Red Hat、ソフトウェア・サプライチェーンからエッジまで新たなレベルのセキュリティを発表

［マサチューセッツ州ボストン2022年5月10日（現地時間）発表］アメリカ報道発表資料抄訳

オープンソース・ソリューションのプロバイダーとして世界をリードするRed Hat, Inc. (以下Red Hat)は本日、オープン・ハイブリッドクラウド・テクノロジーのポートフォリオ全体にわたるセキュリティの新たなイノベーションと機能を発表しました。これらの機能拡張は、クラウドサービス、従来のシステム、およびエッジデバイスが混在し、ますます複雑化するIT環境全体のリスクを軽減し、組織がコンプライアンス要件に対応できるように設計されており、複雑さを最小限に抑えながら、お客様のセキュリティ態勢の強化とDevSecOpsの実現を支援することを目的としています。

Red Hatのレポート「2021年版世界のテクノロジー展望」によると、回答者の45%の企業がITセキュリティを最優先の予算配分先と位置付けています。しかし、ITセキュリティは静的な要件ではありません。規制上の管理、コンプライアンス要件や脅威となりうる事柄は日常的に変化し、ITセキュリティチームによるほぼ恒常的な警戒を必要とします。

Red Hatは、セキュリティをアドオンではなく基本的な構成要素と捉え、Red Hat Enterprise Linuxをはじめとするエンタープライズ・オープンソース・ソリューションのセキュリティを長年にわたって主導しています。KuppingerCole Analystsは最近、コンテナ・セキュリティのリーダーシップ・コンパスにおいて、Red Hatを総合リーダー（Overall Leader）と認定しました。KuppingerColeの評価によると、「市場における強力な存在感とコンテナ管理における実証済みの専門知識を備え、最近では大手コンテナ・セキュリティ企業であるStackRoxの買収と統合によって強化されたことから、Red Hatは当リーダーシップ・コンパスにおいて総合リーダーと認定されています。」

本日の発表を受け、Red Hatは、テクノロジー・ライフサイクルとソフトウェア・スタック全体にわたって、オンプレミスからマルチクラウド、エッジに至るまで、ハイブリッドクラウド環境全体のセキュリティを強化するために引き続きイノベーションを推し進めます。

ソフトウェア・サプライチェーンのセキュリティ強化

開発からライフサイクル全体に至るまでのアプリケーションのセキュリティ保護は複雑になる場合があり、複数のコンポーネントの連携が必要になることもよくあります。構築、実装、実行のプロセス全体を通じてセキュリティ機能を実装するプロセスを簡素化するために、Red Hatはソフトウェア・サプライチェーンのセキュリティ・パターンを導入します。

パターンはRed Hat OpenShiftを通じて提供され、包括的なスタックをコードとして提供し、必要なソフトウェア構成を定義、構築、およびテストします。このソフトウェア・サプライチェーンのセキュリティ・パターンは、プレビューとして提供され、信頼できるコンポーネントからクラウドネイティブ・アプリケーションを設計するために必要な構成要素をまとめたものになります。

このパターンでは、バージョン管理にRed Hat OpenShift PipelinesとRed Hat OpenShift GitOpsによるKubernetesネイティブな継続的に統合されたパイプラインを使用することで、複雑さの軽減と時間の節約を促進します。さらに、このパターンには、Tekton Chainsを通じて、コードの暗号化署名をより利用しやすくすることを目的としたオープンソース・プロジェクトであるSigstoreが組み込まれます。これにより、アプリケーションの作成後ではなく、パイプライン自体の中でアーティファクトに署名することが容易になります。

さらに、Red Hat Ansible Automation Platform 2.2において、Red HatはAnsible content signing technologyのテクニカル・プレビューを導入しています。この新機能は、自社で実行されている自動化コンテンツが検証済みで信頼できることを自動化チームが確認できるようにすることで、ソフトウェア・サプライチェーンのセキュリティ保護に貢献します。

データセンターからエッジまでのアプリケーション・セキュリティ・ライフサイクルの強化

組織がクラウドネイティブ・アーキテクチャを導入する中で、環境の堅牢化や攻撃対象領域の縮減、脅威の検出および対処の高速化などの基本的なニーズは依然として存在します。エッジを含む従来のIT環境の外部で実行されるアプリケーションは、複雑な課題を一層複雑化させる追加的なセキュリティ要件をもたらします。

