从传统到安全：Ivanti Connect Secure
最后更新：2025年7月24日
Mike Riemer
安全
关键要点
- Ivanti Connect Secure的关键里程碑：Connect Secure 22.8的发布标志着我们在"安全设计"之旅中的关键时刻，它将传统产品转变为前瞻性解决方案。
- 开发中的集成安全：Ivanti从仅在开发结束时进行安全测试转变为在每个阶段嵌入安全检查，培养工程师在安全编码方面的自豪感和精通度。
- 以对手为中心的功能规划：产品管理团队现在不仅评估新功能的客户功能，还评估恶意行为者可能滥用的情况，将安全考虑嵌入每个决策中。
正文
当我于2024年10月接手领导Ivanti的网络安全管理组（NSG）时，这对我来说有点像回家。你看，我在转移到Ivanti的其他职责之前，花了近二十年时间监督这些产品的开发。NSG负责构建和维护Ivanti Connect Secure、Policy Secure和Neurons for ZTNA等解决方案。因此，当我重新领导这个团队时，我已经了解了这些产品、它们的历史，以及依赖它们提供的连接性和安全性的客户最关心什么。
因此，我比大多数人更欣赏我们所取得的重大进展。2024年4月，我们承诺将"安全设计"嵌入我们组织的DNA中。由于这项工作的性质，它主要在内部执行，没有大张旗鼓。今天，随着Ivanti Connect Secure 22.8的发布，我将揭开帷幕，向您展示其中的一些实际操作，并分享由Ivanti团队辛勤工作和奉献精神实现的一系列重要成果。
建立和执行安全文化
多年来整个行业使用的标准SDLC流程是在开发生命周期结束时，即测试阶段进行安全测试。产品或功能在考虑任何安全问题之前会经历规划、设计和开发。这种方法在整个行业的许多开发团队中仍然普遍存在。
Ivanti采用的新安全软件开发框架是"安全设计"的核心，它将安全集成到开发生命周期的每个阶段，从规划阶段开始，并在沿途的每个其他阶段进行。实施这项工作需要大量努力，我相信Ivanti是当今少数在整个框架中全面发力的公司之一。
起初，工程团队对这种流程变化最初持抵制态度，并担心这会增加他们的工作量。但我在内部团队中看到的一个顿悟时刻是，当他们创建的代码在每个安全检查点都干净返回时，他们感到的自豪感。这已成为团队的友好挑战、一种自豪感，以及掌握安全编码实践的强大工具。
从对手的角度审视功能
产品管理历来优先考虑客户的功能功能，安全在构建后才被考虑。虽然优化功能的功能仍然很重要，但现在在规划新功能时，我们不仅从客户如何使用它的角度看待它，还花费同等的时间研究恶意行为者可能如何滥用它进行潜在威胁活动。
这种思维转变自然地将安全贯穿于产品的整个开发周期，并锚定我们做出的每一个决策。
最小化攻击面
我们对Ivanti Connect Secure的安全加固采取了双管齐下的方法。我们的第一个重点是实施有针对性的更新（称为点修复），以降低风险并消除当前市场产品版本中的技术债务。当一个产品有几十年历史时，它会积累技术债务，我们正在作为主动维护的一部分来解决这些问题，以确保客户依赖的产品保持安全。
我们知道，我们对代码审查和透明发布CVE和修复程序的承诺引起了一些负面关注。尽管如此，我们继续选择优先考虑安全，并且对我们已经加强和改进的领域感到非常自豪。需要明确的是，虽然严格检查意味着CVE的增加，但这并不表示产品存在弱点，而是表明我们对该产品进行了严格审查。
除了这些点修复之外，团队大部分时间都在致力于重新架构产品。这是一项艰苦、耗时的工作，我们今天发布了最新版本。我们知道这些努力确保我们的解决方案得到保护，并根据客户的需求进行优化。
介绍Ivanti Connect Secure 22.8
安全是一段旅程，今天我们在道路上达成了一个关键里程碑，但我们不会停歇。如果Ivanti Connect Secure是一所房子，那么我们一直专注于安装窗户栏杆、加固前后门、升级警报系统，并确保屋顶没有任何漏洞。您可以在此处阅读有关此新版本和重要安全增强功能的更多信息。
因为这是一段旅程，这意味着我们致力于长期投入。网络环境不断演变，我们也将如此。回到我将Connect Secure比作房子的类比——接下来我们将专注于升级橱柜、修复书桌抽屉的锁以及更换绝缘材料。实际上，我们正在仔细研究如何增加产品中内存安全语言的使用，为设备的安全添加更多层次，并考虑以安全的方式为客户添加哪些功能。
Connect Secure 22.8的发布标志着我们"安全设计"之旅的关键时刻，它将传统产品转变为前瞻性解决方案。虽然我们永远无法预测未来，但我们可以通过今天的行动来影响它。这就是Ivanti在向客户和行业承诺我们将"安全设计"时所签署的承诺。
关于Mike Riemer
Mike拥有超过37年的IT和IT安全经验。他的专业知识包括远程访问安全、网络访问控制、安全评估、渗透测试、安全意识计划开发、桌面支持服务、项目管理、计算机操作指导、目录服务管理、业务连续性规划和合规性。 Mike领导网络安全管理产品组，领导产品管理和软件开发团队。他负责网络安全管理组产品组合的整体产品战略和交付成果。