關於 scm 管理 平台 ，我們在網路上蒐集到這些相關的討論、資訊與評價

Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html

今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架，該框架名為 SLSA，全名則是 Supply Chain Levels for Software Artifacts，中文部分我不知道該怎麼翻譯才可以精準達到意思，所以建議就唸英文就好了。

該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。

文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。

Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼，並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變，所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼，產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用

文章認為上述的流程中有兩個不同類別的安全性問題，分別是
1. Source Integrity
2. Build Integrity.

Source Integrity 這邊主要是針對 Source Code 相關的問題，譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit

而 Build Integrity 本身則是有更多不同的面向，譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件，攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件，攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等

目前來說， SLSA 還處於非常早期階段，經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物，並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。

對 SLSA 這個專案有興趣看看的請參考原始連結，內容不長但是頗有趣的

北美、西歐、亞太區十大雲端採用趨勢

作者 : IDC
2021-01-25

北美和亞太地區有超過40%的企業客戶將在2021年大幅增加其在雲端運算上的支出，歐洲則僅有27%。IDC預期關注營運敏捷靈活的企業將逐步適應由疫情引起的危機，並將更多的工作負載轉移到雲中。

根據市場研究機構國際數據資訊(IDC)的Cloud Pulse 2020企業調查結果，北美、西歐和亞太區有以下十大雲端採用發展趨勢及差異：

2021年雲端投資將顯著增加

北美和亞太地區有超過40%的企業客戶將在2021年大幅增加其在雲端運算上的支出，歐洲則僅有27%。IDC預期關注營運敏捷靈活的企業將逐步適應由疫情引起的危機，並將更多的工作負載轉移到雲中。

多雲架構將是趨勢

從區域的角度來看，美國在採用多雲服務的市場領先性最高，這與Amazon Web Services (AWS)、Microsoft、Google，IBM等雲端服務先驅與創新者都是美國公司有關。相對於美國，亞洲和歐洲在採用多雲架構方面相對保守，但在未來五年中，將經歷巨大的變革。歐洲雲端平台(GAIA-X)計畫有可能會改變遊戲規則、刺激雲生態系統和採用多雲架構。

AI/ML將大量用於雲端營運

隨著多雲的普及成為主流，企業需要先進的工具來監控、管理和保護所有雲端資源(虛擬機、容器、應用程式、儲存、網路等)。在檢測入侵、攻擊和入侵方面，AI/ML遠遠優於傳統方法。未來雲端運算及雲端部屬維運等工作將朝向AIOps發展。以區域別的角度來看，目前，北美和亞洲使用人工智慧進行雲端運算的比例是歐洲的兩倍。

雲端基礎架構及資安將是雲端運算主要投資方向

根據IDC調查，北美有關雲端運算的前三大投資方向，分別是於雲端管理、企業應用和安全性。歐洲的雲端投資重點則會聚焦在雲端基礎架構、安全性和人員培訓。亞太地區的雲端服務投資則與美國相似，安全性、企業應用與雲端基礎架構是最重要的三大投資方向。

企業轉型與雲密不可分

未來五年，企業將透過雲端服務實踐數位轉型。亞洲十分看好業務轉型(BX)和IT轉型(ITX)，積極以5G、人工智慧、區塊鏈、金融科技、數位貨幣、機器人技術、物聯網、自動駕駛車輛、智慧城市和量子運算等新興技術予以實踐；歐洲則較為落後美國及亞洲。根據IDC調查，北美、歐洲與亞洲在未來五年計畫透過數位轉型顛覆產業遊戲規則的比例分別是46%、28%與70%，顯見亞洲企業在數位轉型的積極程度。

企業將更大膽創新

與歐洲的企業用戶相比，北美和亞洲的企業都更願意冒險並採用新興、甚至且未經測試的新技術。這種勇敢的態度將有助於其刺激創新、創建新的數位戰略、建立韌性跟擴大市佔，對未來的企業轉型扮演關鍵推動角色。

應用程式間的互通將消除訊息孤島

各區域企業皆認為，未來企業的應用程式將更互通與依賴，這種講求互通的應用程式將消除企業內的應用孤島問題，從而提升效率。應用程序之間的無縫交互也將消弭數據孤島問題，讓企業可以更具洞見的方式擬定發展策略規劃、改善客戶體驗與優化業務流程。此外，未來的應用程式都是雲端原生服務、朝模組化發展，可以標準的應用程式介面(API)相互溝通。

在雲端環境開發、佈署與維運應用程式

33%的北美企業會在雲端環境中開發、佈署與維運應用程序，其次是亞洲與歐洲。歐洲的佔比只有21%，這與歐洲的法規規範等議題有關，不過，這不代表全然無機會，可以從整體持有成本(TCO)與投資報酬率(ROI)等角度向企業展示雲端服務有利於優化營運成本，落實安全管理，從而鼓勵企業上雲。

未來兩年最關鍵的工作負載：CRM、ERM、Big data跟SCM

未來兩年，雲端服務上的關鍵工作負載是什麼？在北美、歐洲和亞洲，顧客關係管理(CRM)和企業資源規劃管理(ERM)同時佔據第一名和第二名。歐洲和亞洲的第三名集中在大數據，北美地區位居第三的工作負載是供應鏈管理(SCM)。

僅採用公有雲服務的市場策略

基於法規、隱私權與公司治理等考量，歐洲企業僅採用公有雲服務的可能性較北美與亞洲兩個區域為低、僅10%，因此，雲端服務供應商必須能因應客戶需求提供更好的私有雲服務，以兩全其美的方式，滿足企業對安全、合規與公有雲服務的需求。

