随着企业 IT 数字化转型演变进程,越来越多的企业采用云原生化架构升级的方式,改善应用开发运维迭代的效率,加速企业业务创新迭代,改进资源弹性管理和迁移的效率,帮助企业降本增效。但是由于云原生弹性、敏捷和动态可扩展等特性,也为云原生软件供应链安全引入了新的挑战。
Salesforce 是创建于 1999 年 3 月的一家客户关系管理 (CRM) 软件服务提供商,可提供随需应用的客户关系管理平台。Salesforce 允许客户与独立软件供应商定制并整合其产品,同时建立他们各自所需的应用软件。在社交电商潮流席卷全球的态势下,2022 年 1 月,Salesforcs 与阿里云联合发布了针对中国市场的软件“Salesforce 社交电商”,这是 Salesforce 与阿里云达成战略合作后在中国市场首发新品。该软件由阿里云托管的 Headless 电商中台产品,能管理和统一企业在 Web 网站、移动 App 及小程序等多种渠道的电商应用,以获得客户的 360 度视图,从而提高客户体验和促进业务增长。
容器化 ISV 交付的安全挑战
在进行容器化交付改造的过程中,以 Salesforce 为例的容器软件 ISV,需要解决云原生场景下环境复杂化、多样化等来的软件供应链风险挑战。为了保障软件从开发、交付到运行的顺利进行,整个软件供应链生存周期应在保证软件可用性、完整性、保密性基础上,降低软件供应链的安全风险,实现全链路可审计,可追溯,可自动化安全运营。为了实现这样的要求 ,在容器化交付改造过程中主要面临以下挑战:
-
三方及开源组件带来安全隐患:企业软件项目越来越趋于依靠来自供应商三方或开源社区组件,该些组件常以基础镜像的方式在软件供应链里传递。攻击者可能利用组件中存在的漏洞,注入恶意代码或控制第