JFrog 安全性

由 JFrog Platform
提供支持的端到端软件供应链安全
免费开始 预订演示

整体软件供应链安全

一个从代码到边缘的控制和安全平台
防御。
在整个软件
供应链中保护自己免受已知和
未知威胁的影响
修复。
受信任代码的高级安全性功能
和
优先修复
治理。
通过
自动化的安全性
和法规遵从性实现集中控制和可见性

用 JFrog Curation 抵御已知和未知威胁

集中查看和控制第三方软件包下载。 防止已知和未知的威胁，只允许可信的包进入您的 SDLC。

通过消除干扰因素和专注于重要的事情来节省时间。 我们的引擎通过分析代码及其属性（就像攻击者一样）来检查 CVE 的适用性。 它检查第一方代码是否调用了易受攻击的函数，并扫描其他配置和属性以查找 CVE 利用的先决条件。

为您的开发人员提供可靠的软件组件来源，对与您现有的软件开发流水线协同工作的第三方软件包进行无缝集成、积极审查。

探索要与 JFrog Catalog 一起使用的开源包的元数据。 发现他们的版本历史记录、安全漏洞、OpenSSF 评分、许可证数据、操作风险，以及他们是否有任何依赖性和可传递的漏洞。 已经对超过 400 万个 OSS 软件包进行了编目，以便于参考。

通过左移方法在软件供应链的入口处阻止不需要的依赖关系，降低第三方软件包验证的成本。 透明度和问责制确保了开发团队第三方构建块的质量。

集中可见性和控制

集中查看和控制第三方软件包下载。 防止已知和未知的威胁，只允许可信的包进入您的 SDLC。

开发者流畅使用软件包

通过消除干扰因素和专注于重要的事情来节省时间。 我们的引擎通过分析代码及其属性（就像攻击者一样）来检查 CVE 的适用性。 它检查第一方代码是否调用了易受攻击的函数，并扫描其他配置和属性以查找 CVE 利用的先决条件。

自动监管第三方软件包

为您的开发人员提供可靠的软件组件来源，对与您现有的软件开发流水线协同工作的第三方软件包进行无缝集成、积极审查。

开源程序包目录

探索要与 JFrog Catalog 一起使用的开源包的元数据。 发现他们的版本历史记录、安全漏洞、OpenSSF 评分、许可证数据、操作风险，以及他们是否有任何依赖性和可传递的漏洞。 已经对超过 400 万个 OSS 软件包进行了编目，以便于参考。

DevSecOps 体验更佳

通过左移方法在软件供应链的入口处阻止不需要的依赖关系，降低第三方软件包验证的成本。 透明度和问责制确保了开发团队第三方构建块的质量。

了解更多

受信任代码
的高级安全性功能和优先修复

受信任的构建需要受信任的代码

使开发团队能够以无缝的开发人员为中心的体验开发和提交可信的代码。 快速准确的以安全为重点的引擎提供扫描，最大限度地减少误报，不会减缓开发速度。

结合真实世界可利用性和 CVE 适用性的深度上下文分析

通过消除干扰因素和专注于重要的事情来节省时间。 我们的引擎通过分析代码及其属性（就像攻击者一样）来检查 CVE 的适用性。 它检查第一方代码是否调用了易受攻击的函数，并扫描其他配置和属性以查找 CVE 利用的先决条件。

基于预定义模式和启发式的源代码和二进制文件的机密检测

您知道您是否公开了存储在容器或其他制品中的密钥或凭据吗？ JFrog 的机密检测搜索已知结构和完全随机的凭据（使用可疑变量匹配），确保误报率最低。

识别 IaC 中的安全风险

通过检查对确保云部署安全至关重要的配置来保护您的 IaC 文件。 JFrog 的 IaC 安全性扫描器为 IaC 安全提供了全面、主动的解决方案。

不要让您的应用程序受到攻击

超越表层，扫描常见 OSS 库和服务的配置和使用方法，如 Django、Flask、Apache 和 Nginx。 识别可能使您的软件容易受到攻击的误用和错误配置。

