Newsletter heise-Bot heise-Bot Push Nachrichten Push Push-Nachrichten

Open-Source-Plattform für Containersicherheit: NeuVector Cloud Workload Security

NeuVector ist eine konkurrenzfähige Open-Source-Plattform für Containersicherheit: SUSE hat die CWPP-Software nach Übernahme unter Apache-2-Lizenz gestellt.

Artikel verschenken
In Pocket speichern vorlesen Druckansicht
Lesezeit: 7 Min.
iX Magazin
Von
  • Christoph Puppe
Inhaltsverzeichnis

Eine Cloud Workload Protection Platform (CWPP) überwacht und schützt Container in Kubernetes-Umgebungen und liefert damit eine wesentliche Grundlage für den sicheren Betrieb containerisierter Anwendungen in der Cloud. Bislang waren hier nur proprietäre Produkte erhältlich. Nun hat SUSE die übernommene CWPP-Software NeuVector unter Apache-2.0-Lizenz als Open Source komplett auf GitHub veröffentlicht. Alle anderen Hersteller in diesem Markt – Sysdig, Palo Alto, Aqua Security sind die wichtigsten Konkurrenten – veröffentlichen zwar auch etliche Komponenten als Open Source, aber nur einzelne Werkzeuge und nicht die gesamte Plattform.

Mehr zum Thema Container

So bietet Sysdig sein Tool Falco für das Erkennen von Angriffen als OSS an und Aqua Security ist mit seinem OSS-Image-Scanner Trivy einer der Marktführer. Andere freie Werkzeuge wie der OPA (Open Policy Agent) dringen zwar in den CWPP-Markt ein, haben aber deutlichen Nachholbedarf bei der Benutzbarkeit. Und eine ansprechende grafische Oberfläche ist für viele potenzielle Nutzer auch in Zeiten weitgehender Automatisierung immer noch ein wichtiges Thema. Natürlich lassen sich alle CWPP auch in die CI/CD-Pipelines einbinden, so auch NeuVector. Schon im 2017 erschienenen Artikel "Sicher am laufenden Band" war der damalige Neuling NeuVector das Produkt mit der besten UI und bot ein auch vom Funktionsumfang her vollständiges Angebot.

In einer geschützten Umgebung kann NeuVector das Verhalten von Containern selbstlernend in Richtlinien abbilden, die dann zur Laufzeit in der Produktion verhindern, dass sich der Container ungewöhnlich verhält. Das lässt sich als automatisierter Schritt in eine CI/CD-Pipeline integrieren und kann erfolgreich viele Angriffe abwehren.

(Bild: NeuVector)

Eine besondere Stärke von NeuVector ist die Sichtbarkeit des Datenverkehrs zwischen den Pods. Als einziges Produkt kann es einzelne Verbindungen aufzeichnen und es liefert neben Mikrosegmentierung auch Netzwerk-Mapping und Deep Packet Inspection. Eine elementare Funktion für die teilweise oder ganz automatisierte Überwachung des Verhaltens ist die Option, anhand des beobachteten Verhaltens der Container Regelwerke zu erstellen. Hier kann das CWPP seine Stärken auch gegenüber den OSS-Konkurrenten ausspielen, deren SECCOMP-, SELinux- und Network-Policy-Einstellungen von der Anwendungsentwicklung vorzunehmen sind.

Immer mehr Wissen. Das digitale Abo für IT und Technik.

Immer mehr Wissen. Das digitale Abo für IT und Technik.

Spiele

nach oben
Alle Angebote
Newsletter heise-Bot heise-Bot Push Nachrichten Push Push-Nachrichten