JFrog：DevOps和安全合二為一 助力客戶高效運(yùn)營管理核心數(shù)字資產(chǎn)

　　DevOps是Development和Operations兩個(gè)詞的縮寫，是指軟件開發(fā)和運(yùn)營維護(hù)之間的協(xié)作和協(xié)同。它的出現(xiàn)是為了解決傳統(tǒng)軟件系統(tǒng)，特別是提供實(shí)時(shí)服務(wù)的龐大系統(tǒng)，比如金融系統(tǒng)、社交媒體等應(yīng)用，開發(fā)人員和運(yùn)營維護(hù)人員之間日益尖銳的矛盾。

　　以社交軟件為例，開發(fā)團(tuán)隊(duì)為了滿足市場需求，不斷增加、調(diào)整功能，提升用戶體驗(yàn)，為客戶創(chuàng)造價(jià)值，會不斷有新的代碼增加，也會刪減一些無用的模塊和功能，但是這對系統(tǒng)運(yùn)維團(tuán)隊(duì)來說，卻是不斷出現(xiàn)的煩惱，軟件的穩(wěn)定行、安全性等問題會不停出現(xiàn)，讓維護(hù)系統(tǒng)的問題變得困難。

　　開發(fā)團(tuán)隊(duì)求變，而運(yùn)營團(tuán)隊(duì)求穩(wěn)，數(shù)字經(jīng)濟(jì)的深入讓代碼更改更頻繁，基礎(chǔ)架構(gòu)的使用也更靈活，傳統(tǒng)的管理策略無法滿足這種需求。需要有工具來解決這種問題，從而保證系統(tǒng)的開發(fā)效率和穩(wěn)定性。

　　IBM的Redhat公司這樣解釋DevOps：DevOps 旨在實(shí)現(xiàn)既快又穩(wěn)的工作流程，使每個(gè)想法(比如一個(gè)新的軟件功能，一個(gè)功能增強(qiáng)請求或者一個(gè) bug 修復(fù))在從開發(fā)到生產(chǎn)環(huán)境部署的整個(gè)流程中，都能不斷地為用戶帶來價(jià)值。這種方式需要開發(fā)團(tuán)隊(duì)和運(yùn)維團(tuán)隊(duì)密切交流、高效協(xié)作并且彼此體諒。此外，DevOps 還要能夠方便擴(kuò)展，靈活部署。有了 DevOps，需求最迫切的工作就能通過自助服務(wù)和自動化得到解決;通常在標(biāo)準(zhǔn)開發(fā)環(huán)境編寫代碼的開發(fā)人員也可與 IT 運(yùn)維人員緊密合作，加速軟件的構(gòu)建、測試和發(fā)布，同時(shí)保障開發(fā)成果的穩(wěn)定可靠。

　　DevOps 可以加快一個(gè)想法從提出到部署的整個(gè)過程。DevOps 的核心在于，在應(yīng)用的整個(gè)生命周期中，都要確保日常運(yùn)維任務(wù)自動化和環(huán)境的標(biāo)準(zhǔn)化。

　　2008年成立的JFrog公司，總部位于以色列，由Ben Haim，Landman和Simon三位創(chuàng)始人在車庫創(chuàng)立。他們的宗旨就是想讓軟件能像液體一樣交融無痕。到2023年，JFrog公司在全球有7200家客戶，服務(wù)于89%以上的財(cái)富100強(qiáng)客戶，有1300多名員工。

　　“公司創(chuàng)始人希望公司能夠像青蛙一樣不停地向前跳躍，因?yàn)楸旧砬嗤苤粫�向前跳，而且通過不斷的跳躍完成一次次升級” JFrog大中華區(qū)總經(jīng)理董任遠(yuǎn)介紹說。

　　JFrog比較關(guān)鍵性的行業(yè)是金融行業(yè)。其中一個(gè)關(guān)鍵優(yōu)勢是支持了中國銀行業(yè)的“兩地三中心”，同時(shí)滿足了銀行業(yè)要求的高可靠性以及異地協(xié)同開發(fā)。

　　“針對中國的市場環(huán)境，JFrog也做了一些改變，中國要求使用國產(chǎn)CPU、國產(chǎn)操作系統(tǒng)以及國產(chǎn)數(shù)據(jù)庫，因此我們和國產(chǎn)設(shè)備、國產(chǎn)軟件、硬件都做了相關(guān)的兼容性適配。”

　　JFrog提供全語言制品庫，也叫DevOps Platform。支持各種各樣的語言開發(fā)包，是全球第一個(gè)支持所有開發(fā)語言的軟件制品庫管理平臺。

