Als Open-Source-Lösung können Entwickler die aktuelle KBOM-Generation von Aqua Trivy jederzeit kostenlos ausprobieren, um ihre Cluster-Ressourcen auf Schwachstellen zu überprüfen. Darüber hinaus werden alle KBOM-Funktionen als Teil von Aquas Kubernetes-Security-Posture-Management-Lösung (KSPM) und als Teil der Aqua-Plattform Ende November 2023 kommerziell verfügbar sein.

KBOM – Das Manifest aller wichtigen Komponenten eines Kubernetes-Clusters
Bereits Anfang 2023 hatte Aqua die Generierung von KBOMs in Trivy vorgestellt. Ähnlich wie eine Software Bill of Materials (SBOM) ist eine KBOM das Manifest aller wichtigen Komponenten, aus denen ein Kubernetes-Cluster besteht: Control-Plane-Komponenten, Node-Komponenten und Add-ons, einschließlich ihrer Versionen und Images. Aqua Trivys neues Scannen von Kubernetes-Schwachstellen nutzt KBOM, um Anwendern verstehen zu helfen, wie sich die Sicherheit ihres Clusters im Laufe der Zeit verändert, Sicherheitsprobleme zu erkennen und zu wissen, wann ein Upgrade der Clusterkomponenten erforderlich ist. Die durch die KBOM-Generierung und das Scannen von Komponenten auf Sicherheitslücken gewonnene Transparenz ist nicht nur für Unternehmen wichtig, die ihre eigenen Kubernetes-Umgebungen betreiben. Diejenigen, die einen verwalteten Kubernetes-Service nutzen, benötigen dieses Maß an Transparenz und Sicherheit ebenfalls, um festzustellen, ob ihre Service-Provider anfällige Komponenten verwenden, die sie einem Risiko aussetzen könnten.

„So wie SBOM für die Sicherheit von Anwendungen entscheidend ist, ist KBOM für die Sicherheit von Infrastruktur entscheidend“, sagt Itay Shakury, Vice President of Open Source bei Aqua Security. „Mit der Möglichkeit, neben Workloads und Images auch die eigentliche Kubernetes-Infrastruktur zu scannen, arbeiten wir auf den branchenweit ersten vollständigen Kubernetes-Schwachstellen-Scanner hin. Aqua hat sich mit erfolgreichen Tools wie kube-bench und kube-hunter als früher Innovator im Bereich der Kubernetes-Sicherheit etabliert, und unser Open-Source-Team arbeitet weiterhin fleißig daran, unseren Nutzern neue, sinnvolle Funktionen zur Verfügung zu stellen.“

Weitere Informationen

Trivy KBOM-Dokumentation: https://trivy.dev/.
Blog zu KBOM: https://blog.aquasec.com/introducing-kbom-kubernetes-bill-of-materials.
Aqua Security auf Slack: https://aquasecurity.slack.com/.
Aqua KSPM: www.aquasec.com/products/kubernetes-security/.

Laut Gartner bieten integrierte Plattformen mehr Vorteile als eine Best-of-Breed-Strategie mit Einzellösungen, weil sich eine solche Strategie nur schwer skalieren lässt. Gartner betont in seinem Report: Sicherheitsverantwortliche, die für Cloud-Sicherheitsstrategien verantwortlich sind, sollten CNAPP-Anbieter bevorzugen, die eine Vielzahl von Technologien für Transparenz während der Laufzeit unterstützen; dazu zählen beispielsweise traditionelle Agenten, die Unterstützung von Extended Berkeley Packet Filter (eBPF), Snapshots, privilegierte Container und Kubernetes-Integration. Dies böte die größte Flexibilität.

Darüber hinaus stellt Gartner in seinem Report fest: „Agentenloses Workload-Scanning ist ein beliebter Ansatz und eine erwartete CNAPP-Kernfunktion geworden, obwohl In-Workload-Ansätze den besten Schutz bieten.“

Sicherheit in der Software-Supply-Chain

In Bezug auf die Sicherheit der Software-Supply-Chain stellt Gartner fest, dass die Angriffsfläche von Cloud-nativen Anwendungen zunimmt und Angreifer die Software-Supply-Chain selbst ins Visier nehmen. Laut Gartner werden diese Funktionsarten im Laufe der Zeit in größere CNAPP-Angebote integriert werden.

