Red Hat · Software · scheda YoctoIT

ACS

La security dei container shift-left: vulnerabilità, configurazioni e runtime protetti lungo tutta la filiera, dal build al cluster.

FOCUS · SECURITY NELLA FILIERADal Dockerfile al runtime: la sicurezza spostata dove costa meno correggerla
Richiedi il Free Assessment Scopri di più
Materiale YoctoIT per clienti e partner · Red Hat, RHEL, OpenShift, Ansible e gli altri prodotti citati sono marchi di Red Hat, Inc. o di sue affiliate.
01 · Cos'è

Advanced Cluster Security, in chiaro.

ACS (StackRox) valuta i rischi lungo l'intero ciclo dei container: scansione delle immagini in build, controllo delle configurazioni al deploy (privilegi, network policy, secret), rilevamento runtime dei comportamenti anomali. Le policy bloccano il rischio in pipeline, prima che arrivi in produzione.

Shift-left
la vulnerabilità bloccata in CI costa 1, in produzione costa 100
Runtime
processi e connessioni anomale rilevati sui carichi in esercizio
Network policy
la segmentazione dei pod suggerita dal traffico reale osservato
Advanced Cluster Security
VESTE UFFICIALE RED HAT · ACS
CONSOLE REALE · ACS NETWORK GRAPH · FONTE: RED HAT DOCS
CONSOLE REALE · ACS NETWORK GRAPH · FONTE: RED HAT DOCS
02 · Come lo si usa bene

Le cose che fanno la differenza.

La filiera protetta

Build & registryscan immagini, firma, SBOM
Deploy check
Runtime detect
Network graph
policy · anomalie · segmentazione
ACS centralpolicy e rischio prioritizzato
I cluster OpenShiftprod, test, ovunque
Ogni fase controllata, un solo cruscotto

Policy come guardrail

Le immagini con CVE critiche o privilegi eccessivi non passano: il gate in pipeline, non la caccia dopo.

Prioritizzazione del rischio

Non 10.000 CVE ma i 20 deployment davvero esposti: si lavora dove conta.

Segmentazione fattibile

Il network graph mostra chi parla con chi: le network policy nascono dai fatti.

Compliance container

CIS Kubernetes, NIST, PCI: i controlli mappati e misurati sui cluster.

03 · In profondità

Policy engine e supply chain

ACS valuta il rischio su build, deploy e runtime: le policy (già pronte o custom) bloccano in admission controller le immagini con CVE critiche, i privilegi eccessivi o i secret nei manifest; il runtime osserva processi e rete dei pod con baseline comportamentali; il network graph propone NetworkPolicy dal traffico reale. Scanner V4 analizza immagini e nodi; l'integrazione CI (roxctl) porta il verdetto nella pipeline.

  • Admission control — il deploy non conforme non entra: policy as code sul cluster
  • roxctl in CI — l'immagine bocciata in pipeline: il fail veloce che educa
  • Runtime baseline — processi inattesi nei container segnalati: il crypto-miner non si nasconde
  • Network graph — le NetworkPolicy suggerite dai flussi osservati: micro-seg fattibile
  • Compliance — CIS/NIST/PCI misurati per cluster con report
  • Vulnerability mgmt — CVE per deployment con fixable version: la coda che si smaltisce
04 · Numeri e ciclo di vita

I numeri che contano.

3
le fasi coperte: build, deploy, runtime
60+
le policy di default pronte all'uso
0
agent privilegiati inutili: eBPF per il runtime
4/anno
le release ACS allineate a OpenShift
La sicurezza dei container va nel flusso: policy in admission, gate in CI e il runtime osservato — configurati da noi, sempre accesi.
05 · Use case

Dove rende davvero.

DevSecOps

La security dentro la pipeline, non dopo.

Ambienti regolamentati

Evidenze di controllo per NIS2/DORA anche sui container.

Multi-cluster

Un solo punto di visibilità del rischio su tutti gli OpenShift.

I container cambiano ogni giorno, la security deve stare nel flusso: ACS nel nostro perimetro gestito.