2023年度クラウドネイティブセキュリティおよび利用状況レポートを発表

本文の内容は、2023年2月1日にMICHAEL ISBITSKIが投稿したブログ（https://sysdig.com/blog/2023-cloud-native-security-usage-report)を元に日本語に翻訳・再構成した内容となっております。第6回Sysdig2023年版クラウドネイティブセキュリティおよび利用状況レポートは、実データに基づき、あらゆる規模や業種のグローバル企業がクラウドとコンテナ環境をどのように利用し、セキュリティを確保しているか？　を明らかにしています。私たちはデータを調査し、今年の興味深い傾向を発見しました。クラウドネイティブ環境のセキュリティと監視のベストプラクティスを開発する際に役立つ資料となるでしょう。今年のレポートでは、クラウドセキュリティ、コンテナの脆弱性、Kubernetesのコスト最適化に関する新しいデータを掲載しています。ぜひご覧ください。

データの取得方法

私たちのソフトウェアは、クラウドセキュリティ、コンテナセキュリティ、コンテナの使用状況を監視しているため、クラウドサービス、Kubernetes、レジストリ、アラート、クラウドネイティブ環境でのアプリケーションの使用状況について独自の見解を持っています。この実世界のリアルタイムデータは、当社の顧客のサブセットが毎日実行している数百万個のコンテナの使用状況や、過去1年間の数十億個のユニークなコンテナに関するインサイトを提供します。このレポートには、セキュリティリスク、クラウドのコスト、コンテナ利用の傾向などが詳細に記載されています。それでは、今年のハイライトを見てみましょう。詳しくは、レポートの全文をダウンロードしてご覧ください。

サプライチェーンリスク

当社の調査によると、コンテナイメージの87%に重大で深刻度の高い脆弱性があることが分かっています。現実には、修正すべき脆弱性があまりにも多く、チームはその優先順位付けに苦労しています。実際、85％の重大で深刻度の高い脆弱性は修正プログラムが用意されていますが、悪用される可能性のあるランタイムには使用されていません。チームは、組織にとってリスクのない脆弱性に時間とリソースを浪費し、リスクの高い脆弱性を未パッチのまま放置しています。ランタイムに公開される脆弱性に着目することで、チームは最も重要な15%の脆弱性に集中することができます。

過剰なまでのアクセス許可

クラウドセキュリティのベストプラクティスやゼロトラストアーキテクチャの原則は、組織が過度に寛容なアクセスを付与することを避けるべきであると強調しています。しかし、この報告書のデータによると、90%のアクセス権が使われていないことが分かっています。もし、攻撃者が特権的なアクセスや過剰な権限を持つアイデンティティからクレデンシャルを侵害した場合、認証情報を盗む機会が多く残されていることになるのです。

クラウド費用と未使用容量

59％のコンテナにCPUの上限が定義されておらず、要求されたCPUリソースの69%が未使用であることがわかりました。Kubernetes環境の利用情報がないため、開発者はクラウドリソースの過不足がどこにあるのかがわかりません。大規模なデプロイメントの場合、環境を最適化することで、クラウドの消費請求額を平均1,000万ドル節約することができます。平均して、あらゆる規模の組織が40%の過剰支出をしている可能性があります。

短命化するコンテナ

今年のデータから、72%のコンテナの寿命が5分未満であることが判明しました。インシデントレスポンスとフォレンジックのチームは、コンテナがなくなった後にイベントを調査する必要がある場合に備えて、正確な記録を持つ必要があります。エンジニアリング・チームも、アプリケーションとインフラのトラブルシューティングのために同様のデータを必要としています。コンテナの寿命がこれほど短いため、こうした情報を収集することはますます難しくなっています。昨年の調査では、44%のコンテナが5分未満で稼働していることが明らかになりました。これは前年比28%増で、コンテナ・オーケストレーションの利用が成熟していることを物語っています。

まとめ

私たちの調査によると、必要なツールやゼロ・トラスト・アプローチの利点は認識されているものの、クラウドのセキュリティ・プロセスは、クラウド導入の速いペースに遅れをとっていることが明らかになりました。私たちが調査した実際の顧客データから、リスクを軽減するために改善が必要なセキュリティの実践領域がいくつかあることがわかりました。

IDとアクセス管理 : 付与された権限と必要な権限の間に大きな差があるため、攻撃の機会を減らすために権限を定期的に測定・管理することが急務であることがわかります。
脆弱性管理: 実運用環境では、コンテナイメージの大半が危険な脆弱性を含んでいるため、チームはイメージの肥大化に対処し、実際の実行時のリスクに基づいて脆弱性に優先順位を付けて修復作業を集中させる必要があります。
検知と対応: 特権の昇格と防御回避攻撃は、私たちのお客様にとって脅威の最たるものです。進化する脅威の状況に対応するためには、脅威の検知ルールを定期的に更新し、悪質な行為を発見する必要があります。

セキュリティに限らず、今年のデータは、未使用のKubernetesリソースに対処することで、企業がクラウドコストを削減する機会を示しています。キャパシティプランニングに時間をかけることで、大きなリターンを得ることができます。コンテナリソースの適切な制限と継続的な監視を実施することで、企業はアプリケーションのパフォーマンスを危険にさらすことなくコストを最適化することができます。より詳細な内容についてはSysdigによる2023年版クラウドネイティブセキュリティおよび利用状況レポートをダウンロードして、ご確認ください。また、過去のレポート(英語のみ）はこちらからご覧いただけます。