Gartner empfiehlt Sicherheitsverantwortlichen, „die Komplexität zu reduzieren und die Benutzererfahrung der Entwickler zu verbessern, indem sie sich für integrierte CNAPP-Angebote entscheiden, die einen vollständigen Einblick in den Lebenszyklus und Schutz von Cloud-nativen Anwendungen über die Entwicklung und das Staging bis hin zum Laufzeitbetrieb bieten.“

Eine integrierte Plattform

„Wir glauben, dass die Gartner-Analyse des Marktes unseren Ansatz bestätigt. Die Betonung der Vorteile einer integrierten Plattform ist ein weiterer Beweis dafür ist, dass Aqua eine Vorreiterrolle in der Branche für Cloud-native Sicherheitslösungen einnimmt“, kommentiert Arne Jacobsen, Director Sales EMEA bei Aqua Security. „Unsere Vision war vom ersten Tag an glasklar: Eine einzige End-to-End-Sicherheitslösung für den gesamten Lebenszyklus von Cloud-Native-Anwendungen in einer ganzheitlichen Plattform. Wir waren schon immer der Meinung, dass eine Lösung, die eine echte CNAPP sein will, Shift-Left-Scanning, umfassende Transparenz und vor allem starke Laufzeitkontrollen beinhalten muss, die laufende Angriffe erkennen und stoppen können. Darüber hinaus sollte eine CNAPP durchgängige Sicherheit der Software-Supply-Chain garantieren.“

Weiterführende Informationen

Der komplette „Gartner Market Guide for Cloud Native Application Protection Platforms” kann hier kostenlos nach Registrierung heruntergeladen werden. Informationen über Aquas CNAPP finden sich hier.

GARTNER is a registered trademark and service mark of Gartner, Inc. and/or its affiliates in the U.S. and internationally, and is used herein with permission. All rights reserved.

Gartner does not endorse any vendor, product or service depicted in its research publications, and does not advise technology users to select only those vendors with the highest ratings or other designation. Gartner research publications consist of the opinions of Gartner’s research organization and should not be construed as statements of fact. Gartner disclaims all warranties, express or implied, with respect to this research, including any warranties of merchantability or fitness for a particular purpose.

Mit schrittweisen Anweisungen zur Behebung des Problems wird die mittlere Zeit bis zur Behebung (MTTR, Mean Time To Repair) von Schwachstellen für Sicherheitsteams drastisch reduziert und das Risiko für die IT verringert. Denn das manuelle Auffinden von Hinweisen, die zugehörigen Patches und Überprüfungsschritte entfallen. Die KI-gestützte Problembehebung macht das Ausprobieren, die Suche und die Zeit für die Selbstschulung überflüssig und ermöglicht es Entwicklern, sich auf die Behebung des Problems zu konzentrieren – anstatt herausfinden zu müssen, wie es zu beheben ist.

Reibungsverluste abbauen, Sicherheit vereinheitlichen

Trotz unterschiedlicher Ziele und Verantwortlichkeiten stehen Entwickler zunehmend unter Druck, als Sicherheitsexperten zu agieren. Daten von IDC zeigen, dass der Aufbau einer Kultur der gemeinsamen Verantwortung von Entwicklungs- und Sicherheitsteams ein wichtiger Faktor für die Einführung von DevSecOps ist. AI-Guided Remediation bietet kontextbezogene Anleitungen, um Entwicklern, die keine Sicherheitsexperten sind, die Informationen an die Hand zu geben, die sie benötigen, um schnell Abhilfe zu schaffen.

