随着企业 IT 数字化转型演变进程，越来越多的企业选用云原生化架构升级的方法，改善使用开发运维迭代的功率，加快企业事务立异迭代，改进资源弹性办理和迁移的功率，协助企业降本增效。但是因为云原生弹性、敏捷和动态可扩展等特性，也为云原生软件供应链安全引进了新的应战。
Salesforce 是创建于 1999 年 3 月的一家客户关系办理 (CRM) 软件服务供给商，可供给随需使用的客户关系办理渠道。Salesforce 允许客户与独立软件供货商定制并整合其产品，一起树立他们各自所需的使用软件。在社交电商潮流席卷全球的态势下，2022 年 1 月，Salesforcs 与阿里云联合发布了针对我国市场的软件“Salesforce 社交电商”，这是 Salesforce 与阿里云达到战略协作后在我国市场首发新品。该软件由阿里云托管的 Headless 电商中台产品，能办理和一致企业在 Web 网站、移动 App 及小程序等多种渠道的电商使用，以获得客户的 360 度视图，从而提高客户体会和促进事务增长。
容器化 ISV 交给的安全应战
在进行容器化交给改造的进程中，以 Salesforce 为例的容器软件 ISV，需要处理云原生场景下环境复杂化、多样化等来的软件供应链危险应战。为了保证软件从开发、交给到运转的顺利进行，整个软件供应链生计周期应在保证软件可用性、完好性、保密性基础上，降低软件供应链的安全危险，完成全链路可审计，可追溯，可主动化安全运营。为了完成这样的要求 ，在容器化交给改造进程中首要面临以下应战：
-
三方及开源组件带来安全隐患：企业软件项目越来越趋于依靠来自供货商三方或开源社区组件，该些组件常以基础镜像的方法在软件供应链里传递。进犯者或许利用组件中存在的缝隙，注入歹意代码或操控第三方机器环境，履行从加密货币挖矿、发送垃圾邮件、到经过大型僵尸网络建议 DDoS 进犯。
-
软件交给长链路埋下更多危险：从软件开发阶段的需求剖析、代码开发、集成、测试，到 ISV 交给阶段的特定渠道软件交给、终端客户验收，终究运转阶段的终端客户软件运转、运营和保护。整个软件供应链周期链路长，在各个环节中均或许存在安全危险，导致软件缝隙、软件后门、歹意篡改、知识产权危险、信息泄露等安全要挟。
-
容器化运转引进更多危险进犯面：容器使用布置依赖 Linux 内核特性，很多黑客进犯者利用内核系统缝隙，从容器运转时组件和容器使用布置装备等多个维度建议针对性的逃逸或许侵略进犯。最近几年 K8s、Docker、Istio 等开源社区都爆出了不少的高危缝隙，这都给进犯者供给了可乘之机。
整个软件供应链生计周期应在保证软件可用性、完好性、保密性基础上，降低软件供应链的安全危险，完成全链路可审计，可追溯，可主动化安全运营。保证从软件开发、交给到运转，整个软件供应链有纵深防护的安全才能，一旦任何环节出现问题，能够及时精确完成问题定位和追溯，辨认相关方危险并及时安全加固。
阿里如此原生软件供应链处理方案
为了协助客户更快捷实践软件供应链安全，阿里云容器服务团队供给了端到端的处理方案。企业客户能够在跨企业交给或许企业界研发迭代场景，提高安全办理功率及安全加固才能，完成全链路容器使用安全可信交给。
（容器化 ISV 交给场景）
在容器使用交给阶段，容器镜像服务 ACR 企业版供给了云原生使用交给链才能，融合访问操控、镜像构建、内容安全、二进制认证、全球化分发等才能，支撑预置危险阻拦战略，完成发现即阻挠、安全操控左移。
-
镜像内容安全，ACR 和云安全中心联合供给了增强型容器镜像扫描引擎，覆盖系统缝隙、使用缝隙、基线检查及歹意样本等危险类型，具有高辨认率、低误报率缝隙扫描才能。一起，供给了容器镜像修正才能，支撑主动化高效修正危险缝隙，完成从发现到修正的安全闭环。
-
镜像跨账号交给，针对企业间 ISV 使用交给场景，ACR 供给了跨账号同步才能保证容器镜像和签名的分发安全。ISV 将镜像及对应的签名信息经过 ACR 跨账号同步才能交给给 ISV 的客户实例下。对应的镜像开启了不可变镜像版本，保证镜像的版本不可覆盖。ISV 的客户在 ACK 上做镜像布置时，会根据 ISV 的公钥验签，保证镜像完好且来自 ISV。
在容器使用运转阶段，容器服务 ACK 在默许管控组件、系统组件安全加固之上，供给了布置战略办理、安全巡检，保证容器使用一致性的安全战略。ACK 集成云安全中心供给了容器运转时安全监控和告警才能，覆盖 ATT&CK 杀伤链的 200 余项安全检测模型，提高全体事务负载运转环境安全性。根据 ISV 使用运转场景，ACK 也供给了安全沙箱容器作为运转时处理方案，保证更好的安全阻隔才能和更高的稳定性。
