从传统到安全：Ivanti Connect Secure
最后更新：2025年7月24日
作者：Mike Riemer
安全要点
- Ivanti Connect Secure的关键里程碑：Connect Secure 22.8的发布标志着我们“安全设计”之旅的关键时刻，它将传统产品转变为前瞻性解决方案。
- 开发中的集成安全：Ivanti从仅在开发结束时进行安全测试转变为在每个阶段嵌入安全检查，培养工程师在安全编码方面的自豪感和精通文化。
- 以对手为中心的功能规划：产品管理团队现在不仅评估新功能的客户功能性，还评估潜在恶意行为者的滥用可能性，将安全考虑嵌入每个决策。
当我于2024年10月接手领导Ivanti的网络安全组（NSG）时，这对我来说有点像回家。你看，我在Ivanti花了近二十年时间监督这些产品的开发，然后转向其他职责。NSG负责构建和维护Ivanti Connect Secure、Policy Secure和Neurons for ZTNA等解决方案。因此，当我回到领导这个团队时，我已经了解了这些产品、它们的历史，以及依赖它们提供的连接和安全性的客户最关心什么。
所以，我比大多数人更欣赏我们所取得的重大进展。2024年4月，我们承诺将“安全设计”嵌入组织的DNA中。由于这项工作的性质，它主要在内部执行，没有大张旗鼓。今天，随着Ivanti Connect Secure 22.8的发布，我将揭开帷幕，向您展示一些实际进展，并分享由Ivanti团队辛勤工作和奉献实现的若干重要成果。
构建和执行安全文化
行业多年来使用的标准SDLC流程是在开发生命周期结束时，即测试阶段进行安全测试。产品或功能会经过规划、设计和开发，然后才考虑安全问题。这种方法在行业中的许多开发团队中仍然普遍存在。
Ivanti采用的新安全软件开发框架是“安全设计”的核心，它将安全集成到开发生命周期的每个阶段，从规划阶段开始，并在每个其他阶段进行。实施这项工作需要大量努力，我相信Ivanti是当今少数在该框架下全面发力的公司之一。
起初，这一流程变更遇到了工程团队的初步抵制，他们担心这会增加更多工作。但我在内部团队中看到的一个顿悟时刻是，当他们创建的代码在每个安全检查点都干净返回时，他们感到自豪。这已成为团队的友好挑战、一种自豪感，以及掌握安全编码实践的强大工具。
从对手的角度看功能
产品管理历来优先考虑客户的功能性，安全在构建后才被考虑。虽然优化功能性的功能仍然重要，但现在我们在规划新功能时，不仅从客户如何使用它来看，还花同等时间研究恶意行为者可能如何滥用它进行潜在威胁活动。
这种思维转变自然地将安全贯穿产品的整个开发周期，并锚定我们做出的每个决策。
最小化攻击面
我们对Ivanti Connect Secure的安全加固采取了双管齐下的方法。我们的第一个重点是实施有针对性的更新（称为点修复），以降低风险并消除当前市场产品版本中的技术债务。当一个产品有几十年历史时，它会积累技术债务，我们正在作为主动维护的一部分来解决，以确保客户依赖的产品保持安全。
我们知道，对代码进行严格审查并透明发布CVE和修复的承诺导致了一些负面关注。尽管如此，我们继续选择优先考虑安全，并对我们加强和改进的领域感到非常自豪。明确地说，虽然严格检查意味着CVE的增加，但这并不表示产品薄弱，而是表明我们对产品进行了深入审查。
除了这些点修复，团队大部分时间都在重新架构产品。这是一项艰苦、耗时的工作，我们今天发布了最新版本。我们知道这些努力确保我们的解决方案受到保护，并针对客户需求进行了优化。
介绍Ivanti Connect Secure 22.8
安全是一段旅程，今天我们在道路上达到了一个关键里程碑，但我们没有休息。如果Ivanti Connect Secure是一所房子，那么我们一直专注于在窗户上安装栏杆，确保前后门安全，升级警报系统，并确保屋顶没有任何漏洞。您可以在这里阅读更多关于这个新版本和重要安全增强的信息。
因为这是一段旅程，这意味着我们致力于长期坚持。网络环境不断演变，我们也会如此。回到我将Connect Secure比作房子的类比——接下来我们将专注于升级橱柜，修复书桌抽屉的锁，并更换绝缘材料。在实践中，我们正在仔细研究如何增加产品中内存安全语言的使用，为设备安全添加层次，并考虑以安全的方式为客户功能添加哪些功能。
Connect Secure 22.8的发布标志着我们“安全设计”之旅的关键时刻，它将传统产品转变为前瞻性解决方案。虽然我们无法预测未来，但我们可以通过今天的行动影响它。这就是Ivanti在向客户和行业承诺“安全设计”时所签署的。
关于Mike Riemer
Mike拥有超过37年的IT和IT安全经验。他的专业知识包括远程访问安全、网络访问控制、安全评估、渗透测试、安全意识程序开发、桌面支持服务、项目管理、计算机操作指导、目录服务管理、业务连续性规划和合规性。
Mike领导网络安全产品组，负责产品管理和软件开发团队。他负责网络安全组产品组合的整体产品战略和交付。