本文の内容は、2021年7月20日のプレスリリース(https://sysdig.com/press-releases/sysdig-announces-intent-to-acquire-apolicy-for-infrastructure-as-code-security-with-auto-remediation/)を元に日本語に翻訳・再構成した内容となっております。
Open Policy Agent（OPA）をベースにしたPolicy as codeが、Sysdig Secure DevOps Platformにおける既存のクラウドとKubernetesのセキュリティを強化
サンフランシスコ-2021年7月20日- Secure DevOpsのリーダーであるSysdig社は、セキュリティをさらにシフトレフトさせるために、IaC（Infrastructure as code）セキュリティを含むSysdig社の製品を拡大するため、Apolicy社を買収する意向を発表しました。Sysdigのお客様は、ビルドからプロダクションまでのDevOpsサイクルをセキュアにしています。Apolicyは、コードとしてのポリシーによるコンプライアンスとガバナンスの実施、本番環境からソースへのクローズドループでドリフトを自動修復、リスクベースの優先順位付けによる問題解決の迅速化を実現する事により、クラウドとKubernetesのセキュリティを強化し、これらの機能を補完します。
セキュリティリスクを管理するためにSucure DevOpsを採用するクラウドチーム
パンデミックの影響でオンライン化が進み、クラウドでアプリケーションを提供するチームにプレッシャーがかかっています。最新のアプリケーションは、コンテナ化されたマイクロサービスとして構築されており、DevOpsアプローチを用いてデリバリーを加速させています。チームは Secure DevOpsを採用し、それに合わせてセキュリティプロセスの変革を進めています。これには、クラウド構成のリスク管理、ビルド時のイメージのスキャン、ランタイムでの脅威の検出と対応、規制基準準拠における継続的な検証などが含まれます。IaCセキュリティによるクラウドとKubernetesにおけるセキュリティの自動化
Infrastructure-as-Code（IaC）、そして、GitOpsのトレンドは、インフラの完全な運用管理を実現する方法として、クラウドプラットフォームチームの間で広く知られるようになりました。チームがTerraformやCloudFormationなどのIaCツールを使ってインフラをコード化すると、セキュリティを見落としがちになります。クラウドでの設定ミスはよくあることで、多くの著名なクラウドにおけるセキュリティ侵害の事案で明らかになっています。インフラストラクチャーの構築にIaCの原則を採用することで、一貫性を高め、ヒューマンエラーを減らすことで信頼性を向上させることができます。構成を定義する際にセキュリティをチェックする事は、「セキュリティをさらにシフトレフト」させ、インフラをデプロイする前に問題を特定して解決することが可能となります。IaCセキュリティの目的は、組織のクラウドとKubernetesのセキュリティコントロールを自動化することです。IaCセキュリティでは、ポリシーをコードとして適用し、設定ファイルと本番環境の両方を検証し、それらが同一であることを確認することで、チームはコンプライアンスとガバナンスを一貫して実施することができます。ランタイムで逸脱が発生した場合には、それを発見し、ソースから直接自動的に修復して、二度と発生しないようにすることができます。IaCセキュリティをSecure DevOpsのワークフローに統合することで、チームはセキュリティをさらにシフトレフトさせ、セキュリティの向上、セキュリティチームのアラート疲労を軽減することができます。
Sysdig CEOのSuresh Vasudevanのブログ：SysdigとApolicyが力を合わせ、お客様のInfrastructure As Codeのセキュリティ確保と修復の自動化を支援
Apolicy社の買収により、Sysdig社のお客様はIaCセキュリティの恩恵を受けることができます：
- ソースから本番までのコードとしてのポリシーを介して、コンプライアンスとガバナンスを強化します：Apolicyは、複数のIaC、クラウド、Kubernetes環境に一貫したポリシーとベストプラクティスを適用する機能を提供します。お客様は、policy as codeを用いてセキュリティ要件を統一的に把握することで、開発者、DevOps、セキュリティチームの間のギャップを埋めることができます。Kubernetesアドミッションコントローラーを介してOPAベースのポリシーを実施し、コンプライアンスを自動化することで、コントロールをユーザーの手に取り戻すことができます。
- ドリフトを自動修復し、本番環境からソースまでのクローズドループを実現します：Apolicyの追加により、お客様はランタイムでのドリフトを検出し、それをIaCの設定（ソース）ファイルに即座にマッピングすることができるようになりました。これにより、簡単なプルリクエストでIaC構成のソースを自動修正することができ、開発者の生産性が劇的に向上するとともに、チーム間で一貫したポリシーを実施することができます。
- リスクベースの優先順位付けにより、問題を迅速に修正します：IaCエラーの影響を受ける本番インスタンスを特定してアラートを統合し、アプリケーションコンテキストに基づいてIaC修正の優先順位を決定することで、ユーザーは修正作業に優先順位をつけることができます。豊富なアプリケーションコンテキストにより、ミスコンフィグレーションを修正できるオーナーを簡単に特定することができます。
Apolicyの創設者であるMaor Goldberg（CEO）、Eran Leib（VP Product Management）、Shlomi Wexler（VP R&D）を含むApolicyチームは、Sysdigチームに参加します。Apolicy社の製品は、Sysdig Secure DevOps Platformの一部として組み込まれます。
Sysdig Secure DevOps Platformは、コンテナ、Kubernetes、パブリッククラウドのインフラストラクチャーのセキュリティに関する課題にユニークな方法で対応します。Sysdigは、Worldpay by FIS、Yahoo! JAPAN、IBM、JW Playerなど、数百社の大手企業から信頼を得ており、セキュリティリスクを管理し、コンプライアンス要件を満たしながら、最新のクラウドアプリケーションを自信を持って実行することができます。
SysdigのCEOであるSuresh Vasudevanは次のように述べています。”セキュリティ侵害のほとんどは設定ミスが原因です。我々のお客様は、デプロイメント前にコンフィギュレーションエラーを検出し、本番環境でドリフトを特定する単一のプラットフォームを求めています。Apolicyで、インフラとワークロードのための Secure DevOpsワークフローを提供し、ランタイムに特定された問題を修正することで、本番からソースへの自動的なクローズドループを実現できるのは、Sysdigだけです。”
Apolicy社の最高経営責任者であるMaor Goldberg氏は次のように述べています。”我々は、リスクの特定、修復、ポリシーの施行を通じて、ソースからプロダクションまでのKubernetesのセキュリティを確保する目的でApolicy社を設立しました。Sysdigと手を組むことで、クラウドとコンテナのマーケットで最高のセキュリティ機能を、当社のインフラとセキュリティポスチャーを統合できることを嬉しく思います。私たちは、オープンソースで構築されたエンドツーエンドのクラウドネイティブセキュリティプラットフォームをお客様に提供します。”
“2019年後半、クラウドネイティブアプリケーションを保護する領域の破壊に乗り出したMoorとApolicyチームを真っ先にサポートできたことに非常に興奮しています。今日、ApolicyがSysdigと統合して次のステップに進むことにも同様に興奮しており、統合会社の今後の成功を楽しみにしています”とStageOne VenturesのマネージングパートナーであるTal Slobodkinは述べています。
メディア連絡先
Amanda McKinney Smith
(703) 473-4051
[email protected]