　　“目前只有JFrog能夠集成將近三十種左右最先進(jìn)的開發(fā)語言。這也是為什么有很多高科技互聯(lián)網(wǎng)公司都在用我們的產(chǎn)品” JFrog中國技術(shù)總監(jiān)王青說。

　　JFrog在整個(gè)DevOps生態(tài)扎根非常深入，包括Jenkins，各種CI/CD工具都集成。在現(xiàn)有的企業(yè)中，無論使用了什么樣的DevOps流水線都能無縫集成到系統(tǒng)里來，幫助用戶實(shí)現(xiàn)快速的軟件發(fā)布。

　　近幾年隨著開源軟件的使用不斷增加，針對開源軟件的攻擊也開始激增，企業(yè)的開發(fā)者們也遇到了很多新的挑戰(zhàn)。比如針對NPM的CVE漏洞，每年每月都在逐年增加CVE(開源組件的漏洞信息)的數(shù)量，針對NPM惡意軟件包攻擊數(shù)量每個(gè)月都在增長，針對NPM惡意包的報(bào)告基本在2023年上半年達(dá)到超過6000個(gè)攻擊。

　　“在開發(fā)人員忙到不可開交時(shí)，攻擊者還不斷發(fā)起新攻擊”。

　　一方面開發(fā)者不經(jīng)意間泄露一些密鑰信息，另一邊，黑客在機(jī)器學(xué)習(xí)模型的社區(qū)中，對開源模型投毒，使得開發(fā)者在使用這些帶毒模型時(shí)，將病毒帶入企業(yè)系統(tǒng)。

　　面對各種各樣的制品管理安全挑戰(zhàn)，很多企業(yè)都缺乏統(tǒng)一管理制品的平臺和統(tǒng)一進(jìn)行掃描的能力。很多企業(yè)買了很多安全掃描工具，但安全人員發(fā)現(xiàn)這些安全掃描工具無法和DevOps流程結(jié)合起來，

　　JFrog兩大核心能力，一是制品管理，包括Artifactory和Distribution，進(jìn)行版本的上傳和分發(fā)，這兩個(gè)組件能夠?qū)崿F(xiàn)版本的內(nèi)部管理和異地分發(fā)。第二個(gè)核心功能是和安全相關(guān)的Artifactory，JFrog XRAY加高級掃描，XRAY是專門掃描開源軟件有沒有一些合規(guī)性的問題，包括安全性的問題。

　　但這仍然不足以應(yīng)對嚴(yán)峻的信息安全問題。

　　開發(fā)者下載一個(gè)工具通常要下到本地內(nèi)網(wǎng)來，等使用這個(gè)工具，將新版本提交到安全掃描工具時(shí)，如果發(fā)現(xiàn)有漏洞就已經(jīng)很遲了，可能會在新版本軟件上線前的一個(gè)禮拜才能掃描出來。這時(shí)候可能來不及處理，只能推遲新版本的發(fā)布。

　　JFrog提供了業(yè)界首款端到端的加速軟件安全的構(gòu)建發(fā)布平臺，稱為Curation，

　　“Curation在代理倉庫這一層掃描，即用戶在嘗試用一個(gè)新的版本的開源組件時(shí)，JFrog Curation會通過漏洞庫查詢這個(gè)版本有沒有發(fā)現(xiàn)過漏洞，如果有，下載請求會被阻斷，管理員也會收到通知。我們在最左移的情況下阻止這個(gè)漏洞的使用。“

　　透過自帶開源軟件目錄 CATALOG，同時(shí)支持了SAST，對現(xiàn)有XRAY漏洞掃描進(jìn)行功能補(bǔ)全。也發(fā)布了首次面向Hugging Face的原生集成，通過Artifactory就能實(shí)現(xiàn)對Hugging Face遠(yuǎn)程登陸下載及模型的上傳。

　　“從去年到今年開始，CIO們關(guān)注的問題是，在DevOps和安全合二為一如何融入起來，JFrog致力于幫助客戶解決這一問題“。

　　在中國市場，JFrog業(yè)務(wù)比2022年增長了超過了一倍。

　　“2024年會保持一個(gè)高速的增長。其中也有大環(huán)境因素的影響，整個(gè)所處的階段是客戶對數(shù)字化轉(zhuǎn)型的需求大大增加，同時(shí)客戶也都意識到公司的軟件資產(chǎn)是核心資產(chǎn)，所以，他們需要一個(gè)制品庫來幫助管理、運(yùn)維他們自己的核心資產(chǎn)” 董任遠(yuǎn)總結(jié)說。