בקרוב במיט-אפ של רד-האט: אבטחת קלסטרי OpenShift Container Platform
רד-האט (Red Hat) תקיים מיט-אפ מיוחד, שיוקדש לאבטחת קלסטרים של OCP (ר"ת OpenShift Container Platform) – פלטפורמת הענן מבוססת הקוברנטיס של החברה. המפגש ייערך ביום ה', ה-7 בינואר, בין השעות 11:00-12:50, בהובלת צוות המומחים של רד-האט, ובראשם אורגד קמחי, מנהל קבוצת השירותים המקצועיים (Professional Services) בחברה.
"יותר ויותר ארגונים מרחיבים את השימוש בקונטיינרים וב-OCP בהיקפים גדולים, ומכאן עלה הצורך בפתרונות אבטחה מוגברים", אמר קמחי. "לקוחות מחפשים שותפים בעלי פתרונות בשלים ובסיס התקנות גדול, עם ניסיון בהטמעת תפקוד שוטף, וזיהוי כל סוגי המתקפות והחולשות – ברמת התשתית וגם ברמת הקוד. לרד-האט יש פתרונות משלימים בתחום זה, ובין שותפיה חברות כמו אקווה, פאלו אלטו, מק'אפי וסניק (Snyk), שאנשיה ירצו וידגימו במיט-אפ".
"הלקוחות מבינים שקוד פתוח לא מגביר סיכוני אבטחה. ההיפך הוא הנכון", אמר רון וינטרוב, יועץ אבטחת ענן בכיר ברד-האט, שיציג יחד עם קמחי. "לרשות משתמשי קוד סגור-קנייני עומד מספר מצומצם של מפקחים על הקוד, בעוד שבקוד פתוח, הרבה יותר עיניים 'משגיחות' ומספקות פתרונות לנושאי אבטחה ברמת הקוד".
קמחי הוסיף כי "רד-האט מאגדת פתרונות קוד פתוח, שנבדקים על ידי כלל חברי הקהילה לפני שהם הופכים למוצרים רשמיים של החברה, וכל רכיב תוכנה שיש בו סיכון לא ייכנס למוצר".
מה עוד במפגש?
במפגש תוכלו לשמוע גם אודות אבטחה בהיקפים גדולים וניהול אבטחה בתשתית OpenShift ובסביבות מרובות קלאסטרים, בהרצאה שייתנו תומר אמבר ומיכאל קוטלניקוב, יועצי ענן ברד-האט.
אמבר ירצה על Service Mesh, שהיא טכנולוגיית ענן שנועדה להקל על ניהול אפליקציות שרצות על גבי Openshift בסקייל גדול – החל מנראות על הקונטיינרים, השירותים השונים והפרויקטים המוקדשים לכל אפליקציה, וכלה בשליטה פרטנית במדיניות התקשורת והאבטחה על כלל רכיבים אלה והקשרים ביניהם.
בנוסף, כחלק ממעטפת שלמה של ניהול אפליקציות בפריסה מרובת עננים ויצירת סטנדרט אבטחה (Compliance) על מספר פריסות של OpenShift במקביל, קוטלניקוב ירצה על ACM (ר"ת Red Hat Advanced Control Management), שעושה בדיוק את זה.
קפיצת מדרגה לארגון
הן לחוד, ועל אחת כמה וכמה יחדיו, המוצרים שאותם יציגו יועצי רד-האט מהווים קפיצת מדרגה משמעותית לארגון שמעוניין להיות בבקרה מלאה ושליטה תקשורתית ואבטחתית מתקדמת על האפליקציות שלו שרצות על תשתיות ענניות.
