Elastic 聯手 build.security 打造雲端安全

前言

自成立以來，Elastic Security 就有一個明確的使命：保護全球資料和系統免受攻擊。
我們從建立 Elastic Stack 的 SIEM 開始，應用其快速且可擴展的搜尋功能來檢測所有威脅向量中的安全漏洞。接下來，我們與 Endgame 聯手將端點安全整合到 Elastic Security 中，讓客戶能夠從統一的平台預防、檢測和響應攻擊。隨著最近發布的 Elastic Security Limitless XDR 和 Elastic Agent 的普遍可用性，我們進一步推進了我們的使命。

如今，我們很高興地宣布 Elastic Security 的下一個旅程：將安全從每個端點擴展到每個雲端工作負載。
數以百萬的用戶信任 Elastic 對其關鍵業務應用程式的可觀察性。 Elastic 部署在數十萬個原生雲工作負載中，用於日誌記錄、指標和應用程式性能監控。此外，Elastic Security 還包括針對原生雲威脅的強大檢測功能，例如我們的機器學習模型可以檢測針對 AWS metadata 服務的攻擊。

而我們現在有更多的進展。我們很高興與位於以色列特拉維夫的 build.security 聯手，在由主機、虛擬機和由 Kubernetes 協作的容器上實現雲端安全的執行，即為原生雲端環境執行安全操作的能力。

build.security 的團隊利用開源的策略即程式碼（OPA）建立了一個策略定義和執行平台，讓企業能與 Kubernetes 等原生雲基礎架構組件掛鉤並執行策略。利用 OPA 的簡單用戶體驗，build.security 在跨原生雲端環境和 Kubernetes 及 Istio 等平台提供策略管理和實施。

未來幾個月將 build.security 的技術整合到 Elastic Security 中，我們的客戶將能夠持續監控並確保他們的雲端環境對他們制定的策略是安全的，並根據 CIS 標準驗證他們的安全狀態。他們將能夠確保他們的 Kubernetes 配置是安全的，以及使用經過批准的容器映像等等。 

雲端安全的定義

在 Elastic，我們認為雲端安全包括對原生雲威脅的檢測，以及對原生雲基礎架構的安全措施的執行。雲端安全使客戶能夠回答兩個關鍵問題：

• 根據我制定的策略，我的雲端環境是否安全？這是持續的原生雲端安全。
• 是否有人試圖違反我的安全策略，我該如何預防？這是工作負載運行時安全。

持續的原生雲端安全

原生雲端安全的核心是確保所有環境都根據您定義的策略建立和維護。這種配置和變更管理在雲計算中至關重要，因為新環境是由企業中眾多不同團隊不斷建立的。無論是企業建立的訂製策略，還是定義的策略集（例如 CIS 標準），或兩者的組合，功能強大的雲端安全產品都需要提供一種簡單的方法來強制遵守這些策略。這是 build.security 所擅長的領域，也是我們將共同合作的重點。

策略即程式碼 (OPA)

我們相信資料、策略和策略管理是確保持續原生雲端安全的核心。透過與 build.security 聯手，我們正在強化我們對策略作為安全基石的基本信念，以及我們對策略制定和執行業界標準的力量有共同信念：CNCF 的開源策略即程式碼 (OPA)。
來自 GitHub 自述文件：
開源策略即程式碼 (OPA) 是一個開源的通用策略引擎，可在整個堆棧中實現統一的、上下文感知的策略實施。
OPA 作為一個完成項目由雲端原生計算基金會 (CNCF) 託管。

使用 Rego（一種用於定義 OPA 策略的策略語言），公司可以更輕鬆地表達，更重要的是，可以在常見的建立、部署和運行時間原生雲實踐方面進行協作。此外，能夠與社群分享可以使所有人變得更好。我們已經透過 Elastic Security 的開源檢測資源庫親眼見證了這一點，社群透過我們的更新中貢獻了數十條新規則。隨著時間的推移，我們預計能夠對 OPA 的未來進行投資與貢獻，因為該標準在用戶中繼續獲得更大的動力。

Elastic 與 build.security 的未來

我們相信與 build.security 等專注的創新團隊聯手會產生力量加倍效應。首先我們的目的是與 build.security 的聯合創始人兼首席執行官 Amit Kanfer 及其團隊合作，將 OPA 整合到 Elastic Agent 中，並建立直接在 Kibana 中管理 OPA 策略的能力，以及使用 Elastic Common Schema (ECS) 在 Elasticsearch 中存儲 OPA 策略執行的結果。

從 Kubernetes 使用准入控制器（admission controller）開始，Elastic 將繼續在開發管道的所有階段（從程式碼到雲端再到運行時）添加策略功能，以確保合規性、降低風險和減少人為錯誤，上述都在我們現有的可觀察性堆棧之上。
但這僅僅是開始。我們邀請 Amit 共同撰寫此篇文章，並討論他對安全策略和 OPA 未來的看法。

「想想看，它可以連接到你的 git 資源庫並在建立時強制執行合規性和安全檢查，如果 PRs 違反策略，則阻止它們被合併。同一個平台證明 CI/CD 管道中的所有安全檢查（例如，圖像掃描和驗證），連接到 Jenkins 和 CircleCI，並透過雲中的 Kubernetes 准入控制器，防止供應鏈攻擊。潛在地，當與 eBPF 整合時能夠增強運行時工作負載保護。上述都可以透過利用 Open Policy Agent 來實現。」

「大多數軟體公司花費大量時間來證明他們為什麼需要在談判桌上佔有一席之地，而Elastic 已佔有一席之地。我們很高興與 Elastic 聯手，加快我們為原生雲端環境，提供免費和開源的策略管理平台的能力，從 Kubernetes 准入控制器安全性開始，然後從設計擴展到部署到生產，從程式碼到雲端運行時，都十分可靠。」

本文翻譯自：https://www.elastic.co/blog/elastic-and-build-security-shifting-left-together-to-secure-the-cloud 
參考更多 Elastic 相關資訊：https://www.omniwaresoft.com.tw/elastic/