What is container security?

Container security is the process of implementing security and compliance across all stages of the container lifecycle. This includes scanning container images in the CI/CD pipelines and registries, as well as ensuring runtime security for containers and hosts. Incident response with full forensics data that captures all activity inside the container is a key requirement as well. Compliance controls should allow teams to pass an audit at any time.

How do I secure Kubernetes?

Protecting workloads in Kubernetes involves securing multiple components of the cluster. Vulnerabilities in your base OS or non-OS packages that developers use to build applications can be exploited. This requires image scanning and integrating via admission controllers to prevent risky image deployments. Another component to secure is your Kubernetes control plane (i.e., controller manager, etcd), which can be accessed via the Kubernetes API, and requires security monitoring and auditing of all activity happening at the API server level.

How do I secure the host?

Even when you run containers, you want to make sure your host configuration is secure (restricted and authenticated access, encrypted communication, etc.). We recommend using the Docker bench audit tool to check configuration best practices. You should also keep your base system updated and use minimal, container-centric host systems to reduce your attack surface.

How do I implement container security on AWS (ECS, EKS, Fargate)?

AWS container security requires implementation of security across all stages of the container lifecycle. This includes automating image scanning at the registry level with Amazon ECR, but also for CI/CD pipelines with tools such AWS CodeBuild and CodePipeline. Runtime security in production with EKS, ECS detects and blocks zero-day vulnerabilities and threats such as privilege escalation attempts. Implementing threat detection using AWS CloudTrail and Falco helps to alert on suspicious changes in AWS user permissions, S3 buckets, access keys, etc. Compliance checks across your AWS infrastructure and application lifecycle are key to meeting regulatory compliance standards. And finally, recording container activity at a detailed level will help you understand events and conduct forensics even after containers are gone.

How do I implement container security on RedHat OpenShift?

OpenShift provides a secure, enterprise-class container platform. Sysdig augments OpenShift’s built-in container security controls with extended image scanning, runtime security and container forensics to reduce risk for mission-critical container deployments at scale.

How do I implement container security on Google Cloud?

Securing containers on Google Cloud running on solutions like GKE and Cloud Run require protection across all stages of the container lifecycle. This includes automating image scanning at the registry level with GCR, but also for CI/CD pipelines with tools such as Google Cloud Build. Runtime security in production with GKE and Cloud Run detects and blocks zero-day vulnerabilities and threats such as privilege escalation attempts. Compliance checks across your Google Cloud infrastructure and application lifecycle are key to meeting regulatory compliance standards. And finally, recording container activity at a detailed level will help you understand events and conduct forensics even after containers are gone.

Kubernetes ネットワークポリシーを使用したゼロトラストネットワークセキュリティ

必要な通信だけを許可することで、コンテナのセキュリティにゼロトラストアプローチを実装します。Kubernetes 内のポッド、サービス、アプリケーションの間のすべてのネットワーク通信を可視化します。Kubernetes ネットワークポリシーを自動化することで、ネットワークセキュリティの実装にかかる時間を数週間から数時間に短縮します。プロセスとの間のすべての接続を監査することで、異常なネットワークアクティビティをすばやく特定します。

無償トライアルを開始

製品ツアー

最新情報！【Sysdigによる2023年クラウドネイティブセキュリティ＆活用状況レポート（日本語版）】をダウンロード

もっと詳しく

ゼロトラストネットワークセキュリティでラテラルムーブメントを防ぐ

まずはネットワークを詳細に可視化

特定のポッド、サービス、またはアプリケーションで送受信されるすべてのネットワークトラフィックを可視化します。特定のプロセスとの間のすべての接続試行を監査することで、疑わしいネットワークアクティビティを見つけることができます。

Kubernetes ネイティブなマイクロセグメンテーションの適用

Kubernetes ネイティブなネットワークポリシーを使用したマイクロセグメンテーションを有効にします。アプリケーションの妨げとならないよう、豊富なコンテキストを使ってネットワークポリシーを適用します。

ネットワークポリシーの作成を簡素化

Kubernetes ネットワークポリシーを自動化することで時間を節約します。シンプルなインターフェイスを使用することで、YAML を手動で変更することなくポリシーを変更できます。

ネットワークセキュリティに Kubernetes ネイティブなアプローチを選ぶ

Sysdig Secure は、ネイティブの Kubernetes ネットワークポリシーを使用してゼロトラストネットワークセキュリティを実施します。ネイティブコントロールを使用すると、Kubernetes 自体がマイクロセグメンテーションを実行するため、パフォーマンス、信頼性、セキュリティが向上します。

Kubernetes によって、静的な IP アドレスは過去のものとなります。チームはアプリケーションのコンテキストと Kubernetes のメタデータを使用してネットワークをセグメント化します。レイヤ 3 のコンテナファイアウォールは、中間者アプローチを使用して判断を行いますが、基盤となる Kubernetes インフラストラクチャに変更を加えます。それよりも良い方法は、Kubernetes プラットフォームが実装を処理するようにすることです。