芯耀
159
在開源軟件廣泛應(yīng)用的背景下，軟件安全、漏洞管理和許可證合規(guī)成為技術(shù)企業(yè)關(guān)注的重中之重。Ping Identity，作為身份與訪問管理領(lǐng)域的領(lǐng)軍企業(yè)，通過引入 Mend SCA 平臺(tái)，實(shí)現(xiàn)了自動(dòng)化安全流程的轉(zhuǎn)型，大幅提升了漏洞響應(yīng)效率與合規(guī)水平。本文將解析其實(shí)踐經(jīng)驗(yàn)，為企業(yè)數(shù)字化安全轉(zhuǎn)型提供參考。
公司簡(jiǎn)介：Ping Identity 是誰(shuí)？
Ping Identity 是全球領(lǐng)先的身份與訪問管理（IAM）解決方案提供商，致力于幫助企業(yè)安全管理用戶身份、控制應(yīng)用和資源的訪問權(quán)。作為行業(yè)先驅(qū)，Ping Identity 的客戶遍布全球，其產(chǎn)品廣泛應(yīng)用于金融、醫(yī)療、政府等對(duì)安全要求極高的行業(yè)。
然而，作為一家技術(shù)驅(qū)動(dòng)型企業(yè)，他們同樣面臨來(lái)自軟件供應(yīng)鏈的安全挑戰(zhàn)，特別是在廣泛采用開源組件的背景下，如何實(shí)現(xiàn)自動(dòng)化安全管理、降低法律風(fēng)險(xiǎn)并保障客戶數(shù)據(jù)的安全，成為企業(yè)可持續(xù)發(fā)展的關(guān)鍵。
挑戰(zhàn)：如何保障應(yīng)用安全與合規(guī)？
Ping Identity 不僅要確保自有應(yīng)用程序的安全性，更必須防范自身成為客戶供應(yīng)鏈攻擊的潛在入口。同時(shí)，隨著開源組件的普及，許可證管理變得日益復(fù)雜，稍有疏忽就可能引發(fā)知識(shí)產(chǎn)權(quán)糾紛，影響企業(yè)品牌與投資者信任。
2014 年，Bruno Lavit 加入 Ping Identity 擔(dān)任軟件工程與發(fā)布經(jīng)理。他回憶：“我們當(dāng)時(shí)還在手動(dòng)掃描漏洞、逐一審核開源許可證，既耗時(shí)又容易出錯(cuò)?！币庾R(shí)到這一瓶頸后，Lavit 帶領(lǐng)團(tuán)隊(duì)開始探索更高效的解決方案。
解決方案：Mend SCA 打造全自動(dòng)安全流程
在評(píng)估了多個(gè)供應(yīng)商后，Ping Identity 最終選定 Mend SCA 作為核心安全工具。Mend.io 提供完整的漏洞檢測(cè)、容器掃描和自動(dòng)化許可證合規(guī)檢查，正好契合其云原生產(chǎn)品的需求。
Lavit 表示：“Mend SCA 是唯一能做到完全自動(dòng)化的平臺(tái)。我們?cè)?30 分鐘內(nèi)就完成了第一個(gè)產(chǎn)品的掃描，真正做到了即裝即用，完全無(wú)縫接入我們現(xiàn)有開發(fā)流程?！?/p>
通過自動(dòng)化識(shí)別漏洞并生成數(shù)據(jù)驅(qū)動(dòng)的安全報(bào)告，Ping Identity 能夠快速響應(yīng)潛在威脅，同時(shí)有效降低因許可證問題帶來(lái)的法律風(fēng)險(xiǎn)。
成果：零高危漏洞，交付更快更安全
Mend SCA 的引入極大提升了 Ping Identity 的安全管理能力。Lavit 強(qiáng)調(diào)：“自從我們使用 Mend.io 后，發(fā)布的產(chǎn)品中已經(jīng)不再存在任何高危漏洞（高嚴(yán)重性 CVE）?！?/p>
特別是在應(yīng)對(duì) Log4J 等突發(fā)安全事件時(shí)，Mend 的分析與響應(yīng)機(jī)制展現(xiàn)出極大價(jià)值?！耙坏┌l(fā)生安全事件，我們能夠第一時(shí)間判斷哪些版本受到影響，迅速采取應(yīng)對(duì)措施，保障客戶安全?！?/p>
此外，自動(dòng)化工作流程也顯著提升了團(tuán)隊(duì)效率，使產(chǎn)品發(fā)布更加敏捷，安全與交付不再互相掣肘。
總結(jié)：Mend 助力安全轉(zhuǎn)型升級(jí)
Ping Identity 的實(shí)踐表明，借助 Mend SCA，企業(yè)可以在不干擾現(xiàn)有流程的前提下，實(shí)現(xiàn)安全自動(dòng)化、開源合規(guī)及敏捷交付的有機(jī)統(tǒng)一。作為面向未來(lái)的軟件安全平臺(tái)，Mend 不僅提升了企業(yè)的安全韌性，也為 Ping Identity 在市場(chǎng)競(jìng)爭(zhēng)中贏得了更多信任與優(yōu)勢(shì)。