受信任的构建需要受信任的代码

使开发团队能够以无缝的开发人员为中心的体验开发和提交可信的代码。 快速准确的以安全为重点的引擎提供扫描，最大限度地减少误报，不会减缓开发速度。

结合真实世界可利用性和 CVE 适用性的深度上下文分析

通过消除干扰因素和专注于重要的事情来节省时间。 我们的引擎通过分析代码及其属性（就像攻击者一样）来检查 CVE 的适用性。 它检查第一方代码是否调用了易受攻击的函数，并扫描其他配置和属性以查找 CVE 利用的先决条件。

基于预定义模式和启发式的源代码和二进制文件的机密检测

您知道您是否公开了存储在容器或其他制品中的密钥或凭据吗？ JFrog 的机密检测搜索已知结构和完全随机的凭据（使用可疑变量匹配），确保误报率最低。

识别 IaC 中的安全风险

通过检查对确保云部署安全至关重要的配置来保护您的 IaC 文件。 JFrog 的 IaC 安全性扫描器为 IaC 安全提供了全面、主动的解决方案。

不要让您的应用程序受到攻击

超越表层，扫描常见 OSS 库和服务的配置和使用方法，如 Django、Flask、Apache 和 Nginx。 识别可能使您的软件容易受到攻击的误用和错误配置。

了解更多

用 JFrog Xray SCA
随时随地控制一切

源代码和二进制文件的软件组成分析

以 DevOps 为中心的最终 SCA 解决方案，用于识别和解决开源依赖关系中的安全漏洞和许可证合规问题。

  • 增强的 CVE 检测 - 检测二进制文件、构建和发布捆绑包中的 OSS 安全问题，确定优先级并减轻这些问题
  • FOSS 许可证清理 - 检测、优先处理和缓解许可证合规问题，并加快清理
  • 自动化 SBOM - 自动创建和导出行业标准 SPDX、CycloneDX (VEX) SBOM
  • 增强 CVE 数据 -
    JFrog 安全研究团队提供的关于高调 CVE 的最新专有信息

基于公共制品库自动扫描的恶意软件包检测

使用 JFrog 唯一的已识别恶意软件包数据库，发现并消除不需要的或意外的软件包。 该数据库来源于我们的研究团队在公共制品库中识别的数千个包，以及来自全球来源的不断聚合的恶意包信息。

阻止不想要的包的操作风险政策

能够轻松处理包维护问题和技术债务等风险。 使用基于软属性（如维护人员数量、维护节奏、发布期限、提交数量等）决定风险阈值的策略，启用自动包阻塞。

使用 JFrog 开发工具尽可能左移

使用开发人员友好的工具，在 SDLC 早期扫描安全漏洞和违反许可证的行为。 查看 IDE 中的漏洞以及修复选项和适用性。 使用我们的 CLI 工具自动化您的流水线，并执行依赖关系、容器和按需扫描。 最大限度地减少威胁，降低风险，更快地修复并节省成本。

确保 ML 模型的完整性和安全性

在检测恶意模型、确保许可证合规性并引入重要控制的系统中管理您的模型，以便 ML、安全性和 DevOps 团队对所使用的开源模型充满信心，并且您已经为未来不可避免的法规做好了准 备。

源代码和二进制文件的软件组成分析

以 DevOps 为中心的最终 SCA 解决方案，用于识别和解决开源依赖关系中的安全漏洞和许可证合规问题。

  • 增强的 CVE 检测 - 检测二进制文件、构建和发布捆绑包中的 OSS 安全问题，确定优先级并减轻这些问题
  • FOSS 许可证清理 - 检测、优先处理和缓解许可证合规问题，并加快清理
  • 自动化 SBOM - 自动创建和导出行业标准 SPDX、CycloneDX (VEX) SBOM
  • 增强 CVE 数据 -
    JFrog 安全研究团队提供的关于高调 CVE 的最新专有信息

