编者按：本次 Apache Log4j2 开源依赖包漏洞为所有人敲响警钟，企业的代码作为最重要的数字资产之一，很可能正面临着各种安全风险。
企业和开发者在解决开源依赖包漏洞问题的同时，还需要考虑如何更全面地保障自己的代码数据安全。那么有哪些安全问题值得我们关注呢？
第一种，编码中自引入风险漏洞
例如：
• 源码编码安全策略问题，如弱加密函数、不安全SSL、Json注入、LDAP操纵、跨站点请求伪造等；
• 敏感信息如 Token、密码等明文泄露
• 引入不安全的二方、三方依赖包
第二种，代码数据丢失或泄漏
如员工恶意或手误删除代码数据、非核心技术人访问权限不明导致核心数据泄露等。
第三种，来自外部黑客攻击
如存在基础设施、组件漏洞导致的被攻击损失。
在如此危机四伏的环境下，云效代码管理平台 Codeup 如何保障企业代码资产安全？
开箱即用的代码检测服务，保障编码环节代码安全
云效 Codeup 为开发者提供了内置的代码安全检测服务：包括依赖包漏洞检测、敏感信息检测、源码漏洞检测。
开发者可以通过「源码漏洞检测」和「敏感信息检测」识别源码编程中的策略漏洞和隐私泄露问题，通过「依赖包漏洞检测」为每次代码变更引入的三方依赖软件包进行充分的安全检查，并在企业级安全中心和代码库安全页面进行风险数字化管理。除了云效Codeup开箱即用的内置检测服务，开发者也可以简单快捷地在云效Flow流水线平台上灵活对接更多自定义的检测场景。
代码检测
企业安全中心
完善事前监测、事中告警、事后审计能力，保障人员行为安全
除了编码层面的风险外，人为的因素也需要关注。
Codeup 为企业提供了一系列人员行为管控能力，覆盖敏感行为检测、安全告警和行为日志分析审计等能力，帮助企业更好的在云上管理人员研发协作过程。
「敏感行为检测」基于企业成员的操作行为进行智能分析，针对成员异常的举动触发警告通知，帮助管理者识别风险并及时处理。
敏感行为监测
「安全告警」与「审计日志」对危险事件进行通知与记录，辅助审计追责与行为分析。
日志审计分析
「代码资源回收站」是解决删库跑路的一个方案，支持删除代码资源时将数据自动移入回收站暂存 15 天，无论是恶意删除还是手误反悔，管理者都可以在回收站有效期内一键恢复代码资源，避免因人为因素导致的珍贵资产丢失。
代码回收站
云端代码托管保护
代码数据存在云端是否安全？
云效代码托管平台 Codeup 基于阿里云的基础设施，拥有阿里云完备的高防保护能力；同时通过代码加密技术，支持在服务端上对代码数据进行加密，保证除了企业自身，任何人包括平台人员与黑客均无法获取代码信息；在数据备份方面，支持企业自主将数据备份至企业指定的对象存储空间，让数据更可控。
云效 Codeup 提供的安全能力还有很多，在访问安全、数据可信、审计风控、存储安全等角度全方位保障企业代码资产安全，如果你开始重视安全这件事，不妨立即前往云效 Codeup 开始探索。
云效代码托管安全服务概览
参考阅读：
Apache Log4j2 丨阿里云「流量+应用+主机」三重检测防护指南
关于我们
了解更多关于云效DevOps的最新动态，可微信搜索关注【云效】公众号；
彩蛋：公众号后台回复【安全】，可查看《云效产品安全白皮书》
看完觉得对您有所帮助别忘记点赞、收藏和关注呦；