Ivanti持续致力于增强产品安全的最新进展

2024年4月，Ivanti CEO发布了一封关于我们产品安全承诺的公开信。我们为取得的进展感到自豪，但众所周知，安全是一个持续改进的旅程。Ivanti致力于这一旅程，并在威胁形势不断演变的情况下保护我们的客户。

与其他开发网络安全和边缘产品的公司类似，我们的边缘产品已成为复杂威胁行为者攻击的目标和利用对象。虽然这些产品并非最终目标，但它们日益成为资源充足的国家级团体试图对极高价值组织进行间谍活动的途径。

我们对任何事件的回应都是从中学习，投资改进产品，并最终使我们的产品更难被复杂对手滥用。

最后重要的一点：我们继续从重要的安全行业伙伴关系中获益。通过与政府和安全行业伙伴密切合作，我们共同变得更强大、更安全。我们感谢合作者，并期待未来加倍努力。

加强产品安全并采用安全设计框架

专业安全资源：Ivanti安全团队由高技能的安全专家组成，支持Ivanti的整体安全，以及专注于我们解决方案安全的专门产品安全团队。该团队的规模在过去几年中增长了8倍以上，威胁专业知识也显著提升。

领先的第三方合作与工具：我们扩大了与领先安全和威胁情报专家的合作，并在开发过程中使用行业领先的静态和动态代码分析工具，以验证我们解决方案的安全性，并确保Ivanti开发人员遵守安全编码实践。

安全设计对齐：我们的开发过程包括在整个产品生命周期中实施强大的安全协议，包括严格的威胁建模、漏洞评估和安全措施，专门用于提高我们解决方案对当前和新兴威胁的韧性——更多细节可在我们的网站上找到。

产品安全优化：我们在Ivanti Neurons云平台上投入了大量资源，以减轻客户的安全负担，包括自动安全更新、开箱即用的MFA启用以及统一的基于角色的访问控制（RBAC）系统。

网络安全组增强：我们发展了负责开发Ivanti Connect Secure的网络安全组，包括其重点、规模和产品领导力。自10月起，该组由Michael Riemer领导——他是一位行业资深人士和网络安全专家，对该产品线有深入了解。在Michael的领导下，我们增加了内部工程资源，并聘用了额外的专业合同资源，这些资源在整个网络安全行业需求很高。

优先考虑Ivanti Connect Secure（ICS）的产品安全增强：我们优先考虑了ICS的产品安全增强。这包括我们新的25.x版本，该版本升级到Oracle Linux OS，将于2025年下半年完成。我们还在我们的网络安全产品中进行了其他重大安全增强，例如带有TPM密钥管理的安全启动、非根权限访问控制、现代化的Web服务和WAF组件。

完整性检查器工具（ICT）的增强：自2021年推出以来，ICT一直是识别威胁行为者活动的有效工具，是Ivanti对我们解决方案主动安全承诺的典范。该工具帮助了我们的取证工作，并在1月8日披露的漏洞案例中，在同一天提醒客户威胁行为者活动。这使我们能够迅速响应并开发修复方案。

提升我们的漏洞管理程序

漏洞识别：我们增强了内部扫描、手动利用和测试能力，加强了与安全生态系统的合作和信息共享，并进一步改进了我们的负责任披露过程，包括成为CVE编号机构。虽然这自然且有意增加了漏洞披露（以及随之而来的媒体报道），但这并不表示风险增加；相反，它展示了我们对透明度的承诺以及超越行业标准。

为现场安全产品部署提供增强支持

平台升级：我们正在与客户合作，加速客户从生命周期结束的解决方案迁移，包括消除阻碍采用我们最先进和安全解决方案的障碍——无论是合同、技术还是财务障碍。与客户一起，我们正在朝着全面迁移到我们最新解决方案的方向取得重大进展。

本地安全支持：对于需要本地解决方案的客户，我们系统地改进了产品文档，并提供最佳实践，以装备他们必要的工具和知识，在其独特的操作环境中导航和缓解安全挑战。

与客户和社区共享信息

信息共享与透明度：我们积极参与活动，并创建了多个与客户对话的论坛，这加深了我们对不断变化需求的理解，并使我们能够分享关键见解和经验教训。我们已正式制定了一个战略计划，在整个客户生命周期中收集反馈，确保持续反馈循环，以确保持续与客户需求对齐。