IDC台灣企業應用研究經理蔡宜秀總結：「上雲是必然趨勢，台灣也不例外，因應法規、隱私、安全、投資效益等考量，未來兩年，台灣企業將以多雲架構為基礎，預估台灣將有30%的企業會將應用程式佈署在支援容器化技術的多雲環境，藉此提升資訊系統架構的佈署與管理彈性，更好的支持企業營運業務。」

資料來源：https://www.eettaiwan.com/20210125nt-cloud-pulse-2020-idc/

IDC點明雲端採用十大趨勢 未來五年將經歷巨大變革

【CTIMES/SmartAuto 編輯部 報導】 2021年01月20日 星期三

北美、西歐和亞太區，是全球科技發展的重點區域。國際數據資訊（IDC）Cloud Pulse 2020企業調查研究，鎖定這些區域，歸納出採用雲端的十大發展趨勢，並解析其中差異。

IDC台灣企業應用研究經理蔡宜秀表示：「上雲是必然趨勢，台灣也不例外，因應法規、隱私、安全、投資效益等考量，未來兩年，台灣企業將以多雲架構為基礎，預估台灣將有30%的企業會將應用程式佈署在支援容器化技術的多雲環境，藉此提升資訊系統架構的佈署與管理彈性，更好的支持企業營運業務。」

2021年雲端投資將顯著增加

北美和亞太地區有超過40％的企業客戶將在2021年大幅增加其在雲端運算上的支出，歐洲則僅有27％。IDC預期關注營運敏捷靈活的企業將逐步適應由疫情引起的危機，並將更多的工作負載轉移到雲中。

多雲架構將是趨勢

從區域的角度來看，美國在採用多雲服務的市場領先性最高，這與Amazon Web Services、Microsoft、Google、IBM等雲端服務先區與創新者都是美國公司有關。相對於美國，亞洲和歐洲在採用多雲架構方面相對保守，但在未來五年中，將經歷巨大的變革。歐洲雲端平台（GAIA-X）計畫有可能會改變遊戲規則、刺激雲生態系統和採用多雲架構。

AI/ML將大量用於雲營運

隨著多雲的普及成為主流，企業需要先進的工具來監控、管理和保護所有雲端資源（虛擬機、容器、應用程序、儲存、網路等）。在檢測入侵、攻擊和入侵方面，AI/ML遠遠優於傳統方法。未來雲端運算及雲端部屬維運等工作將朝向AIOps發展。以區域別的角度來看，目前，北美和亞洲使用人工智慧進行雲端運算的比例是歐洲的兩倍。

雲端基礎架構及資安，將是雲端運算主要投資方向

根據IDC調查，北美有關雲端運算的前三大投資方向，分別是於雲端管理、企業應用和安全性。歐洲的雲端投資重點則會聚焦在雲端基礎架構、安全性和人員培訓。亞太地區的雲端服務投資則與美國相似，安全性、企業應用與雲端基礎架構是最重要的三大投資方向。

企業轉型與雲密不可分

未來五年，企業將透過雲端服務實踐數位轉型。亞洲十分看好業務轉型（BX）和IT轉型（ITX），積極以5G，人工智慧，區塊鏈，金融科技，數位貨幣，機器人技術，物聯網，自動駕駛汽車，智慧城市和量子計算等新興技術予以實踐。歐洲則較為落後美國及亞洲。根據IDC調查數據，北美、歐洲與亞洲在未來五年計畫透過數位轉型顛覆產業遊戲規則的比例分別是46％、28％與70％，顯見亞洲企業在數位轉型的積極程度。

企業將更大膽創新

與歐洲的企業用戶相比，北美和亞洲的企業都更願意冒險並採用新興、甚至且未經測試的新技術。這種勇敢的態度將有助於其刺激創新、創建新的數位戰略、建立韌性跟擴大市佔，對未來的企業轉型扮演關鍵推動角色。

應用程式間的交互將消除訊息孤島

各區域企業皆認為，未來企業的應用程式將更互通與依賴，這種講求互通的應用程序將消除企業內的應用孤島問題，從而提升效率。應用程序之間的無縫交互也將消彌數據孤島問題，讓企業可以更具洞見的方式擬定發展策略規劃、改善客戶體驗與優化業務流程。此外，未來的應用程式都是雲端原生服務、朝模組化發展，可以標準的應用程式介面（API）相互溝通。

在雲端環境開發、佈署與維運應用程序

33%的北美企業會在雲端環境中開發、佈署與維運應用程序，其次是亞洲與歐洲。歐洲的佔比只有21%，這與歐洲的法規規範等議題有關，不過，這不代表全然無機會，可以從整體持有成本（TCO）與投資報酬率（ROI）等角度向企業展示雲端服務有利於優化營運成本，落實安全管理，從而鼓勵企業上雲。

未來兩年最關鍵的工作負載：CRM、ERM、Big data跟SCM

未來兩年，雲端服務上的關鍵工作負載是什麼？在北美、歐洲和亞洲，顧客關係管理（CRM）和企業資源規劃管理（ERM）同時佔據第一名和第二名。歐洲和亞洲的第三名集中在大數據，北美地區位居第三的工作負載是供應鏈管理（SCM）。

僅採用公有雲服務的市場策略

基於法規、隱私權與公司治理等考量，歐洲企業僅採用公有雲服務的可能性較北美與亞洲兩個區域為低、僅10%，因此，雲端服務供應商必須能因應客戶需求提供更好的私有雲服務，以兩全其美的方式，滿足企業對安全、合規與公有雲服務的需求。

資料來源：https://www.ctimes.com.tw/DispNews-tw.asp?O=HK51K8I23FESAA00N2