Bitdefender GravityZone Security for Containers Add-On

Was ist im Add-on „Bitdefender GravityZone Security for Containers“ enthalten?

Laufzeitschutz für Container – Malware-Schutz und Verhaltensüberwachung für ausgeführte Docker- und Kubernetes-Workloads.
Linux-Anti-Exploit – Blockiert Container-Escape, Prozess-Hijacking und bösartige Skripttechniken.
Kernel-unabhängiger Agent – Läuft ohne Linux-Kernel-Module auf mehreren Distributionen.
Kontextbezogene EDR – Zeichnet Container-Ereignisse auf und ordnet sie dem MITRE ATT&CK-Modell zu.
Zentrale Verwaltung – Richtlinien, Bestandsübersicht und Berichte im GravityZone Control Center.
Wichtig – Das Scannen von Container-Images ist eine separate GravityZone-Integration und nicht im Lieferumfang enthalten.

Was sind die wichtigsten Vorteile des Bitdefender GravityZone Security for Containers-Add-ons?

„Security for Containers“ ist ein Add-on für die GravityZone-Plattform, das Linux-Container-Workloads während ihrer Ausführung schützt. Es wird zentral über das GravityZone Control Center verwaltet – in derselben Konsole wie die bereits verwalteten Server und Endpunkte.

Schnellere Distributions-Upgrades – Keine Abhängigkeit von Kernel-Modulen verzögert Ihren Linux-Upgrade-Zeitplan.
Eine Konsole – Container-Warnmeldungen werden neben Server- und Endpunkt-Vorfällen angezeigt.
Schutz vor Angriffen zur Laufzeit – Erkennt Bedrohungen, die bei der Image-Prüfung vor der Bereitstellung nicht erkannt werden können.
Unterstützung verwalteter Plattformen – Deckt EKS-, AKS-, GKE- und Amazon ECS-Cluster ab.
Untersuchungskontext – Die ATT&CK-Zuordnung verkürzt die Triage von Linux-spezifischen Container-Warnmeldungen.

Für welche Unternehmensgröße eignet sich das Bitdefender GravityZone Security for Containers Add-On?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob Sie tatsächlich Container in der Produktion betreiben. Ein Softwareunternehmen mit zwanzig Mitarbeitern, das einen Kubernetes-Cluster betreibt, hat einen stärkeren Bedarf an diesem Add-on als ein Unternehmen mit zweihundert Mitarbeitern, das ausschließlich Windows-Dateiserver einsetzt.

Erfüllt das Add-on «Bitdefender GravityZone Security for Containers» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Kein Softwareprodukt erfüllt diese Anforderungen von sich aus, und dieses Add-on bildet da keine Ausnahme. Das revidierte Informationssicherheitsgesetz verpflichtet Betreiber kritischer Infrastrukturen, Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden. Das bedeutet, dass das praktische Problem darin besteht, den Vorfall früh genug zu erkennen und ihn genau genug zu beschreiben, um die Meldung innerhalb dieses Zeitfensters einzureichen. „Security for Containers“ unterstützt diese spezifische Aufgabe bei Container-Workloads: Es protokolliert Prozess-, Datei- und Netzwerkereignisse in laufenden Containern, ordnet die Erkennungen dem MITRE ATT&CK-Modell zu und erstellt eine Zeitleiste, anhand derer Sie beschreiben können, was wann geschehen ist. Die Lösung gibt Ihnen keine Auskunft darüber, ob Ihr Unternehmen der Meldepflicht unterliegt, sie reicht den Bericht nicht ein und liefert keinerlei Nachweise für Ressourcen außerhalb ihres Geltungsbereichs – also für Ihre Windows-Endgeräte, E-Mail-Postfächer, Netzwerkgeräte und alle noch nicht bereitgestellten Container-Images. Wenn Ihre Containerumgebung nur einen Teil Ihrer Infrastruktur ausmacht, besteht die Melde-Lücke bei allem anderen. Diese Informationen stellen keine Rechtsberatung dar; die Beurteilung Ihrer eigenen Verpflichtungen obliegt Ihrer Rechts- oder Compliance-Abteilung.

Erfüllt das Add-on „Bitdefender GravityZone Security for Containers“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die NIS-2-Konformität, da sich die Richtlinie auf das organisatorische Risikomanagement bezieht und nicht auf ein einzelnes Tool. NIS 2 schreibt Maßnahmenkategorien vor, darunter Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Sicherheit bei der Beschaffung und Wartung von Netzwerk- und Informationssystemen, Umgang mit Schwachstellen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Dieses Add-on leistet in begrenztem Umfang einen Beitrag zu zwei dieser Kategorien: zum Vorfallmanagement durch Erkennung und Reaktion zur Laufzeit bei Container-Workloads sowie zur Sicherheit von Netzwerk- und Informationssystemen, speziell für die Container-Ebene. Es leistet keinen Beitrag zu Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Geschäftskontinuität oder Mitarbeiterschulung, und sein Beitrag zur Lieferkette ist begrenzt, da es Container zur Laufzeit überprüft und nicht die Images und Abhängigkeiten, aus denen sie erstellt wurden. Betrachten Sie es als eine Kontrollmaßnahme in einem viel größeren Gesamtkontext und nicht als Nachweis für die Abdeckung auf Richtlinienebene.

Hilft das Bitdefender GravityZone Security for Containers Add-On bei Sicherheitsfragebögen großer Kunden?