„AI-Guided Remediation ist wie ein virtueller Cloud-Sicherheitsexperte.“

„Cyber-Bedrohungen entwickeln sich schneller als jemals zuvor. Und Sicherheitsexperten stehen vor der Herausforderung, kritische Probleme zu erkennen und schnell zu beheben“, kommentiert Arne Jacobsen, Director Sales EMEA bei Aqua Security. „Mit AI-Guided Remediation können Sicherheitsteams die Behebung von Schwachstellen und Fehlkonfigurationen beschleunigen. Das verbessert nicht nur die Cloud-Sicherheit, sondern fördert auch die Zusammenarbeit zwischen Entwicklern und Sicherheitsexperten – und sorgt so für ein widerstandsfähigeres und sichereres Ökosystem. Aus Sicht eines Entwicklers ist AI-Guided Remediation so, als hätte man einen virtuellen Cloud-Sicherheitsexperten an seiner Seite.“

Weiterführende Informationen

Weitere Informationen dazu finden sich in diesem Blog-Beitrag.

Real-Time CSPM identifiziert Bedrohungen, die agentenlose Lösungen nicht sehen können. Point-in-Time-Scanning, also das Scannen nach potenziellen Sicherheitsrisiken in Intervallen, öffnet Angriffen Tür und Tor. Mit dieser Taktik scannen 74 Prozent der Unternehmen weniger als 85 Prozent ihrer IT-Ressourcen* und viele Schwachstellen bleiben so lange unentdeckt, bis sie ein Angreifer ausnutzt. Aqua Real-Time-CSPM eliminiert dieses Risiko und bietet Echtzeittransparenz und Risikopriorisierung in einer einzigen, einheitlichen Plattform für ein schnelleres und effektiveres Risikomanagement.

Dazu gehört auch die Möglichkeit, Befunde über mehrere Cloud-Umgebungen hinweg zu korrelieren und von Duplikaten zu bereinigen, um sich auf die kritischen Cloud-Risiken anhand fundierter Belege zu konzentrieren. Anstatt Zeit mit Problemen zu verschwenden, die nur ein geringes effektives Risiko darstellen, können sich Nutzer auf das konzentrieren, was wirklich wichtig ist. Gleichzeitig können sie den Kontext bereitstellen, den die Ressourcenbesitzer benötigen, um schnell Abhilfe zu schaffen und ihre Cloud-Anwendungen zu sichern. Aqua Security verbessert so die Effizienz der IT-Security, indem es die Cloud mit Entwicklung verbindet und Laufzeitrisiken bis zu dem Code und dem Entwickler zurückverfolgt, der sie beheben kann. Durch die Verbindung von CSPM mit der Laufzeit-Kontrolle werden Risiken abgefangen, die nicht sofort durch eine Code- oder Konfigurationskorrektur behoben werden können.

„Viele Nutzer sind von den aktuellen CSPM-Angeboten überfordert“, sagt Arne Jacobsen, Director Sales EMEA bei Aqua Security. „Sie erhalten zu viele Warnmeldungen über potenzielle Sicherheitsrisiken, haben aber keinen vollständigen Überblick und können daher keine richtigen Prioritäten setzen. Einfach ausgedrückt: sie beheben die falschen Dinge und sind am Ende kompromittiert. Denn wenn alles Priorität hat, dann hat nichts Priorität. Andere CSPM-Lösungen vermitteln ein falsches Gefühl von Sicherheit. Ob man nun täglich oder monatlich scannt, man sieht mit einem punktuellen Scan eben nur einen Teil der Risiken. Und das ist keine echte Sicherheit. Mit Aqua Real-Time-CSPM wird diese große Lücke geschlossen.“

*IDC-Bericht „The State of Cybersecurity Maturity in Vulnerability Management Among U.S. Organisations“.

Aqua Security hat die Ergebnisse der Studie „The State of Cloud Native Security 2023“ vorgestellt. Unternehmensvertreter wurden auf der „Cloud Expo Europe“ im März zu ihren Ansichten, Strategien und Sorgen bei der Absicherung ihrer Cloud-Native-Umgebung befragt. Der Pionier in Cloud-Native-Security hatte die Umfrage bereits 2022 auf der gleichen Veranstaltung durchgeführt, sodass sich die Ergebnisse vergleichen und Trends ableiten lassen.

