Codenotary представляет сервис Software Bill of Materials для Kubernetes
Новый сервис Codenotary позволяет вам отслеживать, что происходит в ваших контейнерных кластерах, управляемых Kubernetes, — жизненно важные знания для безопасности.
Спецификации программного обеспечения (SBOM) больше не являются обязательными. Если мы действительно хотим, чтобы приложения, которые мы запускаем в контейнерах, были безопасными, мы должны знать, что к чему внутри них. Чтобы упростить эту задачу, Codenotary, ведущая компания по обеспечению безопасности цепочек поставок программного обеспечения, запускает своего нового оператора SBOM для Kubernetes как в своей службе аттестации сообщества с открытым исходным кодом, так и в своем флагманском сервисе Codenotary's Trustcenter.
SBOM (произносится как S-Bomb) — это запись, содержащая подробную информацию и взаимоотношения в цепочке поставок компонентов, используемых при создании программного обеспечения. Поскольку сегодня большинство программ создаются путем сборки существующих компонентов программного обеспечения с открытым исходным кодом и коммерческих программ, важно знать названия и конкретные версии всех этих элементов. Например, программа, использующая Apache Log4j2 версии 2.17.0, уязвима для атак Log4Shell. Тот, кто использует Log4j2 2.17.1 или новее, безопасен, как дома.
Теперь вы можете проверить эту и тысячи других потенциальных уязвимостей вручную или обратиться к такой службе, как новое предложение Codenotary. Я знаю, какой из них я выберу.
Оператор SBOM для Kubernetes снижает риск атак на цепочку поставок программного обеспечения, отслеживая все программное обеспечение и его зависимости, работающие в Kubernetes. Это достигается путем создания SBOM ваших запущенных образов контейнеров и поддержания актуальных записей всех сборок и зависимостей. Оператор SBOM создает свои SBOM, используя собственный генератор SBOM. Когда появляется новая уязвимость (а поверьте мне, так и будет), это дает вам знать, что пришло время внести исправление при обнаружении опасных или уязвимых артефактов.
Чтобы обеспечить правильную работу, Codenotary постоянно обновляет свои записи SBOM. Эти данные хранятся в быстрой неизменяемой базе данных с открытым исходным кодом Immudb. Это защищенная от несанкционированного доступа и проверяемая база данных с нулевым уровнем доверия. Файлы изображений контейнера хранятся в репозитории Git.
Codenotary утверждает, что эта информация мгновенно доступна для поиска. С его помощью вы сможете за считанные секунды обнаружить программные артефакты в своем коде. Программа также сохраняет историю проверенных изменений содержимого изображений.
«Сам по себе SBOM не очень полезен без постоянного обновления и поддержки, поскольку информация устаревает с каждым новым развертыванием или обновлением», — сказал Деннис Циммер, соучредитель и технический директор Codenotary. «Теперь пользователи точно знают, что работает в контейнерах, имея самую свежую информацию, поэтому у них есть возможность немедленно что-то исправить, если это необходимо».
Главный программист SBOM Оператора Кристиан Коцбауэр сказал: «Я рад внести свой вклад в более широкое внедрение и использование SBOM благодаря интеграции Codenotary в моем операторе Kubernetes, особенно дополнительные возможности безопасности, меток времени и поиска в инфраструктуре, которые были ключевыми для разработки расширение.
Это еще один шаг вперед в усилиях Codenotary по предоставлению комплексных инструментов для каталогизации и обеспечения безопасности жизненного цикла разработки программного обеспечения. Его программы и сервисы, как бесплатные, так и платные, заслуживают внимания разработчиков Kubernetes.