エッジデバイスの物理的なセキュリティ要件に加えて、CIOやITの意思決定者は、これらのデバイスで実行されるコンテナ・ワークロードを保護する必要性を認識しています。一例として、潜在的な攻撃や侵害の水平展開を防ぐための戦略や機能をエッジ展開で実装することが挙げられます。Red Hat Advanced Cluster Security for Kubernetesは、こうした懸念に対するデプロイメント対応のソリューションとなり、次のようなエッジ・ワークロードを保護するための重要な機能を備えています。

• DevSecOpsの自動化：CI/CDパイプラインにおいて、脆弱性管理、アプリケーション設定分析、およびCI/CDの統合を通じて、エッジ環境のソフトウェア・サプライチェーンの保護に貢献します

• 脅威保護：一般的な脅威に対して実行時の脅威検出およびインシデント対応機能を提供します

• ネットワーク・セグメンテーション：ワークロードの分離を実施し、コンテナの通信を分析して、リスクの高いネットワーク通信パスを検出します

セキュリティ統合はオペレーティングシステムから

ガートナーによる2022年の取締役会調査では、取締役の88%がサイバーセキュリティをビジネスリスクと捉えていますが、テクノロジーリスクと捉えている割合は12%にとどまっています。サイバー攻撃やデータ侵害は広範囲な影響をもたらすため、投資家や規制当局によるIT環境全体の監視が強化されています。こうした損害をもたらす可能性があるインシデントに対してIT環境を強化することは極めて重要であり、この取り組みは、土台であるオペレーティングシステムのレベルから、つまりRed Hat Enterprise Linuxから始まるとRed Hatは考えています。

Red Hat Enterprise Linux 9は、RPMパッケージ内でファイルのデジタル署名を提供することにより、オペレーティングシステムとアプリケーションのファイルに対するランタイム整合性検証の基盤を提供します。このプラットフォームは、カーネルレベルで整合性測定アーキテクチャ（IMA）を使用し、個々のファイルとその出所を検証します。IMAのファイル検証は、システムに対する偶発的な変更や悪意のある変更を検出する上で特に役立ち、潜在的な問題や侵害に対処する際、より多くの修復機能をセキュリティチームに提供します。

他にもRed Hat Enterprise Linux 9の重要なセキュリティ機能として、次のものが挙げられます。

• root権限に関するセキュリティ強化：SSH経由のrootログインをデフォルトで無効化しています。これはブルートフォース攻撃によるrootパスワードの検出を防止し、オペレーティング環境の基本的なセキュリティ態勢を強化する上で役立ちます。

• 最新の暗号化フレームワークのサポート：OpenSSL 3を組み込んでいます。これにより、ITチームは機密情報を暗号化し保護するための新しい暗号機能を導入できます。

• セキュリティのベストプラクティス強化：デジタル署名で暗号解読の困難なSHA-1ハッシュ関数をデフォルトで無効化し、セキュリティ衛生を向上させます。

さらに、Red HatとIBM Researchは、楕円曲線デジタル署名の付加と検証のサポートなどを通じて、Linuxカーネルのコアセキュリティ機能の拡張に関して共同作業を進めています。この作業を通じて、サポートされるアルゴリズムが拡張され、Linuxカーネル全体で使用されるデジタル署名のサイズが縮小されます。

提供開始時期

ソフトウェア・サプライチェーンのセキュリティ・パターンは、今後数カ月で利用可能になる見込みです。Red Hat Enterprise Linux 9は、今後数週間で一般提供される予定です。Red Hat Advanced Cluster Security for Kubernetesは現在一般提供されており、こちらからアクセスできます。

サポートコメント

Red Hat　製品セキュリティ担当バイスプレジデント　ビンセント・ダネン
「ITセキュリティは、ソフトウェアのエディションやアドオン・モジュールに結び付いたものではなく、オペレーティングシステムの基盤からアプリケーション・レベルに至るまで、組織が選択するあらゆるテクノロジーに組み込む必要があります。Red Hatのハイブリッドクラウド・ポートフォリオ全体にわたるセキュリティ機能の強化は、組織の業務環境に関わらず、複雑でない運用で高レベルのセキュリティを実現することを目的としています。これは、DevSecOpsを重視するRed Hatの姿勢の表れです。セキュリティは後付けするものではなく、アプリケーションを開発から実稼働へ移行させる上でシームレスに不可欠な部分として、ITチームを技術的および有機的に支援するものであるべきなのです。」

関連リンク

• DevSecOpsにおいてのレッドハットのアプローチについて
• Red Hat Advanced Cluster Security for Kubernetesについて
• Red Hat Enterprise Linuxについて
• Red Hat Summitについて
• Red Hat Summit 2022 newsroomでの最新情報を入手
• @RedHatSummit をフォローもしくは#RHSummitをつけてつぶやく
• Facebook でRed Hat Summit onをフォロー