KSPM（Kubernetesセキュリティポスチャ管理）の理解

クラウドにおけるセキュリティとコンプライアンスの問題を自動化によって検出し、修復するクラウドセキュリティポスチャ管理、またはCSPMについて、皆さんは耳にしたことがあるでしょう。

しかし、Kubernetesセキュリティポスチャ管理（KSPM）についてはどうでしょうか？より多くのワークロードがKubernetes上にデプロイされるようになった現在、KSPMはCSPMを補完する重要な存在になっています。

ここでは、Kubernetesのセキュリティポスチャ管理と、Kubernetesのセキュリティとコンプライアンスを自動化するためのベストプラクティスについて知っておくべきことをすべて紹介します。

Kubernetesのセキュリティポスチャ管理とは？

Kubernetesセキュリティポスチャ管理（KSPM）とは、セキュリティ自動化ツールを使用して、Kubernetesのあらゆるコンポーネント内のセキュリティとコンプライアンスの問題を発見し、修正することです。

例えば、KSPMは、KubernetesのRBAC Role定義において、管理者でないユーザーに、新しいPodを作成する権限のような、本来持つべきでない権限を与えている設定ミスを検出することができます。あるいは、KSPMツールは、異なるネームスペースにあるポッド間の通信を許可する安全でないKubernetesネットワーク設定を警告することができます。

Kubernetesのセキュリティポスチャ管理が重要な理由とは？

より広範なKubernetesセキュリティ戦略の一環として、KSPMはいくつかの重要なセキュリティ上の考慮事項に対応しています。

ヒューマンエラーと見落としをキャッチ

KSPMは、Kubernetesリソースを管理するために使用する設定のセキュリティをダブルチェックするためのソリューションです。エンジニアが作成したコンフィギュレーションがデフォルトでセキュアであることを保証するためにどれほど努力しても、人為的なミスや見落としが原因で、理想とするほどセキュアでないコンフィギュレーションが作成されるリスクは常に存在します。

KSPMは、このようなミスが侵害につながる前に発見し、修正を支援します。

クラスタの進化に伴うセキュリティの管理

Kubernetesは現在も急速に進化しているテクノロジーであり、あるバージョンのKubernetesではセキュアであった構成も、新しいバージョンにアップグレードするとセキュアでなくなる可能性があります。

例えば、Kubernetesは2021年に、かつてポッドに対して特定の種類のアクセス制御を強制するための重要なリソースであったポッドセキュリティポリシーが廃止されることを発表しました。Kubernetesの現在のバージョンはまだポッドセキュリティポリシーを強制していますが、サポートはバージョン1.25で終了します。バージョン1.25へのアップグレード時にまだポッドセキュリティポリシーを使用している場合、Kubernetesがポリシーを無視しているという事実をKSPMツールが警告し、Kubernetesセキュリティコンテキストやカスタムアドミッションコントローラーのようなツールで置き換える必要があることを教えてくれる可能性があります。

サードパーティの設定の検証

Kubernetesはエコシステムであり、チームは日常的に上流からリソースを借りたりインポートしたりしています。例えば、公開されているDocker Hubレジストリからコンテナイメージを取り込んだり、GitHubで見つけたデプロイファイルを適用したりすることがあります。このようなリソースを作成するサードパーティの開発者は、あなたのチームと同じセキュリティ規約に従っているかもしれませんし、従っていないかもしれません。

KSPM は、サードパーティのリソースをスキャンして、セキュリティ上の問題がある可能性がないか調べる手段を提供します。その結果、関連するセキュリティリスクを管理しながら、Kubernetesコミュニティが提供する豊富なリソースを活用できるようになります。

Kubernetes コンプライアンスの実施

KSPMはポリシーエンジンを使用して構成を評価し、リスクを特定するため、企業が特定のコンプライアンス要件を満たす必要があるシナリオに適しています。

たとえば、Kubernetesによって管理またはアクセスされるデータが、HIPAAやGDPRなどのフレームワークに準拠した方法で保存されることを保証するポリシーを記述することで、企業はKubernetesクラスタ内のコンプライアンス管理を自動化できます。

Kubernetesセキュリティポスチャ管理はどのように機能しますか？

ツールによってKSPMへのアプローチは多少異なりますが、KSPMワークフローはいくつかの重要なステップに集約されます。

セキュリティルールの定義

通常、KSPM ツールは、セキュリティとコンプライアンスのリスクを定義するポリシーによって動きます。ほとんどの KSPM ツールにはポリシーが組み込まれており、管理者が独自に定義することもできます。