-
布置战略办理：ACK 根据 OPA 战略引擎和丰富的预置战略模板，有效束缚使用装备安全，支撑容器事务 YAML 多维度布置战略办理，避免特权容器、危险镜像布置等危险行为，加强在集群侧容器安全的主动办理才能。
-
安全沙箱容器：终端客户选用了安全沙箱容器作为运转时，比较与原有的 Docker 运转时，能够让容器使用运转在一个轻量虚拟机沙箱环境中，具有独立的内核，具有更好的安全阻隔才能，比较与社区 Kata Container 具有更强的稳定性。
-
容器运转时安全：终端客户使用了云安全中心容器运转时安全监控和告警才能，包含在容器中或在主机层面产生的病毒和歹意程序进犯、容器内部的侵略行为、容器逃逸和高危险操作预警等首要的容器侧进犯行为，协助客户及时发现资产中的安全要挟、实时把握资产安全态势。
在安全运营阶段，客户能够经过 ACR 主动同步、主动扫描、主动加签，ACK 主动验签、主动战略实施，以及危险辨认后主动阻断后续流程功用，完成了容器化 DevSecOps 主动化流程。经过订阅 ACR、ACK、云安全中心的危险事件，完成镜像内容、镜像交给、容器布置、容器运转时全流程安全的危险感知，能够更及时高效处理安全危险，完成全局危险感知。
阿里云携 Salesforce 获评信通院软件供应链安全优异事例
2022 年 6 月 17 日，由我国信息通讯研究院、我国通讯标准化协会主办的 2022 首届 3SCON “软件供应链安全论坛”于线上召开。会上阿里云联合 Salesforce 申报的容器 ISV 软件供应链安全实践事例“阿里云助力 Salesforce 软件供应链安全落地实践”，经过了自主申报、专家评审等环节的层层筛选，终究成功获评“2022 安全守卫者计划优异事例”。
Salesforce 和阿里云联合发布针对我国市场的软件“ Salesforce 社交电商”进程中，经过与阿里云容器团队的严密协作，应对云原生场景软件的复杂化、多样化应战，较好地落地了全生命周期的软件供应链安全实践，首要体现在以下方面：
提高全链路安全性
-
安全交给：经过 ACR 跨用户同步链路保证镜像和签名的分发安全。经过 ACR 镜像加签与 ACK 跨账号验签保证镜像的内容可信。并且因为整个交给进程是根据专属同步链路，可保证软件供应链上传递的信息不会被意外泄露。
-
安全战略：开启 ACR 镜像安全扫描战略，保证镜像的内容安全一起阻断危险镜像的交给。实施 ACK OPA 布置战略办理，保证有效束缚容器使用装备安全阻断类似特权容器的运转。
-
安全运转：根据 ACK 安全沙箱容器运转容器，使用运转在一个轻量虚拟机沙箱环境中，具有独立的内核，具有更好的安全阻隔才能。根据云安全中心容器运转时安全监控和告警才能，避免容器或主机层面产生歹意进犯，及时预警高危险操作。
提高安全办理功率
- 高度主动化：经过 ACR 主动同步、主动扫描、主动加签，ACK 主动验签、主动战略实施，以及危险辨认后主动阻断后续流程功用，完成了容器化 DevSecOps 的流程。
阿里云容器服务为企业云原生化架构升级之路保驾护航
与此一起，在 6 月 15 日的 2022 云原生产业大会上，阿里云在信通院“云原生安全成熟度”评价中，也获得国内仅有全域最高等级认证。信通院“云原生安全成熟度”从基础设施安全、云原生基础架构安全、云原生使用安全、云原生研发运营安全和云原生安全 5 个维度，共计 315 个细分项调查企业云原生架构安全水平。阿里如此原生使用渠道经过大规模企业客户服务积累和立异性技能打磨，沉淀了全链路的云原生安全处理方案，全方位展示了阿里如此原生产品安全才能的丰富度和领先性。
从容器镜像服务 ACR、容器服务 ACK 到云安全中心，阿里云丰富的云原生安全产品宗族保证了阿里巴巴自身的大规模云原生化实践，保证使用全生命周期的云原生安全。一起这些云原生安全才能也支撑了云上百万企业，提高了企业界与企业间软件供应链的全链路安全及安全办理功率。
阿里云将持续在云原生安全领域立异，经过产品、技能、安全运营的深度融合，供给在云边端多布置场景，微服务、无服务多事务形态下，更深度、更智能自治的软件供应链安全，保证企业客户的云原生化架构升级之路。
2022 年 6 月 23 日-7 月 23 日，点击阅读原文填写问卷，初次购买阿里云容器镜像服务企业版 ACR EE、容器服务专业版 ACK Pro 的客户可享受 7 折优惠，概况点击此处了解。
