Red Hat voegt verbeterde beveiliging van open hybride cloudtechnologie

Red Hat, leverancier van open source-oplossingen, voegt nieuwe beveiligingsopties toe aan zijn open hybride cloudtechnologie. Daarmee beperken organisaties de beveiligingsrisico’s en voldoen ze beter aan compliance-eisen in de steeds complexere IT-omgevingen met clouddiensten, traditionele systemen en edge devices. De mogelijkheden minimaliseren complexiteit, versterken de beveiliging en maken DevSecOps toegankelijk.

Volgens het 2021 Global Tech Outlook-rapport van Red Hat beschouwt 45 procent van de respondenten IT-beveiliging als de hoogste prioriteit. Dit is echter geen statische aangelegenheid. Regelgevingscontroles, compliance-eisen en bedreigingsactoren veranderen bijna dagelijks, waardoor IT-beveiligingsteams constant alert moeten zijn. Red Hat richt zich al langere tijd actief op de beveiliging voor enterprise open source-oplossingen. Onder meer met Red Hat Enterprise Linux, waarin beveiliging een fundamenteel onderdeel is.

Beveiliging van de software supply chain

Applicatiebeveiliging is complex, zowel tijdens de ontwikkeling als gedurende de gehele levenscyclus. Vaak moeten meerdere componenten samenwerken. Red Hat introduceert een software supply chain security pattern om het implementeren van beveiligingsfuncties in het gehele build-, deploy- en run-proces te vereenvoudigen.
 
‘Patterns’ zijn beschikbaar via Red Hat OpenShift en leveren complete stacks als code. Deze code definieert, bouwt en valideert de benodigde softwareconfiguraties. Het software supply chain security pattern, als preview beschikbaar, brengt de benodigde componenten bij elkaar om cloud-native applicaties te bouwen op basis van vertrouwde componenten.

Kubernetes-native, continu geïntegreerde pipeline

Het pattern maakt gebruik van een Kubernetes-native, continu geïntegreerde pipeline via Red Hat OpenShift Pipelines en Red Hat OpenShift GitOps voor versiebeheer. Dit helpt om de complexiteit te verminderen en tijd te besparen. Daarnaast integreert het pattern via Tekton Chains met Sigstore, een open source-project om cryptografische signing van code toegankelijker te maken. Dit maakt het eenvoudiger om zelf artefacten in de pipeline te signen in plaats van na het creëren van de applicatie.
 
Verder bevat Red Hat Ansible Automation Platform 2.2 een technische preview van de Ansible-technologie voor het signen van content. Dit verbetert de beveiliging van de software supply chain doordat automatiseringsteams kunnen valideren of de automatiseringscontent in hun organisatie geverifieerd en vertrouwd is.

Application security lifecycle verbeteren

Naarmate organisaties overstappen op cloud-native architecturen, blijven hun kernbehoeften gericht op ‘hardened’ omgevingen, het verkleinen van hun aanvalsoppervlak en het snel detecteren van en reageren op bedreigingen. Applicaties die buiten traditionele IT-omgevingen worden uitgevoerd, zoals aan de edge, behoeven aanvullende beveiligingseisen. Deze maken de toch al complexe uitdaging nog groter.
 
Naast fysieke beveiligingseisen van edge-apparatuur zien CIO's en IT-besluitvormers vaker de noodzaak om de container-workloads die op deze apparatuur draaien te beschermen. Zo worden bijvoorbeeld strategieën en mogelijkheden geïmplementeerd om de verspreiding van potentiële aanvallen tussen edge-implementaties te voorkomen. Red Hat Advanced Cluster Security for Kubernetes biedt een kant-en-klare oplossing met mogelijkheden om edge-workloads te beschermen, waaronder:

• Geautomatiseerde DevSecOps in de CI/CD-pipeline om de software supply chain voor edge-omgevingen te helpen beschermen via kwetsbaarhedenbeheer, analyse van applicatieconfiguratie en CI/CD-integratie.
• Threat protection biedt mogelijkheden voor de detectie van (veelvoorkomende) bedreigingen en reactie op incidenten tijdens runtime.
• Netwerksegmentatie om workload-isolatie af te dwingen, containercommunicatie te analyseren en riskante netwerkcommunicatiepaden te detecteren

Geïntegreerde beveiliging begint bij het besturingssysteem

In de 2022 Gartner Board of Directors Survey classificeert 88 procent van de bestuursleden cybersecurity als een bedrijfsrisico. Slechts 12 procent noemt het in een onderzoek van Gartner een technologierisico. De brede gevolgen van een cyberaanval of datalek leiden tot een verhoogde controle van IT-omgevingen. Zowel door investeerders als regelgevende instanties. Het is daarom van cruciaal belang om IT-omgevingen beter te beschermen tegen potentieel schadelijke incidenten. Red Hat is van mening dat deze inspanning begint bij de basis: op het niveau van het besturingssysteem, in dit geval bij Red Hat Enterprise Linux.

Red Hat lanceerde onlangs Red Hat Enterprise Linux 9, waarin de beveiliging van het Linux-platform verder is versterkt. Red Hat Enterprise Linux 9 introduceert Integrity Measurement Architecture (IMA), digitale hashes en signatures. Hiermee verifiëren gebruikers de integriteit van het besturingssysteem met digitale handtekeningen en hashes. Dit helpt bij het detecteren van malafide wijzigingen in de infrastructuur, waardoor het makkelijker wordt om systemen te beschermen tegen beveiligingsinbraken.
 
Vincent Danen, vice president, Product Security, Red Hat: “IT-beveiliging is niet gebonden aan een bepaalde software-editie of een add-on module. Het moet worden ingebakken in elke technologie die een organisatie kiest. Dit begint bij de basis van het besturingssysteem tot op applicatieniveau. De versterkte beveiligingsmogelijkheden in het hybride cloudportfolio van Red Hat vereenvoudigen IT-operations met hoge beveiligingsniveaus, ongeacht waar een organisatie actief is. Dit bevestigt Red Hat’s inzet voor DevSecOps. Beveiliging is niet iets is dat wordt toegevoegd, maar moet een integraal onderdeel zijn van het verplaatsen van applicaties van development naar productie. Iets dat IT-teams helpt, zowel technisch als organisatorisch.”

Beschikbaarheid

Het software supply chain security pattern is naar verwachting in de zomer van 2022 beschikbaar. Red Hat Enterprise Linux 9 is de komende weken algemeen beschikbaar. Red Hat Advanced Cluster Security for Kubernetes is nu hier beschikbaar.