コンテナランタイムセキュリティとは？

コンテナランタイムセキュリティは、コンテナ化されたワークロードを保護するために導入される手法やテクノロジーから構成されます。DockerやKubernetesなどのコンテナソリューションは、スケーラブルなクラウドアプリケーションの合理化されたデプロイと管理を可能にします。しかし、それらのソリューションの導入とメンテナンスにはそれらのソリューションがもたらす特有のセキュリティ上の課題に完全に適応するクラウドネイティブのセキュリティテクノロジーとベストプラクティスが必要です。

このガイドでは、コンテナランタイムセキュリティとは何か、それがアプリケーションの運用と組織のセキュリティ対策全体にどのようなメリットをもたらすか、また、一般的なコンテナランタイムセキュリティの問題を特定し、対処する方法について説明します。

コンテナランタイムセキュリティ入門

コンテナ化とは、コードを「コンテナ」内で稼働させる技術です。これは、アプリケーションとその環境設定や構成のすべてを、ホストOSのカーネルとリソースを共有する独立した環境で稼働させる、軽量な完全なマシン仮想化の代替手段です。これにより、完全なコンピュータを仮想化するオーバーヘッドなしで、コードの展開を一貫して行うことができます。

コンテナは軽量で起動が速いため、クラウド環境でのアプリケーションの水平スケーリングに最適です。Dockerはクラウドワークロード向けの最も人気の高いコンテナ化プラットフォームであり、Kubernetesと組み合わせて、独立して拡張するコンテナクラスタで実行されるマイクロサービスベースのアプリケーションをオーケストレーションすることがよくあります。

コンテナにコードをデプロイするスケーラブルなクラウドアーキテクチャには、主に以下のようなセキュリティ上の課題があります。

• 悪意のあるコードやマルウェア：コードや構成上の依存関係をスキャンし、デプロイする前にイメージを検証することで既知の脆弱性を検出することはできますが、まだ発見されていないエクスプロイトを防ぐことはできません。
• 安全でないデフォルト設定と設定ミス：多くのデフォルト設定は、セキュリティを考慮したものではなく、迅速に立ち上げ、稼働させることを目的としています。アプリケーションが機能するものの脆弱性が残る設定ミスも、複雑な展開では検出が困難な場合があります。また、素早い修正や承認されていない変更の結果、環境が徐々に安全でなくなる設定のずれも起こり得ます。
• コンテナの分離を侵害するエクスプロイト：攻撃者が現在のコンテナの分離を回避してホストのリソースにアクセスし、ネットワークを横方向に移動する能力を獲得した場合、コンテナの分離が侵害される可能性があります。
• 機密の漏洩：APIキーやユーザー認証情報などの機密情報は、水平方向の拡張時にすべてのコンテナで利用できるようにソース管理にコミットされることが多すぎます。これにより、公開されるリスクが生じます。環境変数を通じてコンテナに提供される機密情報は、適切に設定されていない場合、エラーメッセージやログを通じて漏洩する可能性があります。
• エフェメラルコンテナに対する可視性の低さ：変動し、常に移動するリソースに対する可視性と説明責任は困難であり、コンテナに保存されたログはコンテナがプロビジョニング解除されると消滅し、サイバー攻撃の証拠が消去される可能性があります。

コンテナランタイム保護のメリット

上述の問題を軽減または排除するには、コンテナおよびクラウドのデプロイメントのスケーリングに関する具体的な課題に対処するターゲットを絞った対策を含む、コンテナランタイムセキュリティプラットフォームを導入する必要があります。

• 不審な動作のランタイム監視：ランタイムセキュリティは、攻撃ベクトルが文書化されているかどうかに関わらず、行動分析に基づいて進行中の攻撃を特定するのに役立ちます。これは現在実行中のプロセスのアクティビティを監視することで行われ、実行中のプロセスのアクティビティの全体像を構築するために機械学習とログ分析を使用することで強化できます。
• 構成の監視：構成の変更は、各変更がもたらす影響をより広く理解しているチームメンバーが、中央のインターフェースを通じて承認すべきです。中央の承認がワークフローの妨げになる場合は、変更が行われた際にアラートが送信されるようにします。
• 集中型の機密管理とセキュリティコンテキスト：機密管理は、HashiCorp Vaultなどの安全な集中型プラットフォームを通じて行うことができます。セキュリティソリューションを導入することで、機密の漏洩につながる可能性のある潜在的な侵害を積極的に監視することができます。
• 集中化されたログによる自動検出と対応： マイクロサービスベースのアプリケーションをスケーラブルに展開すると、数千もの実行中のコンテナが生成される可能性があります。 これらのコンテナを効果的に監視するには、Kubernetesのようなオーケストレーションツールと、SIEM（Security Information and Event Management）を実装したクラウドセキュリティソリューションを組み合わせ、ログを一元化して異常な振る舞いをスキャンする必要があります。

Container runtime security is provided by tools such as Sysdig Secure, Falco, and SE Linux, among other products. Cloud-native application protection (CNAPP) unifies container runtime protection with other cloud protection technologies for increased coverage.

