Aqua Security, der Pionier im Bereich Cloud Native Security, stellt auf der KubeCon mit dem Scannen von Kubernetes-Komponenten auf Schwachstellen eine wichtige neue Funktion für seine in der Branche weithin äußerst beliebte Open-Source-Lösung Trivy vor. Trivy unterstützt bereits seit Anfang 2023 die Generierung einer Kubernetes Bill of Materials (KBOM). Gemeinsam mit der KBOM und dem neuen Scannen von Kubernetes-Komponenten auf Schwachstellen können Unternehmen die Komponenten in ihrer Kubernetes-Umgebung und deren Sicherheit besser verstehen. So lässt sich das Risiko für Kubernetes-Umgebungen deutlich reduzieren. Kubernetes hat sich in vielen Unternehmen durchgesetzt. Laut Red Hat macht sich jedoch mehr als die Hälfte der Unternehmen Sorgen um die Sicherheit von Kubernetes – insbesondere um Schwachstellen und Fehlkonfigurationen. Bestehende Infrastrukturscanner analysieren die Infrastruktur nur auf Fehlkonfigurationen und können die Kubernetes-Komponenten nicht auf Schwachstellen prüfen. Mit dieser neuen Funktion löst die Open-Source-Lösung Aqua Trivy diese Herausforderung erstmals.

Als Open-Source-Lösung können Entwickler die aktuelle KBOM-Generation von Aqua Trivy jederzeit kostenlos ausprobieren, um ihre Cluster-Ressourcen auf Schwachstellen zu überprüfen. Darüber hinaus werden alle KBOM-Funktionen als Teil von Aquas Kubernetes-Security-Posture-Management-Lösung (KSPM) und als Teil der Aqua-Plattform Ende November 2023 kommerziell verfügbar sein.

KBOM – Das Manifest aller wichtigen Komponenten eines Kubernetes-Clusters
Bereits Anfang 2023 hatte Aqua die Generierung von KBOMs in Trivy vorgestellt. Ähnlich wie eine Software Bill of Materials (SBOM) ist eine KBOM das Manifest aller wichtigen Komponenten, aus denen ein Kubernetes-Cluster besteht: Control-Plane-Komponenten, Node-Komponenten und Add-ons, einschließlich ihrer Versionen und Images. Aqua Trivys neues Scannen von Kubernetes-Schwachstellen nutzt KBOM, um Anwendern verstehen zu helfen, wie sich die Sicherheit ihres Clusters im Laufe der Zeit verändert, Sicherheitsprobleme zu erkennen und zu wissen, wann ein Upgrade der Clusterkomponenten erforderlich ist. Die durch die KBOM-Generierung und das Scannen von Komponenten auf Sicherheitslücken gewonnene Transparenz ist nicht nur für Unternehmen wichtig, die ihre eigenen Kubernetes-Umgebungen betreiben. Diejenigen, die einen verwalteten Kubernetes-Service nutzen, benötigen dieses Maß an Transparenz und Sicherheit ebenfalls, um festzustellen, ob ihre Service-Provider anfällige Komponenten verwenden, die sie einem Risiko aussetzen könnten.

„So wie SBOM für die Sicherheit von Anwendungen entscheidend ist, ist KBOM für die Sicherheit von Infrastruktur entscheidend“, sagt Itay Shakury, Vice President of Open Source bei Aqua Security. „Mit der Möglichkeit, neben Workloads und Images auch die eigentliche Kubernetes-Infrastruktur zu scannen, arbeiten wir auf den branchenweit ersten vollständigen Kubernetes-Schwachstellen-Scanner hin. Aqua hat sich mit erfolgreichen Tools wie kube-bench und kube-hunter als früher Innovator im Bereich der Kubernetes-Sicherheit etabliert, und unser Open-Source-Team arbeitet weiterhin fleißig daran, unseren Nutzern neue, sinnvolle Funktionen zur Verfügung zu stellen.“

Weitere Informationen

Trivy KBOM-Dokumentation: https://trivy.dev/.
Blog zu KBOM: https://blog.aquasec.com/introducing-kbom-kubernetes-bill-of-materials.
Aqua Security auf Slack: https://aquasecurity.slack.com/.
Aqua KSPM: www.aquasec.com/products/kubernetes-security/.