Zu den positiven Trends in diesem Jahr gehört, dass sich das Verständnis für die Sicherheitsrisiken der Cloud in den vergangenen zwölf Monaten verbessert hat. So haben nun etwas mehr als ein Drittel der befragten Unternehmen (34 Prozent) eine Cloud-Native-Security-Strategie. Im Jahr zuvor waren es lediglich 21 Prozent. Außerdem stieg die Zahl der Unternehmen, die erkannt haben, dass die Verantwortung für Cloud Native Security sowohl bei den IT-Sicherheits- als auch den DevOps-Teams liegt, von 20 Prozent auf 28 Prozent.

Anzeichen für Fortschritte bei Cloud-Native-Security

Auch das Verständnis und das Bewusstsein für die Herausforderungen bei Cloud-Native-scheinen zugenommen zu haben: 46 Prozent der Befragten kennen heute den Begriff CNAPP (Cloud Native Application Protection Platform), die vom Analystenunternehmen Gartner eingeführte Kategorie für Cloud Native Security – was einem Anstieg von 47 Prozent gegenüber dem Vorjahr entspricht. Gleichzeitig sank die Zahl der Befragten, die ein mangelndes Verständnis als Hindernis für eine erfolgreiche Cloud Native Security-Strategie angaben, im Vergleich zum Vorjahr von 56 Prozent auf 43 Prozent.

Absicherung der Software-Supply-Chain ist Hauptsorge

Die zahlreichen neuen Angriffsvektoren auf die Software-Supply-Chain scheinen Security-Fachleute besonders zu besorgen. Im Vorjahr sahen nur 19 Prozent der Befragten die Sicherheit der Software-Supply-Chain als größtes Sicherheitsrisiko an. Dieser Wert verdoppelte sich in diesem Jahr fast, auf 37 Prozent.

Die Hauptsorge bei der Absicherung der Software-Supply-Chain ist für viele Unternehmen dabei Open-Source. 47 Prozent der Befragten nannte Schwachstellen in Open Source als sehr bedenklich.

Fehlendes Budget und neue Vorschriften sind Hemmschuhe

Hindernisse für eine effektivere Absicherung von Cloud-Native Workloads sehen viele Unternehmensvertreter in begrenztem oder gar komplett fehlendem Budget: So versuchen 39 Prozent der Befragten Cloud Native Security mit limitierten finanziellen Mitteln umzusetzen. Mit 29 Prozent gab ein nicht unerheblicher Teil der Befragten an, dass sie Cloud Native Security für kompliziert oder schwer zu implementieren hielten.

Neue Compliance-Verpflichtungen in Bezug auf die Sicherheit der Software-Supply-Chain, wie zum Beispiel die Executive Order 14028 in den USA, gaben vielen Befragten Anlass zur Sorge. Aber nur 37 Prozent waren zuversichtlich, dass sie in der Lage sein würden, neue Richtlinien oder Rahmenwerke zu übernehmen. Darüber hinaus planten nur wenige Unternehmen die Einführung von Sicherheitsstandards für die Software-Supply-Chain. Nur 22 Prozent planen die Einführung von SBOM-Standards wie CycloneDX oder SPDX, und nur 11 Prozent planten die Einführung von NIS2-Richtlinien.

Arne Jacobsen, Director Sales EMEA bei Aqua Security, kommentiert die Ergebnisse der Befragung: „Prominente Angriffe auf die Software-Supply-Chain haben die Aufmerksamkeit der Unternehmen auf die Absicherung von Cloud-Native-Plattformen gelenkt. Da bis 2025 mehr als 95 Prozent aller neuen Anwendungen auf diesen Plattformen bereitgestellt werden, ist es ermutigend, dass Fortschritte beim Bewusstsein für Cloud Native Security zu sehen sind. Es ist zu hoffen, dass diese größere Besorgnis zu mehr aktiven Maßnahmen führt und die Unternehmen echte End-to-End-Sicherheitslösungen implementieren, um ihre Software-Lieferkette abzusichern.“

Weitere Details zur Umfrage finden sich in diesem kostenlosen E-Book: 2023 Cloud Native Security Survey eBook.

