Red Hat Advanced Cluster Security for Kubernetes 4.10 を発表

セキュリティはあらゆるデジタル業務における重要な要素であり、Kubernetes も例外ではありません。Red Hat は、パブリック、プライベート、ハイブリッドクラウドを問わず、フリート、資産、プラットフォーム全体のセキュリティの基盤となるレイヤーを形成するために、Red Hat Advanced Cluster Security for Kubernetes を構築しました。本日 Red Hat は、クラスターのセキュリティポリシーの構築と適用において Red Hat OpenShift ユーザーの作業を容易にするための継続的な取り組みの一環として、Red Hat Advanced Cluster Security for Kubernetes バージョン 4.10 をリリースしました。

これらのアップデートの主な特長は、OpenShift Console への脆弱性管理の新たな統合、およびベースイメージとレイヤーにおける役割の分離です。これにより、管理者と運用者はダッシュボードとコンテキストを切り替えることなく、セキュリティ関連の情報や修復をより簡単に処理できるようになります。

さらに今回も、これまでと同様に、今後のサポートに向けた基盤をさらに強化していきます。Red Hat は、Red Hat OpenShift Virtualization 上で動作する仮想マシン (VM) の脆弱性管理のテクノロジープレビューをリリースし、ベースイメージの処理方法を変更しました。詳細は続きをご覧ください。

Red Hat Advanced Cluster Security for Kubernetes の新機能

すぐに開始したい場合は、Red Hat Advanced Cluster Security for Kubernetes の無料トライアルにご登録ください。詳細については、最新リリースの新機能の一部を以下でご紹介します。

• 脆弱性管理におけるイノベーション
  • ベースイメージ：役割の分離
  • OpenShift Console プラグイン (テクノロジープレビュー)
  • 仮想マシンの脆弱性管理 (テクノロジープレビュー)
• StackRox MCP サーバー (アップストリーム)
• ファイルアクティビティの監視 (テクノロジープレビュー)
• クラスタ登録シークレット
• CVE の修正日のポリシー基準 

ベースイメージ：役割の分離

通常、組織は安全な基盤を維持するために、標準化されたベースイメージ (一般にゴールデンイメージとも呼ばれます) を使用します。これらには多くの場合、Red Hat Enterprise Linux (RHEL) などのサードパーティ・プロバイダーのバージョンや、特定のセキュリティ基準を満たすために DevOps チームが構築したカスタムイメージが含まれます。

Red Hat Advanced Cluster Security for Kubernetes 4.10 では、ユーザーはこれらの標準化されたイメージを指定できます。Red Hat Advanced Cluster Security for Kubernetes は、アプリケーションイメージ内のベースイメージを識別し、そのレイヤーと、アプリケーション所有者が追加したレイヤーを区別します。脆弱性レポートにおける「layer type (レイヤータイプ)」という新しい属性が、コンポーネントが検出された正確な場所を明確にします。同じ脆弱なコンポーネントが、ベースイメージとアプリケーションレイヤーの両方に同時に存在する可能性があることにご注意ください。

その結果、説明責任が明確になり、迅速な修復が可能になり、ベースイメージの健全性、アプリケーションの依存関係の健全性、チームごとのパッチ対応スピードに関するメトリクスを向上させることができます。

OpenShift Console プラグイン (テクノロジープレビュー)

Red Hat Advanced Cluster Security for Kubernetes 4.10 では、保護されたクラスタで OpenShift コンソール用の新しい動的プラグインを有効にできます。このプラグインは、OpenShift コンソールインターフェース内に直接リアルタイムの脆弱性情報を表示する Security タブを追加します。これにより、アプリケーションを切り替える必要がなくなります。主なメリットは以下のとおりです。

• コンテキストスイッチの排除：セキュリティデータはプライマリーワークスペースで直接利用できるため、 OpenShift コンソールと Red Hat Advanced Cluster Security for Kubernetes ポータル間での切り替えは不要です。
• 修復の迅速化：チームは、デプロイ設定と合わせて脆弱性を確認することで、ライフサイクルの早い段階でセキュリティ上の欠陥を特定し、修正できます。
• 即座の可視化：特定のクラスタに関連するリアルタイムの脆弱性データに、すぐにアクセスできます。

この機能はテクノロジープレビュー機能です。 

仮想マシンの脆弱性管理 (テクノロジープレビュー)