基于公共制品库自动扫描的恶意软件包检测

使用 JFrog 唯一的已识别恶意软件包数据库，发现并消除不需要的或意外的软件包。 该数据库来源于我们的研究团队在公共制品库中识别的数千个包，以及来自全球来源的不断聚合的恶意包信息。

阻止不想要的包的操作风险政策

能够轻松处理包维护问题和技术债务等风险。 使用基于软属性（如维护人员数量、维护节奏、发布期限、提交数量等）决定风险阈值的策略，启用自动包阻塞。

使用 JFrog 开发工具尽可能左移

使用开发人员友好的工具，在 SDLC 早期扫描安全漏洞和违反许可证的行为。 查看 IDE 中的漏洞以及修复选项和适用性。 使用我们的 CLI 工具自动化您的流水线，并执行依赖关系、容器和按需扫描。 最大限度地减少威胁，降低风险，更快地修复并节省成本。

确保 ML 模型的完整性和安全性

在检测恶意模型、确保许可证合规性并引入重要控制的系统中管理您的模型，以便 ML、安全性和 DevOps 团队对所使用的开源模型充满信心，并且您已经为未来不可避免的法规做好了准 备。

我们有什么不同？

在软件的生产环境中持续分析软件。 从源代码到二进制文件的端到端扫描可以帮助您保护现代的、不断发展的软件制品。 二进制文件在整个软件供应链中都会受到攻击，因此扫描二进制文件和图像（“二进制文件的二进制文件”）可以确保您暴露并加强对仅通过源代码分析无法发现的盲点的防御。

JFrog 行业领先的安全研究部门由世界上一些发现和修复软件漏洞的顶级专家组成。 这意味着 JFrog 产品会持续、独特地更新关于零日、CVE、恶意软件包和其他类型暴露的高度详细和彻底分析的信息。 我们的研究团队每年发布数百份出版物，在发现和明智行动方面处于行业领先地位。 有关我们研究部门的更多信息，请访问 research.jfrog.com。

JFrog 是软件供应链管理的先驱，允许从一个点控制所有软件制品。 通过了解您流水线中的每一项资源，JFrog 扫描器可以独特地查看更丰富的数据，提供更准确的结果和更全面的上下文，从而在整个过程中实现平稳、基于风险的补救。 供应链本身的安全和管理的独特结合消除了集成所有权和无数点解决方案。

二进制文件，而不
仅仅是代码

在软件的生产环境中持续分析软件。 从源代码到二进制文件的端到端扫描可以帮助您保护现代的、不断发展的软件制品。 二进制文件在整个软件供应链中都会受到攻击，因此扫描二进制文件和图像（“二进制文件的二进制文件”）可以确保您暴露并加强对仅通过源代码分析无法发现的盲点的防御。

安全研究驱动

JFrog 行业领先的安全研究部门由世界上一些发现和修复软件漏洞的顶级专家组成。 这意味着 JFrog 产品会持续、独特地更新关于零日、CVE、恶意软件包和其他类型暴露的高度详细和彻底分析的信息。 我们的研究团队每年发布数百份出版物，在发现和明智行动方面处于行业领先地位。 有关我们研究部门的更多信息，请访问 research.jfrog.com。

控制和安全： 一站式

JFrog 是软件供应链管理的先驱，允许从一个点控制所有软件制品。 通过了解您流水线中的每一项资源，JFrog 扫描器可以独特地查看更丰富的数据，提供更准确的结果和更全面的上下文，从而在整个过程中实现平稳、基于风险的补救。 供应链本身的安全和管理的独特结合消除了集成所有权和无数点解决方案。

想知道 JFrog Security 与典型的 AST 和应用安全解决方案有何不同？
请参阅 JFrog 与 SCA、IaC、Container & Configuration Security、Secrets Detection 等服务的比较。