Das bemerkenswerte Ergebnis dieser langen Debatte kam erst jüngst zustande: Zwei der führenden Anbieter agentenloser Sicherheitslösungen brachen ein und kündigten Partnerschaften mit Anbietern von agentenbasierter Laufzeitsicherheit und CWPP (Cloud Workload Protection Platforms) an. Beide hatten zuvor jahrelang hartnäckig propagiert, dass Agenten „alte Schule“ seien und dass „agentenbasierte Sicherheit tot“ sei.

Die Branche im Allgemeinen und speziell Unternehmen, die agentenlose Sicherheitslösungen nutzen, sollten dies zur Kenntnis nehmen. Denn inmitten des Branchenhypes um agentenlose Sicherheit hatten viele Unternehmen ihre Cloud-Umgebungen mit Produkten abgesichert, die ausschließlich auf agentenlose Lösungen setzten. Doch da der Ansatz fehlerhaft ist, sind diese Cloud-Umgebungen heute nicht ausreichend abgesichert.

Lückenhafter Schutz für Cloud-Umgebungen

So mancher IT-Sicherheitsexperte auf Unternehmensseite hatte sich von Anbietern, die den agentenlosen Ansatz propagierten, in Sicherheit wiegen lassen. Das Mantra dieser Anbieter lautete in etwa so: „Ihr Unternehmen ist sicher, weil Sie keine Fehlkonfigurationen in Ihrer Public-Cloud-Umgebung haben.“ Diese Annahme ist jedoch grundlegend falsch. Denn sie lässt die Hälfte aller Angriffe außer Acht, die nun mal auf Public Clouds abzielen.

Angriffe auf gespeicherte Daten können dort von agentenlosen Überwachungslösungen nicht erkannt, geschweige denn blockiert werden. Es ist zwar richtig, dass agentenlose Lösungen gute Sichtbarkeit, grundlegende Compliance und Posture Management bieten. Ihnen fehlen jedoch wichtige Funktionen, die für den Schutz von Anwendungen zur Laufzeit oder das Stoppen von Angriffen in der Produktion zwingend erforderlich sind.

Die grundlegenden Probleme agentenloser Sicherheit

Da agentenlose Scans in der Regel einmal alle 24 Stunden durchgeführt werden, liefern sie nur eine Momentaufnahme zu einem bestimmten Zeitpunkt. Angesichts der dynamischen und flüchtigen Natur von Cloud-Workloads kann es sein, dass ein Workload zum Zeitpunkt des nächsten Scans nicht einmal mehr ausgeführt wird. Das bedeutet: Kriminelle haben viel Zeit, um in die Umgebung einzudringen und innerhalb von Minuten oder gar Sekunden nach einem erfolgreichen Angriff wieder zu verschwinden. Leider bedeutet die harte Realität nur ausschließlich agentenloser Lösungen, dass man die meiste Zeit im Blindflug unterwegs ist. Dies spielt den hochentwickelten Angreifern in die Hände. Denn sie können diese lückenhafte Erkennung mit ihren modernen Techniken, wie beispielsweise dateiloser Malware, einfach spurenlos umgehen. Agentenlose Lösungen übersehen diese Art von Bedrohungen, da sie nicht in der Lage sind, den Prozess zu sehen, der im Speicher von einem statischen Festplatten-Image ausgeführt wird. Derartige Lösungen nehmen eine Kopie eines Festplattenabbilds und nicht den tatsächlich ausgeführten Code auf. Selbst wenn ein Angriff aus diesem Abbild erfolgreich identifiziert wird, wird nur eine Warnung über das Problem ausgegeben, anstatt den Angriff proaktiv zu blockieren.

