Die Herausforderung

CIRRUS verarbeitet täglich rund 30 Terabyte an Daten aus numerischen Wettermodellen, Satelliten-, Radar- und Bodenbeobachtungssystemen und bildet das betriebliche Datenrückgrat für den National Weather Service (NWS). Meteorologen verlassen sich nicht nur für Klimadaten und Vorhersagen darauf, sondern auch, um lebensrettende Warnungen und Hinweise wie Tornado-, Hurrikan-, Hochwasser- und Wintersturm-Alarme auszugeben. Aufgrund der Einstufung als kritische Infrastruktur (High Value Asset) muss die Plattform eine anspruchsvolle Kombination aus geringer Latenz und hoher Zuverlässigkeit erfüllen.

Jose Plascencia, Platform Lead für das NWS-CIRRUS-Programm bei Booz Allen, gehört zu dem Team, das diese Plattform von Grund auf aufgebaut hat. Früh im Projekt stellten die Sicherheitsverantwortlichen des NWS dem Team von Booz Allen eine direkte Frage: „Wenn Sie auf Open-Source-Tools aufbauen, woher wissen Sie dann, dass diese nicht unbemerkt Schwachstellen einführen, und wie ist Ihr Plan, sie aktuell zu halten?“

Mit dem internen Kubernetes-Bereitstellungsbeschleuniger von Booz Allen konnte Joses Team zwar schnell Tools bereitstellen, griff dabei jedoch weiterhin auf öffentliche Open-Source-Container zurück. Diese Images gepatcht und aktuell zu halten hätte bedeutet, Versionen kontinuierlich neu zu bewerten, alternative Basis-Images zu testen und die nachgelagerten Auswirkungen jedes Austauschs manuell nachzuvollziehen.

Die Lösung

Anstatt diese fortlaufende Last zu tragen, wandte sich Joses Team an Chainguard. Booz Allen unterzeichnete eine Enterprise-Lizenzvereinbarung mit Chainguard, die mehr als 6.000 Ingenieuren Zugriff auf Chainguard Containers und Libraries gewährt. Für das NWS-CIRRUS-Team bedeutete dies einen direkten Weg zu gehärteten, kontinuierlich neu erstellten Container-Images mit null bekannten CVEs, ohne eigene Registrys aufbauen oder die Kosten für eine Enterprise-Open-Source-Supportlizenz selbst tragen zu müssen.

Mit diesem Fundament war der Austausch unkompliziert. Joses Team richtete über seine Harbor-Registry einen Proxy zum Repository von Chainguard ein und arbeitete sich dann durch die bestehende Infrastructure-as-Code, um Open-Source-Image-Referenzen durch die Entsprechungen von Chainguard zu ersetzen.

Jose und das Team sahen unmittelbar nach einem frühen Austausch von Keda erste Ergebnisse. „Es dauerte etwa 20 Minuten Arbeitszeit eines Junior-Entwicklers, um das Image zu finden, zu ersetzen und zu testen, und wir mussten keine Anpassungen vornehmen“, sagte er. „Uns wurde klar: ‚Wow, wir können von CVEs zu keinen CVEs übergehen und müssen kaum etwas ändern.‘“

Das Team dehnte diesen Ansatz in weniger als einer Woche auf seine CI/CD-Pipeline aus und ersetzte die Images, auf denen ihre Build- und Test-Tools liefen – einschließlich Lintern und Paketmanagern. Statt einer disruptiven Migration handelte es sich um eine Reihe reibungsloser Drop-in-Ersetzungen, die es den Entwicklern ermöglichten, sich dem nächsten Tool zuzuwenden, anstatt in langwierige Testzyklen verwickelt zu werden.

Die Ergebnisse

Eine deutliche Reduzierung kritischer CVEs

Das NWS-CIRRUS-Team sah die Auswirkungen schnell. Als Joses Team zum ersten Mal einen Trivy-Scan über seinen Cluster laufen ließ, zählten sie rund 1.400 kritische Schwachstellen. Nach weniger als einem Monat Arbeit an der Ersetzung ihrer Container-Images verzeichneten sie einen Rückgang von etwa 85 %.

Als die Sicherheitsverantwortlichen des NWS ihre ursprüngliche Frage stellten, wie das Team das Open-Source-Risiko handhaben würde, konnte Joses Team auf einen konkreten Vorher-Nachher-Vergleich verweisen: dieselbe Version einer bestimmten Software, mit und ohne Chainguard, sowie einen klaren Weg zu null bekannten CVEs. „Es war aufschlussreich zu sehen, wie viele CVEs ansonsten für uns bestehen würden, wenn wir keine Partnerschaft und keinen Weg hätten, um in den meisten dieser Fälle auf null zu kommen“, sagte Jose.

Unternehmensweiter Support

Die Partnerschaft zwischen Booz Allen und Chainguard hat die tägliche Arbeit des Teams grundlegend verändert. Wie Jose erklärte: „Wir haben nicht nur diese Partnerschaft und den Zugang zu dieser großartigen Organisation und ihren Prozessen, sondern sie sind auch extrem zugänglich. Es fühlte sich fast so an, als würden wir Enterprise-Service-Support für Open-Source-Tools erhalten, ohne für eine Enterprise-Version des Tools selbst bezahlen zu müssen.“

Die Ingenieure von Booz Allen haben feste Sprechzeiten mit dem Chainguard-Team vereinbart, aber in der Praxis, so Jose, muss das Team selten auf diese warten. „Die regelmäßigen Sprechstunden mit Chainguard sind großartig, weil sie uns die Gelegenheit geben, Fragen zu stellen“, sagte er. „Aber es ist schon lustig, mir war anfangs gar nicht bewusst, dass wir Sprechstunden hatten, denn immer wenn wir eine Frage hatten, gab es sofort ein Hilfsangebot.“

Ein kultureller Wandel bei der Nutzung von Open-Source-Software

Die Leichtigkeit, mit der der Katalog von Chainguard aktuell gehalten werden kann, hat das Team zu einem disziplinierteren Update-Rhythmus geführt: Anstatt ein Tool bereitzustellen und unbegrenzt so zu belassen, bewerten sie Aktualisierungspfade nun konsistenter. Jose führt dies darauf zurück, dass das Team in puncto Sicherheitslage ehrlich bleibt, während CIRRUS weiter wächst.

„In fast jedem Fall tauscht man es einfach aus“, sagte Jose. „Warum also sollte man es nicht tun? Man erspart sich CVEs und hat die Sicherheitsverantwortlichen vom Hals, und das ist sonst schwer genug.“