Salesforce 容器化 ISV 场景下的软件供应链安全落地实践

随着企业 IT 数字化转型演变进程，越来越多的企业采用云原生化架构升级的方式，改善应用开发运维迭代的效率，加速企业业务创新迭代，改进资源弹性管理和迁移的效率，帮助企业降本增效。但是由于云原生弹性、敏捷和动态可扩展等特性，也为云原生软件供应链安全引入了新的挑战。

Salesforce 是创建于 1999 年 3 月的一家客户关系管理 (CRM) 软件服务提供商，可提供随需应用的客户关系管理平台。Salesforce 允许客户与独立软件供应商定制并整合其产品，同时建立他们各自所需的应用软件。在社交电商潮流席卷全球的态势下，2022 年 1 月，Salesforcs 与阿里云联合发布了针对中国市场的软件“Salesforce 社交电商”，这是 Salesforce 与阿里云达成战略合作后在中国市场首发新品。该软件由阿里云托管的 Headless 电商中台产品，能管理和统一企业在 Web 网站、移动 App 及小程序等多种渠道的电商应用，以获得客户的 360 度视图，从而提高客户体验和促进业务增长。

容器化 ISV 交付的安全挑战

在进行容器化交付改造的过程中，以 Salesforce 为例的容器软件 ISV，需要解决云原生场景下环境复杂化、多样化等来的软件供应链风险挑战。为了保障软件从开发、交付到运行的顺利进行，整个软件供应链生存周期应在保证软件可用性、完整性、保密性基础上，降低软件供应链的安全风险，实现全链路可审计，可追溯，可自动化安全运营。为了实现这样的要求 ，在容器化交付改造过程中主要面临以下挑战：

• 三方及开源组件带来安全隐患：企业软件项目越来越趋于依靠来自供应商三方或开源社区组件，该些组件常以基础镜像的方式在软件供应链里传递。攻击者可能利用组件中存在的漏洞，注入恶意代码或控制第