软件供应链安全
目录
术语“软件供应链”是指开发和交付软件的端到端过程，从开发到部署和维护。软件供应链安全（简称“S3C”）是保护供应链组件和过程的实践。
S3C 是组织处理软件安全方式的一个根本性变化。传统上，在软件行业中，安全性和合规性通常被视为事后考虑，留待软件交付或发布阶段。通过 S3C，安全性被集成到整个软件开发生命周期中，从开发和测试的内部循环，到发布和监控的外部循环。
遵循软件供应链行为的行业最佳实践非常重要，因为它可以帮助组织保护其软件免受安全威胁、合规风险和其他漏洞的影响。实施软件供应链安全框架可以提高项目在利益相关者之间的可见性、协作性和可追溯性。这有助于组织更有效地检测、响应和修复威胁。
保护软件供应链
构建安全的软件供应链涉及几个关键步骤，例如：
- 识别您用于构建和运行应用程序的软件组件和依赖项。
- 在整个软件开发生命周期中自动化安全测试。
- 监控您的软件供应链是否存在安全威胁。
- 实施安全策略，规范软件的构建方式及其包含的组件。
管理软件供应链是一项复杂的任务，特别是在现代，软件由来自不同来源的多个组件构建而成。组织需要清楚地了解他们使用的软件组件及其相关的安全风险。
Docker Scout 有何不同
Docker Scout 是一个旨在帮助组织保护其软件供应链的平台。它提供了用于识别和管理软件资产和策略，以及自动化修复安全威胁的工具和服务。
与传统安全工具不同，传统工具侧重于在软件开发生命周期的特定阶段进行预定、定点扫描，而 Docker Scout 使用现代事件驱动模型，涵盖整个软件供应链。这意味着当影响您的镜像的新漏洞被披露时，您更新的风险评估会在几秒钟内提供，并且在开发过程中更早可用。
Docker Scout 通过分析镜像的组成来创建软件物料清单 (SBOM)。SBOM 会与安全公告进行交叉引用，以识别影响您镜像的 CVE。Docker Scout 集成了超过 20 个不同的安全公告，并实时更新其漏洞数据库。这确保您的安全状况使用最新可用信息来反映。