中國北京 – 2022年5月12日 — 世界領(lǐng)先的開源解決方案供應(yīng)商紅帽公司日前宣布，其開放混合云技術(shù)系列新增安全創(chuàng)新特性與功能。在由云服務(wù)、傳統(tǒng)系統(tǒng)和邊緣設(shè)備組成的日益復(fù)雜的IT環(huán)境中，這些增強功能將幫助企業(yè)降低風(fēng)險，并滿足合規(guī)要求，從而最大程度降低復(fù)雜性，同時幫助客戶改善安全狀況，并實現(xiàn)DevSecOps。
據(jù)紅帽的《2021年全球技術(shù)展望》報告指出，45%的受訪者將IT安全作為支出的首要領(lǐng)域。然而，IT安全并不是一種靜態(tài)需求，監(jiān)管控制、合規(guī)要求和威脅起源幾乎每天都在發(fā)生變化，要求IT安全團隊持續(xù)保持警惕。
紅帽長期以來一直是企業(yè)級開源解決方案安全方面的領(lǐng)導(dǎo)者，從紅帽企業(yè)Linux開始，公司就將安全視為一個基本組件，而非附加功能。KuppingerCole分析師最近在其容器安全領(lǐng)導(dǎo)指南中認(rèn)定紅帽為整體領(lǐng)導(dǎo)者，其評價為：“紅帽有龐大的市場占有率，在容器管理方面擁有久經(jīng)證實的專業(yè)知識，再加上最近對領(lǐng)先的容器安全公司StackRox的收購和整合，從而被公認(rèn)為是該領(lǐng)域的領(lǐng)導(dǎo)者。”
紅帽將繼續(xù)創(chuàng)新，涵蓋從本地到多云，再到邊緣的混合云環(huán)境的整個技術(shù)生命周期和軟件堆棧，以提高安全性。
加強軟件供應(yīng)鏈安全
在從開發(fā)開始的整個生命周期中，保護應(yīng)用的安全可能是一個復(fù)雜的過程，經(jīng)常需要多個組件的配合。為了幫助簡化在整個構(gòu)建、部署和運行過程中實施安全特性的過程，紅帽引入了一種軟件供應(yīng)鏈安全模式。
這種模式通過紅帽O(jiān)penShift交付，以代碼的形式提供了完整的堆棧，并定義、構(gòu)建和測試軟件配置。作為預(yù)覽版，軟件供應(yīng)鏈安全模式將整合必要的組件，以采用受信任的組件構(gòu)建云原生應(yīng)用。
該模式通過紅帽OpenShift管道和紅帽OpenShift GitOps使用Kubernetes原生、持續(xù)集成的管道進(jìn)行版本控制，這有助于降低復(fù)雜性并節(jié)省時間。此外，通過Tekton Chains，該模式將融合Sigstore – 這是一個開源項目，可以使代碼的加密簽名更易于訪問。該項目的加入使工件在管道中的簽名更加容易，而無需等到應(yīng)用創(chuàng)建之后。
此外，在紅帽Ansible 自動化平臺 2.2中，紅帽引入了Ansible內(nèi)容簽名技術(shù)的技術(shù)預(yù)覽。這項新功能支持自動化團隊驗證企業(yè)中正在執(zhí)行的自動化內(nèi)容是否得到驗證并且可信任，從而幫助實現(xiàn)軟件供應(yīng)鏈安全。
從數(shù)據(jù)中心到邊緣增強應(yīng)用安全生命周期
隨著企業(yè)采用云原生架構(gòu)，企業(yè)對于更強健的環(huán)境、更小的攻擊面，以及更快檢測和響應(yīng)威脅等核心需求依然存在。在傳統(tǒng)IT環(huán)境外部運行的應(yīng)用（包括邊緣）引入了進(jìn)一步的安全需求，進(jìn)一步加劇了這些本已很復(fù)雜的挑戰(zhàn)。