設定をスキャン

KSPMツールは、セキュリティとコンプライアンスのルールを使用して、Kubernetes環境を自動的にスキャンします。評価する各リソースについて、事前に定義されたルールに違反する設定を探します。

理想的には、設定のスキャンは継続的に行われ、新しい設定が導入されたり、既存の設定が更新されたりするたびに、リスクをリアルタイムで特定できるようにします。

検知、評価、アラート

ポリシー違反が検出された場合、KSPM ツールは通常、その重大度レベルを評価し、重大度レベルが即時のリアルタイム通知に値する場合は、アラートまたは通知を生成します。軽微な問題であれば、ログに記録され、後で対応することも可能です。

修復

セキュリティまたはコンプライアンス・ポリシー違反の通知を受けたエンジニアは、問題を調査して修復します。場合によっては、高度な KSPM ツールを使用して、問題のある RBAC ファイルを修正してセキュリティを強化するなど、問題を自動的に修正できることもあります。

KSPMとCSPMの比較

Kubernetesセキュリティポスチャ管理とクラウドセキュリティポスチャ管理の関係は主観的です。Kubernetes環境は多くの場合クラウドで実行されることから、KSPMはCSPMのひとつのコンポーネントであると主張することもできます。

あるいは、Kubernetesはクラウドで実行される必要はなく（オンプレミスでデプロイされる可能性もある）、KSPMが検証するリソースと構成のタイプ（Kubernetes RBACポリシーのような）は、CSPMが保護できるリソース（クラウドIAMポリシーやクラウドネットワーキング構成のような）とは異なるため、KSPMを別のドメインとみなすこともできます。

KSPMとCSPMの関係をどのように考えるかにかかわらず、重要なのは、KSPMがKubernetes特有のセキュリティとコンプライアンスのリスクに対処するのに対し、CSPMは他のタイプのクラウドネイティブ環境のリスク管理に役立つということを理解することです。Kubernetesを使用する場合は、KSPM特有の機能を提供するセキュリティツールが必要です。

KSPMを最大限に活用

Kubenetes環境の監視を支援するKSPMツールの導入は、セキュリティとコンプライアンスのリスクを軽減するための第一歩ですが、KSPMの価値を最大限に引き出すために、チームはいくつかの重要なベストプラクティスに従う必要があります。

継続的なスキャン

上述したように、設定のスキャンは継続的に行う必要があります。Kubernetes 環境は、コンテナの再デプロイ、ネームスペースの追加や変更、ユーザーやサービスアカウントの作成と削除などによって、絶えず変化する傾向があります。

継続的にスキャンを実行することで、セキュリティ上の問題が発生した直後に確実に発見することができます。これは、定期的にスキャンするだけよりもはるかに優れています。

ルールは常に最新の状態に

Kubernetesのセキュリティとコンプライアンスのリスクは常に進化しています。Kubernetesの設定自体も同様です。KSPMツールが以前のバージョンのKubernetes向けに設計されたルールや、単に古いルールに依存している場合、最新のタイプのリスクを検出できない可能性があります。

Kubernetesの脅威状況の変化に合わせて継続的に更新されるポリシールールを使用することで、この問題を回避できます。

リスクを分類

Kubernetesにおけるすべてのセキュリティリスクとコンプライアンスリスクが同じように深刻なわけではありません。例えば、特権モードでの実行を許可されたコンテナは、ポッドのリスト権限を誤って与えられたユーザーよりも深刻なリスクである可能性が高いです。

チームが最も深刻なリスクを特定し、最初に対応できるようにするには、リスクを検出するだけでなく、重大度レベルで分類できるKSPMツールとポリシーを使用します。

KSPMだけに頼らない

KSPMはKubernetesセキュリティ戦略の1つの要素ですが、それだけではありません。KSPMは、アクティブな脅威を検出するランタイム・セキュリティの代わりにはなりません。また、KSPMはコンテナ内のマルウェアのようなリスクに対処するものでもなく、これはコンテナ・イメージ・スキャンが対処できる脅威です。

ここで重要なのは、Kubernetes用に幅広いセキュリティ・ツールを導入する必要があるということです。より広範なKubernetesセキュリティ戦略の一環として、KSPMを使用することで、チームはKubernetes構成のセキュリティを検証し、侵害の引き金となり得るミスを発見して修正することができます。Kubernetes構成の継続的な自動スキャンを実行することで、管理者は最も一般的な攻撃ベクトルの1つであるヒューマンエラーを軽減できると同時に、最も複雑なKubernetesクラスタでもコンプライアンスを自動化できます。