紅帽發布從軟件供應鏈到邊緣提升安全等級的新功能
開源解決方案供應商紅帽公司日前宣布，其開放混合云技術系列新增安全創新特性與功能。在由云服務、傳統系統和邊緣設備組成的日益復雜的IT環境中，這些增強功能將幫助企業降低風險，并滿足合規要求，從而最大程度降低復雜性，同時幫助客戶改善安全狀況，并實現DevSecOps。
據紅帽的《2021年全球技術展望》報告指出，45%的受訪者將IT安全作為支出的首要領域。然而，IT安全并不是一種靜態需求，監管控制、合規要求和威脅起源幾乎每天都在發生變化，要求IT安全團隊持續保持警惕。
紅帽長期以來一直是企業級開源解決方案安全方面的領導者，從紅帽企業Linux開始，公司就將安全視為一個基本組件，而非附加功能。KuppingerCole分析師最近在其容器安全領導指南中認定紅帽為整體領導者，其評價為：“紅帽有龐大的市場占有率，在容器管理方面擁有久經證實的專業知識，再加上最近對領先的容器安全公司StackRox的收購和整合，從而被公認為是該領域的領導者。”
紅帽將繼續創新，涵蓋從本地到多云，再到邊緣的混合云環境的整個技術生命周期和軟件堆棧，以提高安全性。
加強軟件供應鏈安全
在從開發開始的整個生命周期中，保護應用的安全可能是一個復雜的過程，經常需要多個組件的配合。為了幫助簡化在整個構建、部署和運行過程中實施安全特性的過程，紅帽引入了一種軟件供應鏈安全模式。
這種模式通過紅帽OpenShift交付，以代碼的形式提供了完整的堆棧，并定義、構建和測試軟件配置。作為預覽版，軟件供應鏈安全模式將整合必要的組件，以采用受信任的組件構建云原生應用。
該模式通過紅帽OpenShift管道和紅帽OpenShift GitOps使用Kubernetes原生、持續集成的管道進行版本控制，這有助于降低復雜性并節省時間。此外，通過Tekton Chains，該模式將融合Sigstore – 這是一個開源項目，可以使代碼的加密簽名更易于訪問。該項目的加入使工件在管道中的簽名更加容易，而無需等到應用創建之后。
此外，在紅帽Ansible 自動化平臺 2.2中，紅帽引入了Ansible內容簽名技術的技術預覽。這項新功能支持自動化團隊驗證企業中正在執行的自動化內容是否得到驗證并且可信任，從而幫助實現軟件供應鏈安全。
從數據中心到邊緣增強應用安全生命周期
隨著企業采用云原生架構，企業對于更強健的環境、更小的攻擊面，以及更快檢測和響應威脅等核心需求依然存在。在傳統IT環境外部運行的應用（包括邊緣）引入了進一步的安全需求，進一步加劇了這些本已很復雜的挑戰。
除了邊緣設備的物理安全要求外，CIO和IT決策者越來越需要保護這些設備上運行的容器工作負載。例如，他們需要實施不同的戰略和功能，以防止邊緣部署環境中的潛在攻擊或漏洞。紅帽Kubernetes高級集群安全為這些問題提供了可隨時部署的解決方案，其關鍵功能可保護邊緣工作負載，包括：
自動化CI/CD管道中的DevSecOps通過漏洞管理、應用配置分析和CI/CD集成，有助于保護邊緣環境的軟件供應鏈
威脅防護在運行時提供常見威脅的檢測和事件響應能力
網絡分段可進行工作負載隔離，分析容器通信和檢測危險的網絡通信路徑
集成的安全性始于操作系統
據Gartner在2022年進行的董事會調研表明，88%的董事會成員將網絡安全列為商業風險；僅12%的受訪者認為這是技術風險。網絡攻擊或數據泄露的廣泛后果已導致投資者和監管機構加大對整個IT環境的審查力度。為防止這些潛在的破壞性事件，強化IT環境至關重要，因此，紅帽認為，這項工作必須從基礎開始，從操作系統層面開始，從紅帽企業Linux開始。
紅帽企業Linux 9通過在RPM包中提供文件數字簽名，為操作系統和應用程序文件的運行時完整性驗證奠定了基礎。該平臺在內核級別使用完整性度量體系結構(IMA)來驗證單個文件及其來源。IMA文件驗證特別有助于檢測對系統的意外和惡意修改，為安全團隊提供更多的補救能力，以解決潛在的問題或破壞。
紅帽企業Linux 9中的其他安全特性包括：
默認通過SSH禁用root登錄，增強了圍繞root權限的安全性。這有助于防止通過蠻力攻擊找到root密碼，提高運行環境的基線安全性。
支持與OpenSSL 3集成的最新加密框架。這使得IT團隊能夠制定新的密碼來加密和保護敏感信息。
通過禁用默認數字簽名的SHA-1散列功能，增強了安全最佳實踐，提高了安全性。
此外，紅帽和IBM Research正在圍繞擴展Linux內核的核心安全方面展開合作，例如通過支持簽名和驗證橢圓曲線數字簽名，以此擴展了所支持的算法，并縮減了整個Linux內核中使用的數字簽名的大小。
上市時間
軟件供應鏈安全模式預計將在未來幾個月推出。紅帽企業 Linux 9將在未來幾周內發布。紅帽的Kubernetes高級集群安全現在已可用，可在這里訪問。支持證言Vincent Danen，紅帽產品安全副總裁
“IT安全與軟件版本或附加模塊無關；而是需要融入企業所選擇的任何技術中，涵蓋從操作系統基礎到應用層面的方方面面。紅帽混合云產品組合中增強的安全功能幫助降低操作復雜度和提高安全性，無論企業在何處開展業務。紅帽對DevSecOps的承諾是使安全不再是固定的東西，而是在從開發階段到投入生產的整個過程中，而是貫穿移動應用時的各個環節，在技術和組織層面幫助IT團隊。”
