Die Herausforderung

Das Rise8-Team betreibt eine Prüf-Pipeline, die containerisierte Software von Drittanbietern für die Bereitstellung in einer Palantir-Umgebung bewertet – im Wesentlichen eine sichere Rampe für Software des Verteidigungsministeriums (DoD), auch bekannt als Department of War (DoW). Diese Pipeline muss denselben Standard erfüllen, den sie selbst durchsetzt.

Die Plattform setzt sich aus einem Stack von Open-Source- und lizenzierten Tools zusammen: GitLab, Grafana, Keycloak, Mimir und mehr. Jedes der Container-Images in der Plattform muss föderale Sicherheitsstandards erfüllen, bevor Rise8 eine „Authorization to Operate“ (ATO) erhalten kann – die behördliche Genehmigung, die darüber entscheidet, ob die Plattform überhaupt live gehen darf.

Und da das Team darauf ausgelegt ist, die Plattform zu bauen, war eine eigenständige Härtung kein realistischer Weg. Wie Dan Sanker, Platform Engineer bei Rise8, aus Erfahrung feststellte, bedeutete die Bereinigung von Images wie Grafana dediziertes Personal und wochen- bis monatelange Arbeit pro Tool – ein Aufwand, für den der aktuelle Vertrag schlichtweg nicht ausgelegt war.

Die Lösung

Von Beginn des U.S. Space Force-Projekts an setzte Rise8 für seine Kern-Observability und Plattform-Tools auf Chainguard Containers.

Anstatt Imagesicherheit als eine Aufgabe zur nachträglichen Fehlerbehebung zu betrachten, baute das Team die Plattformarchitektur um Chainguard als vertrauenswürdige Quelle herum auf. Dabei werden Images für die Kern-Tools direkt aus dem Chainguard-Repository bezogen und die Update-Pipeline auf den Bereitstellungszyklus von Chainguard abgestimmt. Das Onboarding des gesamten Teams dauerte nur wenige Tage, und das Hinzufügen oder Entfernen von Teammitgliedern verlief ebenso nahtlos.

Wenn ein neues Image veröffentlicht wird, führt die eigene Scan-Pipeline von Rise8 einen Vergleich mit dem aktuellen Image durch und aktualisiert es entsprechend. Dadurch entsteht eine zweistufige Sicherheitsstruktur: Chainguard zertifiziert das Image, und Rise8 verifiziert es unabhängig.

Die Ergebnisse

Neuzuweisung von Engineering-Kapazitäten

Da Chainguard die Imagesicherheit für die Kern-Tools des Projekts übernimmt, konnte sich das Team auf das konzentrieren, wofür der Vertrag eigentlich gedacht ist: den Aufbau der Plattform. CVE-Bereinigung taucht in den Planungszyklen einfach nicht mehr auf. Wie Steven Souto, Senior Software Engineer bei Rise8, es ausdrückte: „Wir müssen diese Arbeit nicht erledigen und können uns stattdessen einfach auf die Funktionen konzentrieren, die unser Dienst bietet.“

Reduzierte Belastung für das Security Engineering

Die Auswirkungen sind vielleicht am deutlichsten in der täglichen Arbeit der Security Engineers des Teams sichtbar. Ohne ein gehärtetes Image löst jedes Versions-Update eines Tools einen Zyklus aus Unterdrückungsmanagement, Risikodiskussionen und Dokumentationsaufwand aus. Wenn ein Chainguard-Image vorhanden ist, entfällt dieser Zyklus. Das Rise8-Team hat die Herkunft von Chainguard zu einem expliziten Bestandteil der Architektur-Dokumentation gemacht, die ihrem Authorizing Official (AO) vorgelegt wird.

Ein besser vertretbarer Weg zur ATO

Um eine ATO zu erhalten, muss Rise8 einem behördlichen AO nachweisen, dass seine Plattform sicher betrieben wird. Chainguard verändert die Art dieser Diskussion. Anstatt einem AO einen internen Härtungsprozess zu erläutern und sich der damit verbundenen Prüfung zu stellen, kann Rise8 auf einen vertrauenswürdigen Drittanbieter verweisen, der schwachstellenfreie Images bescheinigt, unterstützt durch die eigene, unabhängige Verifizierungsschicht von Rise8. Die Alternative hat ein Glaubwürdigkeitsproblem: Ein AO würde infrage stellen, ob eine Pipeline das Image, auf dem sie selbst läuft, objektiv validieren kann. Diese zweistufige Struktur – Bezug von Chainguard und anschließende unabhängige Verifizierung – ist sauberer, besser vertretbar und entlastet Rise8 bei der Nachweispflicht.

Aufbau langfristiger Glaubwürdigkeit bei Regierungskunden

Für Rise8 ist die ATO nicht nur ein Compliance-Häkchen; sie ist das Fundament für eine längere Beziehung zu Regierungskunden. Jedes Mal, wenn das Team ein sauberes Paket mit wenigen CVEs durch die Prüf-Pipeline liefert, stärkt dies das Vertrauen der Genehmigungsketten, die darüber entscheiden, welche Software in die Produktion gelangt.

Wie Dan erklärte: „Unser Ziel ist es, die Beziehung und das Vertrauen in die Cybersicherheits-Genehmigungsketten aufzubauen. Wenn wir weiterhin mit sicheren Projekten und sicheren Images auftreten, bauen wir dieses Vertrauen auf. Sie wissen, dass unser Team ein gewisses Maß an Professionalität liefert, wenn wir ein Projekt abgeben. Mit Chainguard von Anfang an kaum oder gar keine CVEs zu haben, verleiht uns genau den Schliff, den wir brauchen.“