JFrog：为软件交付打造全生命周期的管理与防护

       目前，软件正在成为企业数字化的核心部分甚至创新驱动的关键，开发人员要兼顾业务需求，而安全团队则要增加保护层，相关行业研究表明，五分之一的应用程序存在运行时风险，所有应用程序中约有20%在执行阶段存在高风险、严重风险或灾难性问题。

       “安全必须渗透到软件供应链的方方面面。”在日前举办线上媒体沟通会上，JFrog大中华和日本地区总经理董任远和JFrog中国技术总监王青均认为，在数字化转型升级浪潮下，企业对于软件应用的需求正变得越来越旺盛。由于“敏捷开发、快速迭代”的特征，企业对于软件应用的更新也越来越快。孤立工具之间的脱节给开发人员、安全团队和MLOps 团队带来了额外的压力。对此，企业需要通过统一的平台，在整个开发和安全流程中提供端到端的可视性、修复和可追溯性，以此减轻工作负担。

数字化浪潮下的软件供应链风险

       董任远介绍根据今年10月8日世界经济论坛（WEF）发布的最新全球制造业灯塔工厂名单显示，中国的“灯塔工厂”增至72座，占比超4成，持续排名全球第一。而纵观国内的这些“灯塔工厂”，以软件为代表的创新模式正在积极汲取实践。

       在智能制造与数字化转型浪潮推动下，企业对于软件的安全风险意识正在提高。董任远介绍以往客户都是制品完成开发和已经完成的时候，再做相应的安全扫描，而现在很多客户都是在开发第一时间对于所用的第三方产品实现相应的检测，以确保在第一时间内发现潜在隐患，解决问题。

       对此，董任远总结企业在进行软件创新方面正呈现出以下特点：

       首先，国内客户在开发运维中采用了多样化的工具，包括开源和闭源形式，并拥有自身的特点，但整体运维效率仍然比较低。特别是客户的数据量以及客户的流量吞吐能力增加的时候，就会造成企业在开发运维方面的困难。这也是为什么JFrog正在加速将不同的工具进行整合，从而实现统一的制品安全以及交付管理。

       其次，企业在推进数字化转型的过程中，数字管理是必不可少的环节，针对软件开发、测试、运维等全生命周期都需要注意安全风险。

       最后，国内企业正在积极出海“走出去”，为了满足当地合规性要求会建立相应的数据中心。企业需要在数据中心实现相应的部署，存储当地客户的信息，同时保证和总部进行交流。例如企业将产品交付到其他市场的时候，有些地区根据当地政策，需要提供软件物料清单，对此，JFrog能够提供SBOM的功能，一键式生成软件物料清单，可以交由不同区域的机构进行产品合规审查。

覆盖软件全生命周期的管理与防护

       王青介绍一直以来，制品库都是JFrog的业务重点，而制品库也是DevOps中的关键环节。为了解决DevOps的工具链打通这个难题，JFrog提出了“EveryOps”的概念，以近八千家的成功案例，以制品库为核心，打通整个DevOps工具链。目前，JFrog作为一个软件供应链平台，业务不仅仅涉及制品管理，除了核心的JFrog Artifactory——全球唯一的全源制品库管理，JFrog还拥有专门应用于开源软件隔离治理的JFrog Curation，以及漏洞扫描JFrog XRAY，快速发现漏洞并提供修复建议的Runtime Security，用于软件发布的JFrog Distribution等等。今年JFrog还新发布了JFrog ML，用于实现对大模型的运维提供模型管理，其中涵盖了整个模型供应链编排包括模型的部署。        可以看出，JFrog提供了一整套解决方案，不仅是基于普通的制品、开发者的制品，还有安全扫描，版本分发，LT设备以及大模型持续部署持续编排的能力等。
 
       例如通过新增的JFrog Runtime，企业能够将安全性无缝集成到开发流程的每一个环节——贯穿源代码编写，二进制文件部署和生产。JFrog简化了开发人员与安全团队之间的协作流程，实现了 DevSecOps 任务的自动化，为现代云原生应用开发节省了时间并进一步加强了安全性。它使团队能够实时监控 Kubernetes 集群，从而根据实际风险来识别、优先处理并快速解决安全隐患。值得一提的是，JFrog Artifactory还提供了一种单一解决方案，该方案适用于存储和管理整个软件供应链中使用的所有制品、二进制文件、软件包、文件、容器和组件。

       在生态合作方面，JFrog Platform与NVIDIA NIM的集成有望将容器化AI模型作为软件包纳入现有的软件开发工作流。通过将NVIDIA NGC（一个GPU优化深度学习、ML和HPC模型的中心）与JFrog Platform和JFrog Artifactory模型注册中心相结合，企业将能够为所有软件包和AI模型维护单一事实来源，同时利用企业DevSecOps最佳实践来获得对整体软件供应链的可视性、管理和控制。

强化体验，与GitHub深度融合

       众所周知，GitHub是互联网上超大代码管理仓库，拥有着广大的用户群体。但相较于丰富的源码管理工具而言，GitHub制品管理比较薄弱。例如用户通过GitHub的Artifactory构建工具后，软件包的存储位置、依赖关系、漏洞信息等都是缺少的。对此，JFrog与GitHub进行了深度的集成，为开发者提供能够呈现项目状态和安全态势的综合视图，使其更快地构建和发布受信软件，发现并解决潜在漏洞。        JFrog 与 GitHub 的集成有望提供一种更简单、更安全的方式，从而实现在两个平台上追踪从源代码到所生成的二进制文件的代码周期，主要功能如下：

       •    通过Copilot Chat 集成可获得有关软件包的深入洞察：全新 GitHub Copilot 扩展插件通过在 JFrog 二进制环境中提供有关开源软件包的深入洞察以及 GitHub 代码数据，使开发者无需搜索文档或在线论坛，从而提高工作效率。其提供的建议符合企业的管理政策，使开发者能够基于安全性和市场应用情况选择软件包，从而根据业务做出明智之选。将 Copilot 的聊天功能与 JFrog 的制品元数据相结合，为开发者打造了一个强大的 AI 助手。

       •    整合型安全统一管理面板：GitHub Advanced Security 和 JFrog Advanced Security（包括发现上述 Python 漏洞的扫描程序）安全扫描结果的统一视图可帮助开发者在开发生命周期的早期阶段识别并消除潜在的软件漏洞，从而节省时间成本并降低风险。

       •    双向端到端发布追溯：GitHub 上的全新作业摘要页面为开发者提供了每个 GitHub Actions 工作流运行和安全状态的快速视图，使开发者可以迅速查看每个构建的输出软件包，轻松跳转至JFrog Artifactory 中的位置并返回原页面。这种双向导航利用 JFrog Artifactory 中保存的软件物料清单（SBOM），增强了软件追溯能力。

       •    动态项目映射和身份验证：利用当前的 OpenID Connect（OIDC）集成，改进了 GitHub 存储库和 Artifactory 中 JFrog 项目之间的自动授权和无缝项目映射，开发者无需对每个存储库重新进行身份验证。