为什么客户信任 JFrog

“多数大型公司具备多个站点，因此跨区域高效管理身份验证及权限至关重要。 JFrog Enterprise+ 提供了非常理想的方案，使我们从一开始即可满足各种严苛的要求。 它的高级功能，如 Access Federation ，将通过保持不同站点之间用户、权限和组的同步来减少开销。“
Siva Mandadi
DevOps - 自动驾驶，Mercedes
”JFrog Enterprise+ 提高开发人员的生产力，消除挫败感。 JFrog Distribution 本质上是基于 CDN 的本地部署，能够可靠地将软件分发到远程位置。 而 JFrog Access Federation 使我们能够轻松地在不同位置共享凭据、访问权限和组员。”
Artem Semenov
Align Technology
DevOps 和 Tooling 高级经理
“今天我们可以根据要求发布，而无需等待 15 个月的周期。”
Martin Eggenberger
Monster
首席架构师
“作为一名长期的 DevOps 工程师，我知道跟踪企业库存中的无数包类型（传统包和新包）有多难。 JFrog 一直在保持我们团队的支持、高效和可操作性方面做得非常出色，因为如果 JFrog 不再能提供支持，我们还不如回家。 值得庆幸的是，有了 AWS 基础设施的支持，我们知道我们可以在今天和未来业务需要的任何地方放心地进行开发和交付。“
Joel Vasallo
Redbox
云 DevOps 主管
“Artifactory 的功能使我们能够做我们今天能做的事情……有了 Xray，[安全] 是一件很容易的事——它是内置的，只要打开它就行了！ 我很乐意随时使用它。“
Larry Grill，
Hitachi Vantara
DevSecOps 高级经理
“当我们遇到 log4j 的问题时，在周五下午宣布的，到周一中午（使用 JFrog），我们已经在所有城市推出了补丁。”
Hanno Walischewski
Yunex Traffic
首席系统架构师
“我们从这种妥协中吸取的教训之一是，一般来说，您应该监管您的系统，这样您就永远不会在没有任何干预扫描工具的情况下直接从互联网上构建，以验证您在构建中带来的依赖性。 为此，我们使用 JFrog®Artifactory® 的实例，而不是云服务来托管我们的依赖项，这是任何绑定到暂存、生产或内部部署版本的软件制品的唯一有效来源。“
树立安全软件开发的新标准：
SolarWinds 下一代构建系统
SolarWinds
“自从改为使用 Artifactory 以来，我们的团队已经能够大大减轻我们的维护负担……我们能够继续前进，成为一个更深入的 DevOps 组织。”
Stefan Krause
Workiva
软件工程师
“全球超过 30 万用户依靠 PRTG 来监控其不同规模网络的重要部分。 因此，我们有义务不仅开发和增强软件本身，而且开发和增强其安全性和发布过程。 JFrog 帮助我们以最有效的方式做到这一点。“
Konstantin Wolff
Paessler AG
基础设施工程师
“对我来说，JFrog Connect 实际上是一个扩展工具，所以我可以更快地部署边缘物联网集成，并在更大范围内进行管理。 当连接到具有不同 VPN 和防火墙要求的不同客户站点时，可以减少手动一次性干预。“
Ben Fussell
Ndustrial
系统集成工程师
“我们想弄清楚我们真正能用什么，而不是有五六个不同的应用程序。 维护它们。 有没有我们能用的单一解决方案？ 这时 Artifactory 闪亮登场了。 对我们来说，这真的是一家一站式商店。 它确实提供了我们所需要的一切。“
Keith Kreissl
Cars.com
首席开发商
“多数大型公司具备多个站点，因此跨区域高效管理身份验证及权限至关重要。 JFrog Enterprise+ 提供了非常理想的方案，使我们从一开始即可满足各种严苛的要求。 它的高级功能，如 Access Federation ，将通过保持不同站点之间用户、权限和组的同步来减少开销。“
Siva Mandadi
DevOps - 自动驾驶，Mercedes
”JFrog Enterprise+ 提高开发人员的生产力，消除挫败感。 JFrog Distribution 本质上是基于 CDN 的本地部署，能够可靠地将软件分发到远程位置。 而 JFrog Access Federation 使我们能够轻松地在不同位置共享凭据、访问权限和组员。”
