Red Hat、ソフトウェアサプライチェーンからエッジまでのセキュリティを強化する新機能をリリース

オープンソース ソリューションの世界的大手プロバイダーである Red Hat は最近、オープン ハイブリッド クラウド テクノロジー ポートフォリオ向けの新しいセキュリティ イノベーションと機能を発表しました。クラウド サービス、従来のシステム、エッジ デバイスで構成される、ますます複雑化する IT 環境において、これらの機能強化により、企業はリスクを軽減し、コンプライアンス要件を満たし、複雑さを最小限に抑えながら、顧客のセキュリティ体制を改善し、DevSecOps を実現できるようになります。

Red Hat の 2021 年グローバル テクノロジー アウトルック レポートによると、回答者の 45% が IT セキュリティを支出の主要分野として挙げています。ただし、IT セキュリティは静的な要件ではなく、規制管理、コンプライアンス要件、脅威ベクトルはほぼ毎日変化するため、IT セキュリティ チームは常に警戒を怠らないようにする必要があります。

Red Hat は長年、エンタープライズクラスのオープンソース ソリューションのセキュリティのリーダーであり、Red Hat Enterprise Linux 以降、セキュリティをアドオン機能ではなく基本的なコンポーネントとして捉えてきました。 KuppingerCole のアナリストは最近、同社の Container Security Leadership Guide で Red Hat を総合リーダーとして認め、「Red Hat の大きな市場プレゼンス、コンテナ管理における実績ある専門知識、そして大手コンテナ セキュリティ企業 StackRox の最近の買収と統合により、同社はこの分野のリーダーとして認められた」とコメントしています。

Red Hat は、オンプレミスからマルチクラウド、エッジに至るまで、ハイブリッドクラウド環境のテクノロジーライフサイクルとソフトウェアスタック全体にわたってイノベーションを続け、セキュリティを強化していきます。

ソフトウェアサプライチェーンのセキュリティ強化

開発から始まり、ライフサイクル全体にわたってアプリケーションを保護することは、多くの場合、複数のコンポーネントの調整を必要とする複雑なプロセスになる可能性があります。ビルド、デプロイ、実行プロセス全体にわたってセキュリティ機能を実装するプロセスを簡素化するために、Red Hat はソフトウェア サプライ チェーン セキュリティ モデルを導入しました。

Red Hat OpenShift を通じて提供されるこのモデルは、完全なスタックをコードとして提供し、ソフトウェア構成を定義、構築、テストします。プレビューとして利用可能なソフトウェア サプライ チェーン セキュリティ モデルは、信頼できるコンポーネントを使用してクラウド ネイティブ アプリケーションを構築するために必要なコンポーネントをまとめます。

このパターンでは、Red Hat OpenShift Pipelines と Red Hat OpenShift GitOps を通じてバージョン管理に Kubernetes ネイティブの継続的インテグレーション パイプラインを使用し、複雑さを軽減して時間を節約します。さらに、Tekton Chains を通じて、コードの暗号署名へのアクセスを容易にするオープンソース プロジェクトである Sigstore がモデルに組み込まれます。このプロジェクトの追加により、アプリケーションが作成されるまで待たずに、パイプライン内の成果物に署名することが容易になります。

さらに、Red Hat Ansible Automation Platform 2.2 では、Red Hat は Ansible コンテンツ署名テクノロジーのテクノロジー プレビューを導入しました。この新しい機能により、自動化チームは企業内で実行されている自動化コンテンツが検証済みで信頼できるかどうかを確認できるようになり、ソフトウェア サプライ チェーンのセキュリティを実現できます。

データセンターからエッジまでのアプリケーションセキュリティライフサイクルを強化

企業がクラウドネイティブ アーキテクチャを採用するにつれて、より堅牢な環境、より小さな攻撃対象領域、脅威のより迅速な検出と対応に対する中核的なニーズは依然として残ります。エッジを含む従来の IT 環境外で実行されるアプリケーションは、さらなるセキュリティ要件を導入し、すでに複雑な課題をさらに悪化させます。

