O Twistlock anunciou a disponibilização da versão 2.1 da sua suite de segurança para containers. Os destaques do lançamento incluem um firewall integrado que entende o tráfego de informação da aplicação, detecção de vulnerabilidade, gerenciamento de Secrets (credenciais, tokens, senhas e outros tipos de informações confidenciais) via integração com ferramentas de terceiros, e alerta e aplicação de compliance.
O firewall integrado, chamado Cloud Native Application Firewall (CNAF), pode entender e proteger o tráfego de informação da aplicação (Layer 7) contra vulnerabilidades conhecidas, como SQL Injection. Entretanto, como portas e conteúdo do tráfego serão diferentes nas aplicações que estão em execução, como Twistlock suporta essas funcionalidades? InfoQ entrou em contato com John Morello, CTO do Twistlock, para saber mais:
Nós temos profundo conhecimento de um conjunto de aplicações comuns como Apache, WordPress, nginx, e outras que cobrem uma ampla variedade de características comportamentais. Entretanto, mesmo para uma aplicação que nunca vimos antes, nós fornecemos a parte importante da capacidade de segurança como proteção contra SQLi, ataques tipo XSS e filtro no ingresso de tráfego baseado num conjunto de dados de endpoints maliciosos em tempo real.
Para um conjunto de aplicações mais conhecidas e populares, as portas são conhecidas de antemão. Para outras, o CNAF pode "automaticamente determinar quais portas ele escuta e dinamicamente redirecionar o tráfego para o Twist Defender protegê-lo", diz Morello.
O Twistlock foi lançado há poucos anos atrás com uma integração com Google Container Engine (GKE), seguida por uma parceria com a Amazon Web Services (AWS). Ambos provedores de serviço de Cloud possuem seus próprios firewalls configuráveis. O Twistlock acrescenta a esta camada de segurança do nível da aplicação, por entender o tipo de tráfego que flui para dentro e fora dela. "Nada do que fazemos está amarrado com qualquer provedor de Cloud específico", diz Morello.
O Twistlock também oferece detecção de vulnerabilidade. O dado vulnerável é retirado diretamente de mais de 30 fornecedores e fontes comerciais de ameaças. Essa informações são analisadas e agregadas no fluxo de inteligência do produto. Uma vez que os dados são originados de uma variedade de fornecedores, o Twistlock pode assegurar uma taxa mais baixa de falso positivo do que outras ferramentas, segundo Morello. Existem outras ferramentas de detecção de vulnerabilidade como vuls e Clair. Para uma pergunta sobre como Twistlock se compara com tais ferramentas, Morello responde com alguns pontos:
- Fontes do Twistlock para Vulnerabilidades e Exposições Comuns (CVE) são dados mais robustos do que os suportados por vuls ou Clair atualmente. O Twistlock gera menos falso positivo que ambas ferramentas.
- A varredura do Twistlock possui plugins nativos para ferramentas CI/CD. Ele não apenas considera imagens num registry, mas também pode ativamente bloquear builds baseado no resultado do CVE. O Twistlock também pode identificar e isolar containers em execução impactados por novas descobertas do CVE.
- Todo CVE detectado recebe uma classificação de risco gerada automaticamente - baseada na visão do Twistlock no ambiente, e nas aplicações, de maneira que os problemas corretos sejam priorizados. Por outro lado, Clair, vuls e outros simplesmente reportam o CVE detectado.
- O Twistlock pode criar uma barreira de controle através do processo de CI/CD para requerer baselines das vulnerabilidades e estado de compliance antes que as imagens deixem o desenvolvimento, e antes que sejam executadas em produção. Por exemplo, com o Twistlock pode-se definir uma política como "prevenir instalar qualquer container no ambiente de produção que tenha gravidade média ou alta vulnerabilidade do Java."
A última versão lançada do Twistlock integra software de gerenciamento de Secrets (credenciais, tokens, senhas e outros tipos de informações confidenciais) como Hashicorp's Vault e CyberArk Enterprise Password Vault para armazenar senhas e outros tokens seguros. Isso é parte também de um esforço open source para fazer o gerenciamento do Secret do Docker Swarm plugável, ao qual Twistlock tem contribuído com o código.
Algumas outras características desse lançamento inclui alerta de compliance via plugin do Jenkins, uma "coleção" abstrata para criar filtros de textos reusáveis baseados em expressões regulares para matching de containers e imagens através de projetos e hierarquias organizacionais, e um dashboard renovado.