JFrog x射线:概述(2020+)

课程描述:25分钟

在这个简短的在线课程中，我们将概述JFrog Xray DevSecOps工具，它的架构和配套组件，以增强DevOps自动化，充分承诺DevSecOps的见解和能力。我们还将向您展示Xray DevSecOps工具如何在DevOps周期的每个步骤中跟踪易受攻击的组件和管理OSS(开放源码软件)许可证遵从性

Xray与JFrog Artifactory合作，分析二进制文件的整个生命周期，从构建过程中第一次包含在源代码中开始，一直到生产环境。使用Artifactory，开发人员可以自动化构建过程，而使用Xray，开发人员和安全分析师可以扫描二进制文件，以查找已知的安全漏洞和OSS许可证遵从性。扫描包括可能导致漏洞和未来问题的第三方库和外部组件。本课程将介绍构建文件的功能和分析，为DevOps团队的安全部署做好准备。

本课程向对Xray感兴趣的开发人员展示了它可以为软件开发生命周期(SDLC)做些什么。该课程介绍了DevSecOps培训和要领，并将演示Xray如何帮助将安全性集成到当前的DevOps自动化管道中。学生还将学习对二进制文件进行深度扫描和影响分析的好处。由于Artifactory可以很好地与x射线一起工作，如果学生已经熟悉Artifactory的使用和CI/CD管道中的二进制存储库，它将帮助学生理解课程材料，但这不是必要的。

我们要讲的内容

• 首先介绍x射线及其在DevSecOps中的使用
• 探索Xray架构以及它如何与DevOps集成
• 探索在开发和SDLC中有用的x射线组件

谁应该参加DevSecOps课程?

任何初次接触JFrog Xray的Xray管理员、Artifactory管理员、应用安全工程师、DevSecOps和DevOps工程师都将从本课程中受益。它将指导学生如何测试漏洞对于稳定可靠的系统是必要的，以及在专业人员将二进制文件部署到生产之前扫描问题的重要性。任何DevOps经理或开发人员，如果想要更好地保护他们的软件，并找到方法来构建没有漏洞和错误问题的代码，也将从这门课程中受益。

课程完成

为了完成课程，你必须正确回答至少70%的测试问题。

其他免费在线DevSecOps课程可在JFrog Academy:
JFrog x射线:权限管理(2020+)
JFrog x射线:政策与手表(2020+)
JFrog x光扫描(2020+)

软件不是扁平的。它构建在一系列目录中，所有目录都堆叠在彼此之上。你可以有一个java库嵌入到JAR中，嵌入到Docker容器中。作为组件的全自动扫描服务，Xray请求二进制文件并在每个封装级别递归地提取它们。Xray与JFrog Artifactory以共生的方式工作，它具有将任何数量的数据提要与Artifactory中存储的详尽元数据相结合的独特优势。所以即使你把JAVA库嵌入到JAR中，嵌入到Docker容器中，这也没关系。x射线是一个通用的工具，它知道如何打开这些包，发现里面是什么。组件是递归索引的，所以当它应用于单个包时，您可以看到所有级别的封装。Xray在其扫描中使用了来自多个供应商的安全漏洞数据。它不断地根据最新的已知安全信息重新评估您的工件，甚至在初始扫描之后。 As in, all the time. Here’s what that looks like: Imagine Xray discovered a runtime bug in one of the NPM packages running inside a Docker Container in one of the production environments of one of the projects inside your organization. Did you see all of those layers? NPM packages... that live inside a Docker Container... that are deployed to a production environment... for one of your projects. Wouldn't it be useful if your colleagues working on other projects also knew about all the components affected by this bug? Once Xray is connected to your Artifactory instances and running inside different projects and organizations across your company, it builds a component graph. It then runs an impact analysis on all the components that can be affected by the single component in question. You could know right away about the vulnerability, its potential impact, and a complete map of all affected components. You could address the issue so quickly that it would almost be like it never existed. Having these issues brought to your attention instead of having to look for them, will help you to deploy better and remediate more effectively.