Anchore Enterprise（安全对策工具）

恶意软件和安全漏洞的检测和对策

通过对 OCI (Docker) 映像的扫描和分析以识别恶意软件和安全漏洞。能够识别并修复容器映像中的安全隐患。 目前还在与 Singularity 的开发母公司 Sylabs 合作，现在可以通过 OCI 镜像使用 SIF（Singularity 自己的容器镜像格式）。

什么是Singularity＞

规则遵守

支持用户自定义应用策略，确保符合安全策略和合规性要求。通过这一功能，企业能够适应法律法规和行业标准，满足与安全相关的监管要求。

CI/CD 通道的集合

Anchore Enterprise 集成 CI/CD 通道。这可以实现开发过程的自动化和增强安全监控，能够在初期阶段检测和修复安全问题。

Anchore Enterprise 提供了一个环境，安全团队可以搜索云原生应用程序中的所有软件，并在几分钟（而不是几天）内阻止和修复安全问题。

Anchore Enterprise 的概述

Anchore Enterprise 是一个基于 SBOM （Software Bill of Materials，通过软件物料清单有效管理组件和响应漏洞）的最新软件构成分析 (SCA) 平台，使安全人员能够识别云原生应用程序的所有软件组件。

通过利用 VIPERR 框架，Anchore Enterprise 提供高可靠性的报告。完整的软件供应链安全系统提供完整的可见性、深度检查、自动执行和快速修复。 Anchore Enterprise 具有完整的 API 兼容性，通过与现有的 DevOps 工具和程序集成，实现软件供应链中问题管理的自动化，并防止问题在软件开发生命周期 (SDLC) 中的传递。

Anchore 在 DevOps 进程的每个步骤中自动执行安全检查，提供优化的开发环境，使开发更简单、更快捷。

在以前的开发环境中，存在着安全对策需要时间且开发速度大幅减慢的问题，Anchore Enterprise 拥有多种功能，可以在几分钟内揭示并修复安全问题，而过去可能需要几天时间才能完成。

Anchore Enterprise 提供了一个优化的开发环境，不仅可以保护软件供应链免受安全风险的侵害，还能更简洁、更快速地进行开发。Anchore Enterprise 使用高忠诚度的SBOM持续可视化开源依赖，能够准确识别潜在的漏洞、恶意软件和配置错误等问题。通过灵活的控制策略，用户可以专注于关键问题，并确保符合行业标准。

1　源

扫描源代码并生成所使用依赖的 SBOM。

在构建之前评估源代码漏洞并自动检查 SOC 2 和 HIPAA 合规性。

2　构筑

作为CI作业的一部分集成，在CI运行器上扫描构建并执行策略评估。每次构建生成时，都会检查合规性和漏洞，防止不安全的构建被转移到工件注册表中。

3　分期

持续扫描指定的库，检查内容的更改和安全问题。无需重新扫描内容即可评估新漏洞的影响。

搜索与Zero-Day 攻击相关的内容（例如：Log4shell）。

4　部署

准入控制器会回调Anchore，确保只有安全的内容被部署。

那些在CI或注册表阶段未经过扫描的不安全内容将不会被投入到生产环境中

5　实施

在 Kubernetes 上运行的镜像清单会不断生成并发送到 Anchore。 可视化生产过程中的漏洞。 对通过Zero-Day漏洞影响的集群和应用程序的分类提供支持。

全面覆盖的软件供应链安全性

在软件供应链的各个阶段（如源代码库、CI/CD 流水、容器注册和运行环境）扫描并分析安全风险。

多重依赖性检测

解决直接和传递的开源依赖关系的许可问题，包括存档文件与嵌套关系。 这有助于确保重要的漏洞不会被忽视。

高忠诚度的SBOM

由于包含了各个组件的广泛元数据，Anchore Enterprise 能够精准地识别特定发行版的漏洞，并减少误检。

SBOM漂移检测

跟踪构建的 SBOM 更改，警告安全人员新的依赖项出现、受损的软件许可证或试图侵入构建的恶意尝试所引发的意外变化。

误报管理

通过识别要修复的漏洞、创建容忍列表和修复误报来减少不必要的工作

部署后漏洞监控

持续分析软件应用程序的 SBOM，以立即识别新出现的漏洞和Zero-Day攻击的影响。

100% 的 API 覆盖率和构建的集成

轻松集成源代码存储库、发行系统、CI/CD 流水线、容器注册表和容器运行环境，为开发者提供易于使用的环境。

自动修复建议和工作流程

可以共享修复信息，创建一个安全人员和开发人员可以更紧密地合作以快速修复问题的环境。

灵活的政策

可以灵活地设置策略规则，根据 SBOM 和安全问题获得的元数据，调整开发过程和部署过程中的通知和策略门控。

即用型策略包

部署后立即使用，自动化流程以符合 CIS、Docker BenChmarks、NIST、FedRAMP、HIPAA、PCI DSS、CISA、DISA 等。

简单易用的报告功能

简单易用的报告功能使开发人员和安全专业人员能够评估安全问题的状态、明确问题并共享进展。

报告・审查

策略实施・遵守

策略包/自定义策略/通知/策略门

安全检查・修复

漏洞/恶意软件/密码破解/机密

SBOM管理

SBOM生成/存储/分析/监控

Anchore 是软件安全供应链领域的领导者。Anchore 的技术可以在软件开发过程的各个阶段无缝地集成持续的安全性和合规性检查，从而防止安全风险在生产环境中出现。