CloudNativeSecurityCon、SUSEのセキュリティ部門のトップにインタビュー

CloudNativeSecurityConから、SUSEが2021年に買収したNeuVectorの創業者でSUSEではセキュリティ部門のVPであるFei Huang氏のインタビューをお届けする。短時間であったが、Red Hatとの違いなどについて話を伺った。またキーノートセッションに行われたHuang氏のセッションについても簡単に紹介する。

インタビューに応えるFei Huang氏

SUSEがNeuVectorを買収したのは約1年前ですが、インフラの会社だと思われていたSUSEがセキュリティのソリューションを取り込んだのはなぜですか？

SUSEはインフラストラクチャーの会社、もっと言えばOSだけの会社だというのはちょっと古い認識かもしれませんね。Rancherを買収したのが2020年、NeuVectorの買収が2021年の10月ですから、すでに1年以上経過しています。コンテナのオーケストレーションソリューションであるRancherもソリューションとして存在しているし、NeuVectorがそれに追加されてポートフォリオとして整っているわけです。

OSとコンテナだけでは、エンタープライズが使うプラットフォームとしては大きな穴が開いていたと思います。NeuVectorのソリューションは、SUSEの一部としてそこを埋めることができたと思います。コンテナのオーケストレーターであるKubernetesについても、初期のバージョンがリリースされた当初、デベロッパーは誰もセキュリティが重要になるなんて考えていませんでしたが、すぐにセキュリティソリューションが必要になることは明らかになりました。つまり、RancherとNeuVectorのソリューションはお互いが補完しあう形になっています。

Red Hatのセキュリティを始めとしてコンテナエコシステムのセキュリティソリューションは多数存在しますが、NeuVectorの差別化のポイントは？

我々もRed Hatもオープンソースであることを謳っていますが、SUSEは100％オープンソースをベースにしていることは強調したいですね。NeuVectorとRed Hatのもう一つの大きな違いはロックインしないことだと思いますね。Red Hatにとって最適な組み合わせは、RHELとOpenShiftそしてRed Hatのセキュリティプロクトを提供することですが、NeuVectorはSUSEのOSもRancherも必須ではないのです。ユーザーが別のものを使っていてそれをベースにしたいのであれば、NeuVectorは対応します。ですから、OpenShiftを使っているユーザーがNeuVectorを使うことに何の不自由もありません。それはユーザーに選択の自由を与えることになります。そこが大きな違いですね。

NeuVectorのセキュリティについて説明すると、リアクティブではないことが挙げられます。これは例えばアクセスのポリシーにとっても悪いIPアドレスだけを拒否するリストに入れるのではなく、基本は拒否、問題のないことが確認されたIPアドレスだけを許可する発想です。他にもビヘイビアを監視して学習し、怪しい行いを事前に止めることも可能です。またKubernetesの構成や変更をマニュアルで行うのではなく極力自動化することで、操作ミスなどから発生するインシデントを防ぐことなどもポイントですね。またシステム内の行いを学習して、異常な動作を見つける機能も実装しています。

SUSEブースで撮影。小さなブースながらNeuVectorに特化した作り

このインタビューでは具体的な製品の解説には踏み込まずに、基本的な製品戦略の解説に終始した内容となった。このカンファレンスではNeuVectorが提供するソリューションについては製品の詳細には触れてはいないものの、外郭を紹介したキーノートセッションが公開されている。このセッションは約5分という短いもので、CloudNativeSecurityConのスポンサーに提供される枠を使ったものだが、Huang氏が強調するプロアクティブなセキュリティとリアクティブなセキュリティの違いを簡単に紹介している。

「Kubernetes is the Perfect Platform for Enforcing Zero Trust Security」と題されているように、Kubernetesの特徴である宣言的な部分を上手く取り入れながらNeuVectorの製品が実装されていることを説明している。

●動画：Kubernetes is the Perfect Platform for Enforcing Zero Trust Security

特に宣言的、自動化、スケーラブルな部分がリアルタイムなセキュリティを実装する上で最良のプラットフォームとなっていると説明している。

プロアクティブなセキュリティの実装を可能とするKubernetes

またユースケースとしてエンタープライズ企業や金融サービスを提供する企業の例を挙げて、マルチクラウド、アプリケーションファイアウォール、ポリシーアズコード（Policy as Code）などのキーワードに簡単に紹介した。

NeuVectorの顧客事例を紹介

特に名前は挙げなかったがSUSEとRancherをベースにしたユースケースが日本にもあると説明し、ゼロトラストセキュリティについて理解が進みつつあることを語った。日本ではまだOSの会社として認識されがちなSUSEだが、ロックインしないという発想はRed Hatとの違いを印象付けるには良いメッセージだろう。日本の大企業に採用されるためには、パートナー作りやサポートがハードルになるだろうが、健闘を期待したい。