コンテナセキュリティの重要性
コンテナは、アプリケーションを実行するための柔軟でポータブルな方法を提供するため、ソフトウェアをデプロイするための一般的なソリューションになっています。 ただし、コンテナーは、ソフトウェア デリバリー パイプラインとホスティング スタックに次のような新しいレイヤーも導入します。
- コンテナイメージリポジトリは、コンテナイメージ(コンテナの実行可能ファイルを格納する静的ファイル)をホストし、ダウンロードできるようにします。
- Docker などのコンテナー ランタイムは、イメージに基づいて実行中のコンテナーを実行します。
- Kubernetesなどのコンテナオーケストレーションツールは、分散インフラストラクチャ上で実行されているコンテナを管理します。
これらのコンポーネントは、ソフトウェア環境を複雑にし、攻撃対象領域を拡大します。 コンテナセキュリティは、組織がこれらのコンポーネントをリスクや脅威から保護するための防御策を講じると同時に、コンテナ化されたホスティング環境とコンテナ化されていないホスティング環境の両方に存在する他のリソース(コンテナをホストするサーバーで実行されているオペレーティングシステムなど)を保護するために重要です。
コンテナセキュリティの課題
コンテナセキュリティでは、より大きな攻撃対象領域を管理する必要があるという事実に加えて、コンテナは開発者、ITエンジニア、セキュリティアナリストがワークロードを直接可視化することを制限するため、コンテナセキュリティは困難です。 その結果、脅威の検出と対応がより困難になる可能性があります。
たとえば、アナリストがコンテナーをホストするオペレーティング システムから入手できるメトリックとログのみに基づいてセキュリティ監視を実行する場合、コンテナー自体によって生成されるメトリックとログは通常、オペレーティング システムによって管理されないため、コンテナー内の異常なアクティビティを検出できない可能性があります。 各コンテナの内部で何が起こっているかを可視化するために、エンジニアはコンテナとホストサーバーを分離する抽象化レイヤーを突破できるセキュリティツールを必要としています。
コンテナセキュリティのコンポーネント
すべてのコンテナ化された環境に同じタイプのツールが含まれているわけではありません。 たとえば、オーケストレーターを使用せずにコンテナーを実行できます。 つまり、コンテナセキュリティのコンポーネントは、チームがコンテナの管理に使用する特定のツールやプラットフォームによって異なる可能性があります。
ただし、ほとんどの場合、コンテナのセキュリティには次の主要コンポーネントが含まれます。
レジストリのセキュリティ
攻撃者がコンテナイメージをホストするレジストリに侵入した場合、悪意のあるコードを挿入し、汚染されたイメージに基づいてコンテナを実行する環境にマルウェアを拡散する可能性があります。
このリスクから保護するために、エンジニアは、コンテナー レジストリの内容への不正アクセスを防止する厳格なアクセス制御を実装する必要があります。 また、悪意のあるアクティビティの兆候である可能性のある異常なアクセスパターンがないかレジストリを監視する必要があります。
ランタイム・セキュリティー
攻撃者は、コンテナランタイムの脆弱性を悪用して、コンテナを制御し、場合によってはコンテナをホストするサーバーを制御する可能性があります。 組織は、コンテナランタイムソフトウェアにパッチを適用し、最新の状態に保つことで、 Dockerコンテナ のセキュリティ(または使用するランタイムのセキュリティ)を確実に管理することで、このリスクを管理できます。
環境セキュリティ
管理者がコンテナーを実行するときに適用する環境構成は、セキュリティに影響を与える可能性があります。 たとえば、コンテナをルートとして実行することは、侵害によって引き起こされる潜在的な損害を増大させる昇格されたアクセス許可を付与するため、一般的にベストプラクティスではありません。 コンテナーをホストする環境に適用される設定をセキュリティで保護することは、コンテナーのセキュリティに不可欠なコンポーネントです。
オーケストレーションのセキュリティ
Kubernetes などのオーケストレーターを使用するコンテナー化されたワークロードでは、オーケストレーション プラットフォームに既知の脆弱性がないようにしておくことが重要です。 さらに、管理者は、脅威から防御するためにオーケストレーターを構成および管理する際に、ベスト プラクティスに従う必要があります。 たとえば、 Kubernetes コンテナー セキュリティでは、管理者は組み込みのロールベースのアクセス制御 (RBAC) フレームワークを使用して、リソースへのアクセスを制限する必要があります。
ストレージのセキュリティ
ステートフルなコンテナ化されたアプリケーションは、ストレージリソースに依存します。 そのストレージでホストされているデータの保護は、コンテナセキュリティのもう1つの重要な要素です。
Network Security