רד-האט תארח את סניק – שותף טכנולוגי שיציג את אופן העצמת המפתחים באבטחת עומסי עבודה על ה-OpenShift שלהם, עם מערכת שפיתחה החברה, שיודעת לאתר ליקויי אבטחה והפרות רישוי בקוד ומתקנת אותם. המערכת מבוססת על מאגר מידע של חולשות. הדוברים יהיו יונתן גרובר, מהנדס פתרונות, דניאל קונטורובסקי, מהנדס תוכנה, ואודי נחמני, מנהל שותפויות ענן בסניק. לדברי נחמני, בשונה מחברות אבטחת מידע אחרות, סניק מתמקדת במפתחים, במטרה לסייע להם לקחת אחריות ולקבל שליטה טובה יותר על אבטחת הקוד שהם מפתחים.
אודי נחמני, מנהל שותפויות ענן בסניק. צילום: יח"צ
"בשנים האחרונות, ההגדרה של אפליקציות משתנה משמעותית, והקוד שהמפתחים כותבים הוא חלק קטן מהתוצר הסופי, כשחלק גדול יש לרכיבי צד ג' כמו קוד פתוח, קונטיינרים שהם בונים כדי להקל על הדילוור וגם קבצי Config ששולטים על התצורה – איך והיכן האפליקציה תרוץ", ציין נחמני. "בעבר, נושאים אלה היו בידי אנשי ה-Ops ולא בידי המפתחים. כיום, המטרה היא לתת למפתחים כלים כדי שיעשו זאת בעצמם".
סניק – לזיהוי סיכוני אבטחה ולפתרון בעיות בפיתוח האפליקציה
לסניק, שהוקמה לפני חמש שנים, יש משרדים בלונדון, תל אביב, בוסטון ואוטווה, בירת קנדה. המערכת מבוססת, כאמור, על מאגר מידע של חולשות, והיא מאתרת ליקויי אבטחה והפרות רישוי בקוד – ומתקנת אותם. מפתחים מדווחים בה על ליקויים, חולשות ופרצות שהם מגלים תוך כדי עבודה, והמערכת לומדת במהלך השימוש בה. זה מאפשר למפתחים ולאנשי DevOps לוודא שהקוד שהם כותבים מאובטח ופועל כהלכה, בלי להפריע לרצף העבודה. הפתרון מסופק במודל של תוכנה כשירות (SaaS) .
נחמני ציין כי "אנחנו אומרים שחשוב לפתח את האפליקציה, אבל צריך לאפשר למפתחים לזהות סיכוני אבטחת מידע ולפתור בעיות עם סניק – ולא לקבל 'שיחת השכמה' מצוות אבטחת המידע של הארגון באמצע הלילה, לאחר שמתגלה פריצה לאפליקציה".
לסניק יש ארבעה מוצרים, שפותחו ישירות עבור עידן ה-Cloud-native ומיועדים לקוד פתוח, קונטיינרים, תשתית כקוד ולקוד עצמו (SAST). במיט-אפ יוצג ויודגם Snyk container, שסורק את הקוד בקונטיינרים בארגון, מאתר חולשות ומתייג אותן עבור תיקון. נחמני אמר כי סוכן (Agent) ב-OpenShift Container Platform יכול לקבל מסניק התראות על חולשות כדי לפתור בעיות בשלב מוקדם, לפני שפתרונות של Operations נכנסים לתמונה.
על שיתוף הפעולה עם רד-האט הוא אמר כי לסניק יש מסד נתוני חולשות, שחלקו ציבורי וחלקו ייחודי לחברה. במקרים מסוימים עובדת סניק עם שותפים אסטרטגיים כמו רד-האט לשיתוף מידע זה בכלים שלהם. דוגמה לכך הוא Red Hat Dependency Analytics, שהינו plug-in המאפשר למפתחים להבין תוך כדי כתיבת הקוד אילו סיכונים יש בקוד הפתוח שהם משלבים באפליקציה שלהם. "זו שותפות ייחודית, שהושקה ביולי האחרון, ושתי החברות רואות בה חשיבות רבה", הוסיף נחמני.
ההשתתפות במיט-אפ ללא תשלום, אך יש להירשם כאן.
