洞或引入未知漏洞，非代码问题如错误配置、IaC等也构成风险。
• Log4j漏洞案例分析：Log4j漏洞（CVE-2021-4104）影响超过17万个开源组件，涉及JedisLogging、Logstash等多个组件，攻击原理为JNDI注入。

企业如何使用软件制品进行DevSecOps建设

• DevSecOps建设的挑战：软件供应链复杂、漏洞风险高、依赖管理困难。
• 实施步骤：
  1. 统一入口，控制源头：通过Artifactory集中管理第三方软件包，防止恶意包引入，审计跟踪并改进DevSecOps体验。
  2. 按交付成熟度阶段部署制品仓库：隔离区研发团队、聚合虚拟仓库、质量信息写入、基于质量信息发版、部署外网依赖、生产环境制品审批推送。
  3. 设计不同级别的制品仓库：企业级、组织级、项目级，分角色权限管理。
  4. 设计不同维度的安全门禁管控策略：包括License漏洞、操作风险、恶意包上下文分析等，避免假阳性漏洞修复。
  5. 不同阶段安全门禁与DevOps工具链集成：Curation、JFrog XRAY、Jenkins、Pipelines等集成，实现安全门禁。

实施案例分享

• 子公司与集团DevOps平台共享：子公司与集团DevOps平台通过Federated Repositories共享带宽，实现500mbps共享，简化远程仓库管理流程。
• JFrog平台工具：JFrog Artifactory、Mission Control、Insight、Distribution、Pipelines、XRAY、Advanced Security、Curation、Catalog等工具协同，实现DevOps自动化和安全管理。