Ja, für einen bestimmten und relativ engen Fragenblock. Es liefert Ihnen eine fundierte Antwort auf Fragen zum Malware-Schutz für Linux-Server und Container-Workloads, zur Erkennung und Reaktion auf Bedrohungen zur Laufzeit, zur zentralisierten Verwaltung von Sicherheitsrichtlinien sowie dazu, ob Sicherheitsereignisse zentral erfasst und an ein SIEM weitergeleitet werden können. Fragen zur Erkennungsmethodik lassen sich ebenfalls leichter beantworten, da Erkennungen einem anerkannten Framework zugeordnet sind und nicht herstellerinternen Kategorien.

Es gibt keine Antworten zu Multi-Faktor-Authentifizierung, Festplatten- oder Datenverschlüsselung, Patch- und Schwachstellenmanagement, Verwaltung mobiler Geräte, E-Mail-Sicherheit, Sicherung und Wiederherstellung, Identitäts- und Zugriffsmanagement oder Endpunktabdeckung für Windows und macOS. Es gibt auch keine Antworten auf Fragen zum Scannen von Container-Images und Abhängigkeiten, die in den meisten modernen Lieferantenfragebögen für Softwareanbieter vorkommen, da dieses Scannen eine separate GravityZone-Integration darstellt.

Diese Lücken zu
schließen ist innerhalb der GravityZone-Produktfamilie in der Regel kostengünstiger und schneller als durch den Einsatz verschiedener Anbieter, da die Antworten dann aus einer einzigen Konsole und einem einzigen Berichtsmodell stammen – genau das, was ein Prüfer sehen möchte. Die Endpunkt- und EDR-Abdeckung erfolgt über eine GravityZone Business Security Premium- oder Business Security Enterprise-Basislizenz, Patch-Management und vollständige Festplattenverschlüsselung sind separate GravityZone-Add-ons, Fragen zur Cloud-Konfiguration werden von CSPM+ abgedeckt und das Scannen von Images durch die Integration des Bitdefender Container Image Scanners. Ordnen Sie Ihren Fragebogen vor dem Kauf diesen Komponenten zu, da das Add-on allein den Großteil des Formulars unbeantwortet lassen würde.

Was ist der Unterschied zwischen „Security for Containers“ und „Cloud and Server Security“?

Der entscheidende Unterschied liegt darin, was geschützt wird: „Security for Containers“ schützt die in Containern ausgeführten Workloads, während „Cloud and Server Security“ die Server und virtuellen Maschinen selbst schützt. Bitdefender positioniert die beiden Produkte als sich ergänzende Komponenten der „Cloud Workload Security“ und nicht als Alternativen; daher benötigt ein Team, das Container auf eigenen Linux-Hosts ausführt, in der Regel beide Lösungen und nicht nur eine. Der Kauf nur des Container-Add-ons lässt den zugrunde liegenden Host ungeschützt – ein Fehler, der meist dazu führt, dass wenige Wochen später ein Nachkauf erfolgt. Keines der beiden Produkte führt Scans von Container-Images durch.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Es handelt sich hierbei um ein Add-on und kein eigenständiges Produkt: Es erfordert eine bestehende GravityZone-Basislizenz sowie das GravityZone Control Center und kann nicht eigenständig betrieben werden. Sein Anwendungsbereich umfasst Linux- und Container-Workloads; daher benötigen Windows- und macOS-Endgeräte im selben Unternehmen weiterhin Endgeräte-Lizenzen aus einem GravityZone-Basisprodukt, was von Käufern, die eine gemischte Infrastruktur schützen, häufig unterschätzt wird. Der Schutz wird zur Laufzeit angewendet, was bedeutet, dass Container-Images, die sich vor der Bereitstellung in einer Registry befinden, nicht überprüft werden; diese Aufgabe übernimmt der Bitdefender Container Image Scanner, eine separate Integration, die im Integrations-Hub mit einem eigenen Befehlszeilentool konfiguriert wird. Kubernetes- und Cloud-Konfigurationsprüfungen gehören zu KSPM bzw. CSPM+ und werden ebenfalls separat lizenziert; eine ausschließlich auf dieser Seite zusammengestellte Einkaufsliste deckt daher das Posture-Management nicht ab. Bitdefender fügt regelmäßig neue Container-Plattformen hinzu. Wenn Sie also eine Orchestrierungsplattform nutzen, die nicht zu Docker, Podman, Kubernetes, Amazon ECS, EKS, AKS oder GKE gehört, sollten Sie vor der Bestellung die aktuelle Unterstützung überprüfen.

Häufig gestellte Fragen zum Bitdefender GravityZone Security for Containers-Add-on

Welche Container-Plattformen werden unterstützt?

Bitdefender listet Docker, Podman, Kubernetes, Amazon Elastic Container Service (ECS), Amazon Elastic Kubernetes Service (EKS), Azure Kubernetes Service (AKS) und Google Kubernetes Engine (GKE) auf. Die Liste wird im Laufe der Zeit erweitert. Erkundigen Sie sich daher bei Bitdefender oder Ihrem Partner nach dem aktuellen Stand, falls Ihre Plattform hier nicht aufgeführt ist.

Wie wird der Schutz auf Container-Hosts bereitgestellt?

Es gibt native Bereitstellungsoptionen sowohl für Linux-basierte als auch für PaaS-basierte Container, wobei ein hostbasierter Agent in Verbindung mit containernativer Telemetrie und Steuerung zum Einsatz kommt. Da der Linux-Agent nicht auf Kernel-Module angewiesen ist, können Sie auf eine neuere Distribution umsteigen, ohne auf die Veröffentlichung eines passenden Sicherheitsmoduls warten zu müssen – was üblicherweise der Grund dafür ist, dass Upgrade-Projekte ins Stocken geraten.