Kombinierter Ansatz nötig

Trotz dieser Einschränkungen lässt sich nicht leugnen, dass agentenlose Sichtbarkeit eine schnelle, reibungsarme und weniger invasive Methode der Sicherheitsüberwachung bietet, die nützlich ist. Doch beispielsweise in einer Produktionsumgebung steht zu viel auf dem Spiel. Sensible Workloads erfordern Sicherheit und Schutz in Echtzeit. Die Verwendung agentenbasierter Sicherheit liefert nicht nur die erforderliche Echtzeitüberwachung und -berichterstattung, sondern auch die automatische und proaktive Reaktion auf Sicherheitsvorfälle, die für eine wirklich robuste Sicherheitsstrategie entscheidend sind. Unternehmen stehen also vor der zentralen Frage, welcher Ansatz der Beste ist. Die Entscheidung ist tatsächlich kein simples für oder gegen Agenten. Denn abhängig von spezifischen Bedürfnissen und Anforderungen ist eine Kombination aus agenten- und agentenloser Sicherheit der ideale Weg, der das Beste aus beiden Welten bietet.

Integrierte Plattform sinnvoll

Der Versuch, Laufzeit-Agenten von Drittanbietern einzusetzen, um den schwierigsten Teil des Workload-Schutzes zu bewältigen, birgt jedoch die Gefahr, dass sich die Tools weiter ausbreiten, die Übersicht verloren geht und der Laufzeitschutz fragmentiert wird. Wenn Unternehmen also eine optimierte und umfassende Sicherheit erreichen wollen, die Anwendungen von der Entwicklung bis zur Laufzeit – und unabhängig vom Einsatzort – vor Angriffen schützt, sollten sie idealerweise eine einzige integrierte Plattform verwenden, die sowohl agentenbasierten als auch agentenlosen Schutz bietet.

Fazit: Ein Schritt in die richtige Richtung

Immer mehr Anbieter agentenloser Sicherheitslösungen kündigen derzeit Partnerschaften mit Herstellern an, die agentenbasierte Lösungen anbieten. Der Streit über agentenlose oder agentenbasierte Sicherheit ist aus meiner Sicht damit endlich beendet.

Das ist eine gute Nachricht, denn sie verschafft Nutzern in der IT-Security die dringend benötigte Klarheit darüber, was erforderlich ist, um Angriffe auf Cloud-Anwendungen effektiv zu erkennen und zu verhindern: Für einen wirksamen Schutz in der Cloud sollten beide Ansätze kombiniert werden. Um dafür nicht mehrere Lösungen parallel einsetzen zu müssen, sollten Unternehmen auf Plattformen setzen, die sowohl agentenbasierte als auch agentenlose Technologien einsetzen. Dies bietet einheitliche Transparenz über Cloud-Workloads und mit dem gesamten Kontext gleichzeitig aktiven Schutz über den gesamten Lebenszyklus, um Risiken zu verstehen und Sicherheitsprobleme zu priorisieren.

Über Arne Jacobsen
Arne Jacobsen ist Director Sales EMEA bei Aqua Security. Der Diplom-Kaufmann verfügt über 20 Jahre Erfahrung in der IT- und Sicherheitsbranche und hatte im Verlauf seiner Karriere verschiedene Positionen im führenden Management bei Security-Anbietern inne. Sein Schwerpunkt ist Cybersecurity und Vulnerability Management. Bevor er zu Aqua kam, war Jacobsen Sales Director EMEA bei IBM Resilient.

Mehr als die Hälfte aller Angriffe zielen auf Verschleierung ab

Tatsächlich nutzen Bedrohungsakteure viele Techniken, um ihre Kampagnen zu verschleiern. Aggregierte Honeypot-Daten, die über einen Zeitraum von sechs Monaten gesammelt wurden, zeigten, dass sich mehr als die Hälfte der Angriffe auf die Umgehung der Verteidigung konzentrierten.

Hierzu gehörten Maskierungstechniken, wie beispielsweise die Ausführung von Dateien aus „/tmp“, oder auch verschleierte Dateien oder Informationen, wie etwa das dynamische Laden von Code. Diese Ergebnisse verdeutlichen die entscheidende Bedeutung der Laufzeitsicherheit.

Risiken in der Software-Supply-Chain

Der Bericht veranschaulicht insbesondere verschiedene Bereiche in der Cloud-Software-Supply-Chain, die kompromittiert werden können und eine erhebliche Bedrohung für Unternehmen darstellen.