エッジ デバイスの物理的なセキュリティ要件に加えて、CIO と IT 意思決定者は、これらのデバイス上で実行されるコンテナ ワークロードを保護する必要性が高まっています。たとえば、エッジ展開環境での潜在的な攻撃や脆弱性を防ぐために、さまざまな戦略と機能を実装する必要があります。 Red Hat Advanced Cluster Security for Kubernetes は、エッジ ワークロードを保護するための主要な機能を備え、これらの問題に対するすぐに導入できるソリューションを提供します。

自動化されたCI/CDパイプラインのDevSecOpsは、脆弱性管理、アプリケーション構成分析、CI/CD統合を通じてエッジでのソフトウェアサプライチェーンの保護に役立ちます。

脅威保護は、実行時に一般的な脅威を検出し、インシデント対応できる機能を提供します。

ネットワークセグメンテーションにより、ワークロードの分離、コンテナ通信の分析、危険なネットワーク通信パスの検出が可能になります。

統合セキュリティはオペレーティングシステムから始まります

2022 年の Gartner® 取締役会調査によると、取締役の 88% がサイバーセキュリティをビジネスリスクとしてランク付けしています。回答者のわずか12%がそれを技術的なリスクだと考えています。サイバー攻撃やデータ侵害の影響が広範囲に及ぶため、投資家や規制当局による IT 環境全体に対する監視が強化されています。こうした壊滅的な事態を防ぐためには、IT 環境を強化することが重要であり、Red Hat は、この取り組みは Red Hat Enterprise Linux をはじめとするオペレーティング システム レベルの基礎から始める必要があると考えています。

Red Hat Enterprise Linux 9 は、RPM パッケージ内のファイルにデジタル署名を提供することで、オペレーティング システムおよびアプリケーション ファイルの実行時の整合性検証の基盤を築きます。このプラットフォームは、カーネル レベルで Integrity Measurement Architecture (IMA) を使用して、個々のファイルとその出所を検証します。 IMA ファイルの検証は、システムに対する偶発的または悪意のある変更を検出するのに特に役立ち、セキュリティ チームに潜在的な問題や侵害に対処するためのより多くの修復機能を提供します。

Red Hat Enterprise Linux 9 のその他のセキュリティ機能は次のとおりです。

SSH 経由のルート ログインはデフォルトで無効になっており、ルート権限に関するセキュリティが強化されています。これにより、ブルート フォース攻撃によるルート パスワードの検出を防ぎ、環境のベースライン セキュリティが向上します。

OpenSSL 3 に統合された最新の暗号化フレームワークをサポートします。これにより、IT チームは新しいパスワードを開発して機密情報を暗号化し保護できるようになります。

デフォルトのデジタル署名の SHA-1 ハッシュ関数を無効にすることで、セキュリティのベスト プラクティスを強化し、セキュリティを向上させます。

さらに、Red Hat と IBM Research は、楕円曲線デジタル署名の署名と検証のサポートなどを通じて Linux カーネルのコア セキュリティの側面を拡張することに協力しており、これによりサポートされるアルゴリズムが拡張され、Linux カーネル全体で使用されるデジタル署名のサイズが縮小されます。

可用性

ソフトウェア サプライ チェーン セキュリティ モデルは、今後数か月以内に開始される予定です。 Red Hat Enterprise Linux 9 は今後数週間以内にリリースされる予定です。 Red Hat の Kubernetes 向け Advanced Cluster Security は現在提供されており、こちらからアクセスできます。

支持する証言

ヴィンセント・ダネン、Red Hat 製品セキュリティ担当副社長

「IT セキュリティはソフトウェアのバージョンやアドオンに関するものではありません。OS 基盤からアプリケーション層まで、企業が選択するあらゆるテクノロジーに組み込む必要があります。Red Hat のハイブリッド クラウド ポートフォリオの強化されたセキュリティ機能は、企業がビジネスを展開する場所を問わず、運用の複雑さを軽減し、セキュリティを向上させるのに役立ちます。Red Hat の DevSecOps への取り組みは、セキュリティを固定的なものにするのではなく、開発フェーズから実稼働までのプロセス全体の一部にし、アプリケーションを移行する際に技術レベルと組織レベルで IT チームを支援することです。」