Artem Semenov
Align Technology
DevOps 和 Tooling 高级经理
“今天我们可以根据要求发布，而无需等待 15 个月的周期。”
Martin Eggenberger
Monster
首席架构师
“作为一名长期的 DevOps 工程师，我知道跟踪企业库存中的无数包类型（传统包和新包）有多难。 JFrog 一直在保持我们团队的支持、高效和可操作性方面做得非常出色，因为如果 JFrog 不再能提供支持，我们还不如回家。 值得庆幸的是，有了 AWS 基础设施的支持，我们知道我们可以在今天和未来业务需要的任何地方放心地进行开发和交付。“
Joel Vasallo
Redbox
云 DevOps 主管
“Artifactory 的功能使我们能够做我们今天能做的事情……有了 Xray，[安全] 是一件很容易的事——它是内置的，只要打开它就行了！ 我很乐意随时使用它。“
Larry Grill，
Hitachi Vantara
DevSecOps 高级经理
“当我们遇到 log4j 的问题时，在周五下午宣布的，到周一中午（使用 JFrog），我们已经在所有城市推出了补丁。”
Hanno Walischewski
Yunex Traffic
首席系统架构师
“我们从这种妥协中吸取的教训之一是，一般来说，您应该监管您的系统，这样您就永远不会在没有任何干预扫描工具的情况下直接从互联网上构建，以验证您在构建中带来的依赖性。 为此，我们使用 JFrog®Artifactory® 的实例，而不是云服务来托管我们的依赖项，这是任何绑定到暂存、生产或内部部署版本的软件制品的唯一有效来源。“
树立安全软件开发的新标准：
SolarWinds 下一代构建系统
SolarWinds
“自从改为使用 Artifactory 以来，我们的团队已经能够大大减轻我们的维护负担……我们能够继续前进，成为一个更深入的 DevOps 组织。”
Stefan Krause
Workiva
软件工程师
“全球超过 30 万用户依靠 PRTG 来监控其不同规模网络的重要部分。 因此，我们有义务不仅开发和增强软件本身，而且开发和增强其安全性和发布过程。 JFrog 帮助我们以最有效的方式做到这一点。“
Konstantin Wolff
Paessler AG
基础设施工程师
“对我来说，JFrog Connect 实际上是一个扩展工具，所以我可以更快地部署边缘物联网集成，并在更大范围内进行管理。 当连接到具有不同 VPN 和防火墙要求的不同客户站点时，可以减少手动一次性干预。“
Ben Fussell
Ndustrial
系统集成工程师
“我们想弄清楚我们真正能用什么，而不是有五六个不同的应用程序。 维护它们。 有没有我们能用的单一解决方案？ 这时 Artifactory 闪亮登场了。 对我们来说，这真的是一家一站式商店。 它确实提供了我们所需要的一切。“
Keith Kreissl
Cars.com
首席开发商

了解有关 JFrog 高级安全性的更多信息

与 JFrog 安全性专家预约演示

  • 了解如何阻止恶意或有风险的软件包进入您的组织
  • 使用 IDE 插件、CLI 和 Git 扫描工具，让开发人员成为安全专家
  • 查看无缝开发人员体验以确保代码和构建的安全
  • 通过 Curation、SAST、SCA、IaC、Secrets 和 Container 安全解决方案，在一个平台中查看整体安全
  • 了解在您的生态系统中开始使用 JFrog Security 有多简单

 

Group session
1:1 session

安全方面的其他资源

解决方案工作表
JFrog 安全性
阅读更多>
安全研究报告
重大开源安全漏洞深度分析
阅读报告>
网络研讨会
使用 Xray Essentials 和 Advanced Security 实现软件供应链安全
立即观看 >
博客
节省时间，只修复 IDE 中适用的易受攻击的依赖项
阅读更多>
Git OSS 扫描工具
Frogbot - JFrog 安全版本控制机器人
了解更多 >
安全研究博客
在左移的同时，缩放并改善安全状况！
阅读更多>

保护支持着世界的软件

我们的流式软件愿景，就是将软件包无缝且安全地从任意源分发到任意设备。

免费开始 预订演示