コンテナは、相互に通信し、外部リクエストを送受信するためにネットワークに依存しています。 したがって、エンジニアは、内部ネットワークと外部ネットワークの両方が適切に構成されていることを確認し、異常なアクティビティがないか監視する必要があります。
コンテナセキュリティの種類:Docker、Kubernetes、AKS、GKE、EKS
コンテナがホストされている場所によっては、特定の追加のコンテナセキュリティソリューションまたはプラクティスが利用できる場合があります。
たとえば、Dockerを使用するチームは、プラットフォームに組み込まれているセキュリティスキャナーを介してDockerコンテナセキュリティのいくつかの側面を管理し、コンテナイメージ内の悪意のある依存関係を検出できます。 Kubernetes では、ネイティブ RBAC フレームワークがコンテナー化されたワークロードの保護に役立ちます。
同様に、Azure Kubernetes Service (AKS)、Google Kubernetes Engine (GKE)、Elastic Kubernetes Service (EKS) などのマネージド サービスを介してコンテナーを実行する場合、組織は、各サービスのクラウド プロバイダーのプラットフォームに組み込まれているセキュリティ ツールを利用して、ワークロードの監視と保護に役立てることができます。
コンテナセキュリティソリューションの特長
チームがコンテナをセキュリティで保護するために使用するコンテナセキュリティソリューションは、次のコア機能を提供する必要があります。
- 悪意のあるアクセスからコンテナー イメージ レジストリを保護するためのサポート。
- コンテナイメージをスキャンして、悪意のあるコンテンツや脆弱なコンテンツや依存関係を検出する機能。
- コンテナ環境の構成を検証して、侵害のリスクを高める可能性のあるミスや見落としから保護します。
- 実行中のコンテナと、コンテナが相互作用するストレージおよびネットワークリソースを監視して、攻撃の兆候を示す可能性のある異常なアクティビティを検出します。
- 必要に応じて、セキュリティリスクから防御するためのコンテナオーケストレーターのスキャンと監査。
コンテナ セキュリティの
ベスト プラクティス
ほとんどのコンテナー化されたワークロードでは、次のベスト プラクティスを使用して、攻撃のリスクを最小限に抑え、チームの検出能力を最大化できます。
Enforce Least Privilege
管理者は、コンテナ化されたホスティングスタック内のコンポーネントを設定する際に、 最小権限の原則 に従う必要があります。 最小特権とは、アクセス許可を必要最低レベルに制限することを意味します。
信頼できるイメージに頼る
マルウェアが含まれている可能性が高い信頼されていないレジストリからコンテナー イメージをダウンロードすることは避けてください。 可能であれば、定評のある信頼できる組織によって管理されているレジストリを選択してください。
環境のすべてのレイヤーを監視する
コンテナのセキュリティに関しては、環境の一部のレイヤーだけをスキャンして監視するだけでは不十分です。 組織は、コンテナレジストリやイメージからランタイム環境、基盤となるインフラストラクチャ、そしてその間にあるすべてのものまで、すべてのコンポーネントを継続的に監視する必要があります。 包括的な監視により、管理者がリスクを検出する能力が最大化されます。
攻撃対象領域の最小化
コンテナの攻撃対象領域は、コンテナ化されていないアプリよりも本質的に大きくなりますが、チームは不要なコンポーネントやレイヤーを実行しないようにすることで、攻撃対象領域を減らすことができます。 たとえば、開発者がテスト目的で起動するコンテナーは、テストが完了したらすぐにシャットダウンする必要があります。
ミニマリストの画像を使用する
コンテナー イメージ内に存在するコンテンツが少ないほど、脆弱性のリスクは低くなります。 そのため、ミニマリストイメージ、つまり、アプリケーションの実行に必要なライブラリ、ソフトウェアパッケージ、その他のコンポーネントのみを含むイメージを好みます。
CloudGuard Workloadによるコンテナのセキュリティ
効果的なコンテナセキュリティの鍵は、コンテナが依存するすべてのプロセスとリソースにセキュリティを統合することです。 CloudGuard for Workload Protection は、以下を提供する包括的なコンテナ・セキュリティ・ソリューションを提供することで、これを容易にします。
- ソフトウェアデリバリーライフサイクルとの統合により、コンテナイメージに入る前に脆弱性をキャッチします。
- コンテナイメージの継続的なスキャンにより、脆弱なイメージを即座に検出します。
- アクティブな脅威から保護するためのランタイム保護。
- オーケストレーションレイヤーを安全に保つためのKubernetesコンテナセキュリティ。
- アカウントアクティビティ、クラスタ操作、アプリケーショントラフィックフローの継続的な分析に基づく包括的な監視および侵入検知機能。
詳細については、 コンテナセキュリティガイドをお読みいただくか、 無料デモをリクエストしてください。
Feedback