コンテナランタイムセキュリティは、Sysdig Secure、Falco、SE Linuxなどのツールによって提供されています。その他にも製品（英語）があります。クラウドネイティブアプリケーション保護（CNAPP）は、コンテナランタイム保護と他のクラウド保護テクノロジーを統合し、保護範囲を拡大します。

DockerランタイムセキュリティとKubernetes

また、オーケストレーションはコンテナのランタイム保護においても重要な役割を果たします。KubernetesはスケーラブルなDocker展開のための最も人気の高いオーケストレーションツールであり、数多くのメリット（自動化、高可用性、アップデートやロールバックの容易化など）をもたらしますが、一方で、誤った設定や特権の不適切な管理により、潜在的な攻撃対象領域を広げてしまう可能性があります。

Dockerのランタイム保護は、潜在的なエクスプロイトに対する完全な保護をすべてのコンテナとクラスタに提供するために、実行中のコンテナ自体から、それらをオーケストレーションするために使用されるKubernetesプラットフォームにまで拡張する必要があります。

コンテナランタイムセキュリティのベストプラクティス

コンテナのランタイムセキュリティとオーケストレーションツールの攻撃対象領域の重要性を認識する技術を統合するだけでなく、開発チームと運用チームはセキュリティのベストプラクティスを採用する必要があります。

安全でないコードや設定をデプロイする可能性を低減し、サイバーセキュリティのインシデントが本番環境で発生した場合の影響を最小限に抑えるため、実装するコンテナセキュリティ保護機能は、以下のベストプラクティスを可能にする必要があります。

• リスクの特定と緩和：脆弱性管理はクラウドセキュリティにおいて重要な役割を果たし、コンテナレジストリに存在するリスクを特定するのに役立ちます。
• CI/CDの統合：コンテナセキュリティプラットフォームとCI/CDを統合することで、ビルドプロセス中に脆弱性をチェックすることができます。
• 秘密情報の管理にデータ保管庫を使用：HashiCorp Vaultは業界標準の秘密情報管理システムであり、APIキーや認証情報をソース管理にコミットしたり、環境変数に潜在的にさらされたままにしておく必要がなくなります。集中型の認証情報管理をセキュリティプラットフォームに統合することで、秘密情報が漏洩しないようにすることができます。
• RBACとPOLPによるユーザーとサービスの両方への対応：役割ベースのアクセス制御（RBAC）と最小権限の原則（POLP）により、ユーザーとサービスは、特定のタスクを実行するために必要な情報のみにアクセスできるようになります。これにより、万一侵害が発生した場合でも、公開される有用なデータの量を減らすことができます。
• セキュリティポリシーによる分離とセグメント化：RBACと連携したネットワークのセグメント化とアクセス制限により、攻撃者がネットワークを横方向に移動する能力を制限します。

コンテナにアプリケーションをデプロイする際の主な懸念事項の1つは、イメージ（およびイメージに組み込まれた関連ファイル）が更新される頻度です。デプロイ時に安全であることが確認され、正常に動作しているアプリケーションは、そのまま運用されることが多く、新たに発見された脆弱性は修正されないままになります。

デプロイされたアプリケーションをアクティブに監視することで、不審な動作、コンプライアンスの問題、構成の変化を特定し、SecOpsチームが調査することは可能ですが、デベロッパーのコードのセキュリティに対する責任はデプロイで終わるわけではありません。Snykのようなプラットフォームによる継続的な依存関係の監視により、デベロッパーは依存関係を最新の状態に保ち、既知の公開された脆弱性に対するコードのパッチを適用することができます。

Sysdigでクラウド資産を保護しましょう。

コンテナ化されたアプリケーションの展開は、「導入して終わり」というプロセスではありません。アプリケーションはユーザーに対して継続的に目的を果たすものであり、そのライフタイム全体を通じて利用可能で安全な状態を維持する必要があります。

コンテナランタイムセキュリティは、クラウドITインフラストラクチャを保護する一部にすぎません。コンテナセキュリティ用のツールを含むネイティブクラウドセキュリティ製品（英語）は、クラウド環境向けに設計されていない従来のセキュリティ製品を組み合わせようとした際に発生する可視性のギャップを排除する強固な保護を提供します。

Sysdigのクラウドネイティブセキュリティ製品群は、クラウド資産のすべてをカバーする統合ソリューションを提供します。貴重なデータを保護し、コンプライアンスを確保し、コンテナ化されたアプリケーションが悪用されないようにします。

FAQ