应答无处不在的安保要挟 以高效 高性价比的一致平台

作为一个具有多样化性能的开发平台， Docker Hub为Docker 镜像的开发、单干和散发开拓了许多或者性。目前，Docker Hub 世界开发者首选的头等容器平台，托管着超越1500万个存储库。 但是，这一平台也面临着诸多的安保应战。依据 植入数百万恶意存储库

，经常使用多种开发言语曾经成为行业干流形式。据 C和C++言语一种言语就能搞定 企业会蕴含多种开发言语

在此背景下，企业正在遭到更多的安保应战。 ，经过继续扫描一切关键公共存储库， JFrog在NPM、PyPI和NuGet注册表中发现数个恶意软件包。 有近 20%（近300万个存储库！）托管过恶意内容，包括经过智能生成的账户上行的用于推行盗版内容的渣滓邮件，以及恶意软件和钓鱼网站等极度恶意的实体。

JFrog在Docker Hub仓库里发现了460万个没有容器数据的Docker Hub 存储库（又名“无镜像”）。 深化审核后发现，这些被上行的无镜像存储库，绝大少数都是带着恶意目标——它们的概述页面试图诈骗用户访问钓鱼网站或托管着风险峻意软件的网站。比如，存储库在形容中蕴含了几个链接，疏导用户访问一个钓鱼网站。该网站诈骗毫无戒心的访问者，承诺为他们购置处方药，但随后却窃取他们的信誉卡消息。

值得庆幸的是，越来越多的企业开局关注多开发工具带来的安保性疑问。调研数据显示， 他们的企业至少有一个处置打算监测恶意的开源包。89%的受访者示意他们曾经驳回了OpenSSF SLSA的框架

示意最好在代码编写时期口头安保扫描，相对比例并不是十分高，因此安保左移还有很大的开展空间。

王青示意，安保左移不只落实到开发阶段，要求开发者每天上班时刻都要启动安保扫描。实践上，

面对恶意攻打的应答之道

当开发者在尝试下载恶意镜像时，Curation Docker Hub探测镜像扫描结果，立刻 安保人员在Curation里设置隔离战略，就能

恶意包会立刻被阻断在公司内网之外，程序员无法下载恶意包进入到组织外部。 ”王青通知记者，假设不小心曾经经过其余形式进入到公司外部，用户还可以开启 JFrog Xray，立刻对有破绽的镜像启动诊断。JFrog Xray扫描 “基于高低文的风险剖析扫描”，能 真实地判定破绽只管被引入，但是不是真实被应用 被应用才启动阻断；假设是不被应用，不会影响组织外部的安保 可以放行这个镜像的经常使用。

JFrog安保团队调研了212个CVE样本 这就象征着研发团队能够防止付出额外精神关注破绽分数虚高的破绽。 JFrog能够对破绽启动高低文的风险剖析，依据CVE 运行发生调研，判别是不是破绽被调用，从而确认 可以将大局部破绽不正当的评分启动降低，这象征着可以为开发者省下更多贵重的开发时期，启动优化商业价值的义务优惠。

JFrog在Docker Hub里剖析了最受欢迎的100个镜像，比如Tomcat、 Ubuntu、GDK这样的下载量最高的镜像，外面有很多CVSS评分的破绽。JFrog的钻研团队发现了一个严重的数据，74%的破绽是无法被应用的。这74%经过JFrog扫描之后，显示这些破绽可以被疏忽，从而让研发从这些修复破绽的上班中束缚进去。

面对用户担忧的安保扫描工具费用高、治理难等疑问，JFrog经过为用户提供一致的治理平台，来缩小 安保扫描保养和洽购的老本。 用了JFrog的制品库，就会智能取得安保扫描才干 当树立好制品库之后，研发团队智能就取得了安保扫描才干。

个很大的长处，就是不限度用户数。企业一千团体经常使用跟一万团体经常使用，费用是一样的。经过这样的形式，咱们实际地协助企业在安保扫描、制品治理、供应链治理上提供

谈到软件供应链错落不齐的疑问，王青以为：

未来软件供应链的开展趋向必定是集中化，不会再像每种言语有一个独自的制品库做独自的扫描，甚至每种言语要洽购独自的扫描工具去扫描。它必定是集中式的、全言语的扫描。

扫描必定要高效，速度要快。很多互联网企业 颁布屡次，甚至一天能够有上十次的版本颁布 假设破绽扫描要花一个小时才干扫完，研发团队

在软件供应链评级上，要有必定的规范，企业 要去适配SLSA，要去适配安保等级， 来保证企业软件颁布处于上游位置。

作为亚太区增长最快的市场，JFrog提出了 “

JFrog大中华和日本地域总经理董任远 过去几年，中国市场越来越多的基础架构类产品曾经允许了国产化，其中包括了芯片、主机、数据库以及两边件。关于JFrog来说，在中国的战略就是以更适合的处置打算适配这些产品。过去一年，JFrog曾经成功了 中国全线产品针关于国产信创产品的适配， 有很多客户直接将JFrog运行到其信创环境当中。

除此之外，针对中国市场特有的行业，JFrog提供了一些产品的优化以及定制化的允许。例如，针对中国汽车行业高速地开展， JFrog针对汽车行业提出了一些新的处置打算，尤其是在制品库以及在安保畛域上，为了更好地满足中国企业的高速开展以及企业出海需求，JFrog都提供定制化的允许。

示意，针对中国市场的客户需求，JFrog继续启动产品优化，无论客户用什么样的芯片，用什么样的操作系统，在驳回 都可以满足最大化的性能以及效率。