除了邊緣設(shè)備的物理安全要求外，CIO和IT決策者越來越需要保護這些設(shè)備上運行的容器工作負(fù)載。例如，他們需要實施不同的戰(zhàn)略和功能，以防止邊緣部署環(huán)境中的潛在攻擊或漏洞。紅帽Kubernetes高級集群安全為這些問題提供了可隨時部署的解決方案，其關(guān)鍵功能可保護邊緣工作負(fù)載，包括：
·自動化CI/CD管道中的DevSecOps通過漏洞管理、應(yīng)用配置分析和CI/CD集成，有助于保護邊緣環(huán)境的軟件供應(yīng)鏈
·威脅防護在運行時提供常見威脅的檢測和事件響應(yīng)能力
·網(wǎng)絡(luò)分段可進(jìn)行工作負(fù)載隔離，分析容器通信和檢測危險的網(wǎng)絡(luò)通信路徑
集成的安全性始于操作系統(tǒng)
據(jù)Gartner®在2022年進(jìn)行的董事會調(diào)研表明，88%的董事會成員將網(wǎng)絡(luò)安全列為商業(yè)風(fēng)險；僅12%的受訪者認(rèn)為這是技術(shù)風(fēng)險。[1]網(wǎng)絡(luò)攻擊或數(shù)據(jù)泄露的廣泛后果已導(dǎo)致投資者和監(jiān)管機構(gòu)加大對整個IT環(huán)境的審查力度。為防止這些潛在的破壞性事件，強化IT環(huán)境至關(guān)重要，因此，紅帽認(rèn)為，這項工作必須從基礎(chǔ)開始，從操作系統(tǒng)層面開始，從紅帽企業(yè)Linux開始。
紅帽企業(yè)Linux 9通過在RPM包中提供文件數(shù)字簽名，為操作系統(tǒng)和應(yīng)用程序文件的運行時完整性驗證奠定了基礎(chǔ)。該平臺在內(nèi)核級別使用完整性度量體系結(jié)構(gòu)(IMA)來驗證單個文件及其來源。IMA文件驗證特別有助于檢測對系統(tǒng)的意外和惡意修改，為安全團隊提供更多的補救能力，以解決潛在的問題或破壞。
紅帽企業(yè)Linux 9中的其他安全特性包括：
·默認(rèn)通過SSH禁用root登錄，增強了圍繞root權(quán)限的安全性。這有助于防止通過蠻力攻擊找到root密碼，提高運行環(huán)境的基線安全性。
·支持與OpenSSL 3集成的最新加密框架。這使得IT團隊能夠制定新的密碼來加密和保護敏感信息。
·通過禁用默認(rèn)數(shù)字簽名的SHA-1散列功能，增強了安全最佳實踐，提高了安全性。
此外，紅帽和IBM Research正在圍繞擴展Linux內(nèi)核的核心安全方面展開合作，例如通過支持簽名和驗證橢圓曲線數(shù)字簽名，以此擴展了所支持的算法，并縮減了整個Linux內(nèi)核中使用的數(shù)字簽名的大小。
上市時間
軟件供應(yīng)鏈安全模式預(yù)計將在未來幾個月推出。紅帽企業(yè) Linux 9將在未來幾周內(nèi)發(fā)布。 支持證言
Vincent Danen，紅帽產(chǎn)品安全副總裁
“IT安全與軟件版本或附加模塊無關(guān)；而是需要融入企業(yè)所選擇的任何技術(shù)中，涵蓋從操作系統(tǒng)基礎(chǔ)到應(yīng)用層面的方方面面。紅帽混合云產(chǎn)品組合中增強的安全功能幫助降低操作復(fù)雜度和提高安全性，無論企業(yè)在何處開展業(yè)務(wù)。紅帽對DevSecOps的承諾是使安全不再是固定的東西，而是在從開發(fā)階段到投入生產(chǎn)的整個過程中，而是貫穿移動應(yīng)用時的各個環(huán)節(jié)，在技術(shù)和組織層面幫助IT團隊。”