In einem konkreten Anwendungsfall demonstriert Nautilus die Auswirkungen von Fehlkonfigurationen in der Software-Supply-Chain (MEHR). Fehlkonfigurationen sind ein Risiko für Unternehmen jeder Größe, weil selbst geringfügige Fehlkonfigurationen schwerwiegende Auswirkungen haben können.

„Nur agentenbasiertes Scanning kann Angriffe auf die Laufzeit erkennen.“

„Bedrohungsakteure konzentrieren sich immer stärker auf agentenlose Lösungen und sind zunehmend erfolgreich darin, diese zu umgehen“, kommentiert Assaf Morag, leitender Bedrohungsforscher bei Aqua Nautilus. „Der überzeugendste Beweis dafür war unsere Entdeckung von HeadCrab, der extrem ausgeklügelten, Redis-basierten Malware, die mehr als 1.200 Server kompromittiert hat. Wenn es um Laufzeitsicherheit geht, kann nur agentenbasiertes Scanning derartige Angriffe erkennen. Denn solche Angriffe sind darauf ausgelegt, volumenbasierte Scanning-Technologien zu umgehen. Dies ist umso wichtiger, da sich die Umgehungstechniken ständig weiterentwickeln.“

Weiterführende Informationen

Ein Blog-Beitrag zu den Ergebnissen des Berichts findet sich hier.

Der vollständige Cloud Native Threat Report 2023 ist hier abrufbar.

Team Nautilus
Team Nautilus ist die auf den Cloud-nativen Technologie-Stack spezialisierte Forschungseinheit von Aqua Security. Sie hat sich zur Aufgabe gemacht, neue Schwachstellen, Bedrohungen und Angriffe aufzudecken, die auf Container, Kubernetes, serverlose und öffentliche Cloud-Infrastrukturen abzielen – und neue Methoden und Tools zu deren Bekämpfung zu entwickeln. Mit einem weltweiten Honeypot-Netzwerk fängt Nautilus jeden Monat über 80.000 Cloud-Native-Angriffe ab. Dazu zählen insbesondere solche, die in einzigartiger Weise auf Container und Microservices zugeschnitten sind und von anderen Plattformen nicht erkannt werden.

Nun auch Unterstützung für NSA- und Pod-Security-Standards

Aqua Trivy ermöglicht es, den kompletten CIS-Kubernetes-Benchmark-Scan durchzuführen, einschließlich Scans auf den Kubernetes-Nodes selbst. Die Scans werden automatisch durchgeführt und führen zu detaillierten Berichten mit Empfehlungen zur Verbesserung der Architektur und der gescannten Workloads – auf der Grundlage der neuen CIS Kubernetes Benchmarks.

Die Lösung unterstützt auch Compliance-Scans nach NSA- und Pod-Security-Standards, sodass Teams sicher sein können, dass ihre Native-Cloud-Umgebungen vollständig geschützt und konform sind.

Weitere Vorteile von Trivy:

• Community-Support – Benutzer können die große Open-Source-Community von Trivy nutzen, wenn es um Support, Ressourcen und die Entwicklung von Funktionen geht.

• Bessere Benutzererfahrung für Entwickler – Trivy ist einfach zu implementieren und zu verwalten. Er kann entweder als CLI-Tool auf lokalen Rechnern, in CI-Pipelines oder als Kubernetes-Operator innerhalb des Clusters für kontinuierliche Scans verwendet werden. Außerdem haben die Nutzer Zugang zu Trivy-Integrationen mit anderen Cloud-Native-Tools, wie beispielsweise Grafana für das Reporting.

• Detailreichtum – Trivy vereint mehrere Scanner für Cloud-Native-Security, einschließlich Schwachstellen-, Workload-Fehlkonfigurations- und Secret-Scans, um möglichst detaillierte Ergebnisse und Empfehlungen zu liefern.