組織が Red Hat OpenShift Virtualization を使用してレガシーワークロードをモダナイズする中、コンテナと VM 間で統一されたセキュリティポスチャを維持することが極めて重要です。Red Hat Advanced Cluster Security for Kubernetes 4.10 では、VM の脆弱性を可視化してこれらの環境を保護するサポートを導入しています。主なメリットは以下のとおりです。

• 脆弱性管理の一元化：Red Hat Advanced Cluster Security for Kubernetes コンソール内で、コンテナ化されたワークロードとともに VM の脆弱性を直接特定して管理できます。
• 効率的な可視化：VM として実行されているものも含め、すべての OpenShift アセットを単一のインターフェースで表示して、管理の複雑さを軽減できます。

この機能はテクノロジープレビュー機能です。詳細については、 仮想マシンのスキャンについてのドキュメントを参照してください。

StackRox MCP サーバー (アップストリーム)

StackRox MCP サーバーは、自然言語クエリを使用して数秒で CVE の識別子を特定できるため、Red Hat Advanced Cluster Security for Kubernetes に関する事前の専門知識は不要です。これはゼロデイエクスプロイトに対処する場合にとくに有効であり、ユーザーは Red Hat Advanced Cluster Security for Kubernetes の UI を操作したり、複数の API 呼び出しを行ったりすることなく、リスクを即座に評価できます。MCP サーバーは、セットアップ時に使用した特定の API トークンにアクセススコープを関連付けて、OpenShift Lightspeed を含む優先クライアントに接続できます。

現時点では、MCP ソフトウェアはアップストリームのみで利用できます。

• StackRox MCP サーバーを試す
• Red Hat Lightspeed との統合

ファイルアクティビティの監視 (テクノロジープレビュー)

Red Hat Advanced Cluster Security for Kubernetes 4.10 では、基盤となるホスト上の機密ファイルに対する不正な操作や疑わしい操作を検出する、新しいファイルアクティビティ監視機能を導入しています。この機能は、ファイルシステムの整合性の監視と監査を義務付ける規制やコンプライアンス要件 (PCI DSS、HIPAA、NIST など) に対応できるように組織を支援します。この機能により、次のことが可能になります。

• ホストとコンテナの区別：Red Hat Advanced Cluster Security for Kubernetes は、ホストによる変更とコンテナによる変更を区別し、アクティビティを特定の Kubernetes デプロイメントや namespace にマッピングします。
• フォレンジックの可視性：この機能は、すべての変更に関するタイムスタンプ、プロセス名、実行パス、および UID をキャプチャすることで、可視性のギャップを解消します。
• クリティカルパスの監視：ユーザーは、/etc/passwd、/etc/shadow、/etc/sudoers、および /etc/ssh/sshd_config の 4 つの重要なノードパスを監視できます。

この機能はテクノロジープレビュー機能です。

クラスタ登録シークレット

Red Hat Advanced Cluster Security for Kubernetes 4.9 でテクノロジープレビューとして導入されたクラスター登録シークレット (CRS) は、RHACS 4.10 で完全にサポートされています。  さらに、Operator を使用してインストールする際にも、この方法を利用できるようになりました。 

 

CRS を使用することで、セキュア化されたクラスタコンポーネントのブートストラップ登録に使用する認証情報を、コンポーネント間の内部通信のワークフローから明確に分離できます。 

この方法は、非推奨となった登録用の init バンドルに代わるものです。登録に init バンドルを使用した既存のクラスタに影響はありませんが、将来のリリースで init バンドルが削除される予定であるため、新規のクラスタ登録には CRS の使用を推奨します。

CVE の修正日のポリシー基準 

RHACS 4.10 では、CVE 修正日に基づく新しいポリシー基準を追加しています。これにより、組織は、ベンダーから脆弱性の修正が最初に提供された時期に基づいてトリガーするポリシーを定義できるようになります。

この基準を使用することで、セキュリティチームは修復 SLA の適用を自動化し、パッチのリリース後、特定の時間内に重大な脆弱性へ確実に対処できるようになります。これにより、CVE 検出日のみを使用するよりも、パッチ対応の迅速性をより正確に測定できるようになります。

Red Hat Advanced Cluster Security for Kubernetes 4.10 の詳細については、 リリースノートをお読みください。