Itay Shakury, VP Open Source bei Aqua Security, erläutert: „Aqua Kube-Bench ist ein enormer Erfolg und wird im Kubernetes-Ökosystem weithin angenommen. Wir sind der Community dankbar, dass sie das Projekt nutzt, fördert und zu ihm beiträgt. Da Trivy mehr Kubernetes-Sicherheitsszenarien abdeckt, war es sinnvoll, Kube-Bench in Trivy einzubinden. Wir glauben, dass die Nutzer von Kube-Bench sehr von der Umstellung auf Trivy profitieren werden, das neben vielen anderen Sicherheitsfunktionen auch bessere CIS-Benchmark-Ergebnisse liefert.“

Der beliebteste Schwachstellen-und Risiko-Scanner für Cloud-Native-Umgebungen

Trivy ist der umfassendste und benutzerfreundlichste Open-Source-Scanner für Schwachstellen und Risiken in Cloud-Native-Umgebungen und deckt mehr Sprachen, Betriebssystempakete und Anwendungsabhängigkeiten ab als jeder andere. Er bietet schnelles, zustandsloses Scannen ohne komplexe Installation und liefert hochpräzise Ergebnisse mit breiter Abdeckung.

Entwicklern, DevOps- und DevSecOps-Teams steht damit ein effizientes, vereinfachtes Tool zum Scannen von Quellcode, Repositories, Images, Artefakt-Registries, IaC-Templates und Kubernetes-Umgebungen zur Verfügung, um Cloud-native Anwendungen zu sichern. Trivy basiert auf der größten Community für Cloud Native Security und ist mit zehntausenden von Nutzern und über 20.000 kombinierten GitHub-Sternen auch der beliebteste Schwachstellen-und Risiko-Scanner für Cloud-Native-Umgebungen. Trivy wurde von führenden Cloud-Plattformanbietern und für DevOps-Projekte wie GitLab, Artifact Hub und Harbor übernommen.

Aqua Security, der führende Anbieter von Cloud-Native-Security, warnt vor einer neuen, schwer zu fassenden und schwerwiegenden Bedrohung. Die Forschungseinheit von Aqua, Team Nautilus, entdeckte eine neue, hochmoderne und maßgeschneiderte Malware einer neuen Gruppe, die sich „HeadCrab“ nennt. Die Malware dringt in Redis-Datenbank-Server ein und hält sich fortan in diesen meist komplett unentdeckt auf, da sie von agentenlosen und herkömmlichen Antivirenlösungen offenbar nicht erkannt werden kann. So konnte die HeadCrab-Malware bereits seit September 2021 weltweit eine hohe Anzahl von Redis-Server kompromittieren und bis dato die Kontrolle über mindestens 1.200 Server übernehmen.

Redis In-Memory-Datenbanken – weit verbreitet und anfällig für unbefugten Zugriff

Redis ist ein Open-Source-Speicher für In-Memory-Datenstrukturen, der als Datenbank, Cache oder Nachrichtenbroker verwendet werden kann. Laut DB-Engines ist Redis der am meisten verbreitete Schlüssel-Werte-Speicher, insbesondere weil Redis für diesen Zweck schneller ist als relationale Datenbanken wie beispielsweise MySQL. Redis-Server sind deshalb verwundbar, weil sie ursprünglich nur in einem sicheren, geschlossenen Netzwerk laufen sollten, anstatt dem Internet ausgesetzt zu sein. Deswegen ist bei ihnen die Authentifizierung standardmäßig nicht aktiviert. Dies macht Redis-Server, die über das Internet zugänglich sind, anfällig für unbefugten Zugriff und die Ausführung von Befehlen.

Maßnahmen zum Schutz vor HeadCrab

Aqua Security hat einen detaillierten Blog-Beitrag über HeadCrab erstellt, der hier zu finden ist. Darin werden die Einzelheiten des HeadCrab-Angriffs erläutert – inklusive der verwendeten Techniken der Malware, um unerkannt zu bleiben. Unternehmen, die Redis-Server im Einsatz haben, finden in dem Beitrag detaillierte Maßnahmen, die sie zum Schutz ihrer Systeme ergreifen können.