Kubernetes ランタイムのセキュリティ

Kubernetes ランタイム セキュリティとは何ですか?

Kubernetes ランタイム セキュリティは、 Kubernetes上で実行中のコンテナ ワークロードを保護する一連のツール、プラクティス、およびテクノロジです。

言い換えれば、Kubernetes ランタイム セキュリティは、ワークロード保護とコンテナ セキュリティのサブカテゴリです。 Kubernetes ランタイム セキュリティは、コンテナのインスタンス化から終了までのセキュリティを扱います。 つまり、ランタイムセキュリティには、コンテナがルートとして実行されるかどうか(実行すべきではない)などが含まれますが、コンテナイメージのスキャンなどのトピックは対象としていません。

Kubernetes ランタイムのセキュリティの課題とリスク

現在、K8 上では非常に多くの種類のアプリケーションが実行されているため、コンテナや Kubernetes のランタイム セキュリティ リスクに対応する万能のセットはありません。 ただし、ほとんどの企業に共通する Kubernetes ランタイム セキュリティの一連の課題があります。

Kubernetes 上のランタイム コンテナのセキュリティに関連する 4 つの一般的なセキュリティ リスクを次に示します。

• 構成ミスと安全でない構成: 2022 年に 900,000 を超える Kubernetes クラスターがオンラインで公開されていることが判明しました。 これは、安全でない構成の問題がK8sでどれほど広範囲に及んでいるかを示す良い例です。

• 権限昇格:攻撃者が K8s 環境にアクセスし、より高い特権を持つユーザー (root など) に昇格することは、教科書的な Kubernetes ランタイム セキュリティの脅威です。

• マルウェア: コンテナー イメージ内のマルウェアは深刻な問題です。 2022 年には、Docker Hub で利用可能な 1,600 を超えるコンテナに、クリプトマイナーや DNS ハイジャッカーなどのマルウェアが含まれていました。 環境内でこれらのコンテナーの 1 つをインスタンス化すると、ネットワーク境界の背後に脅威が即座に導入される可能性があります。

• K8 とコンテナの脆弱性: コンテナ自体に悪意がない場合でも、既知のエクスプロイトを備えた CVE に対して脆弱であることがよくあります。

ネイティブ Kubernetes ランタイム セキュリティ ツール

Kubernetes は、実行時のリスクを制限できる限られたネイティブ ツールとコントロールのセットを提供します。 これらには以下が含まれます:

• シークレット: K8s シークレットは、API キーやパスワードなどの情報を保存するデータ オブジェクトです。 Secretsを使用すると、企業は機密データをイメージやPodの仕様から遠ざけることができます。

• アドミッション コントローラー: K8s アドミッション コントローラーを使用すると、企業は Kubernetes API エンドポイントの変更 (読み取りではなく) を制限できます。

• ネットワーク ポリシー: Kubernetes ネットワーク ポリシーは、ネットワーク層とトランスポート層でポリシーを強制する従来の ALLOW および BLOCK ファイアウォール ルールに似ています。

• 監査ログ: 監査ログは、クラスターで発生したアクションの詳細を提供します。 たとえば、API アクティビティを監査できます。 これらのログにより、悪意のある動作の分析と検出が可能になります。
• RBAC : ロールベースのアクセス制御 (RBAC) を使用すると、管理者はエンティティのロールに基づいて K8s API アクセスを制限できます。

ネイティブの Kubernetes ランタイム セキュリティ ツールは、リアルタイムの脅威検出などのユースケースに直接対応していないため、多くの企業は、より堅牢なワークロード保護ツールに依存しています。

シフトレフトにより効果的な Kubernetes ランタイム セキュリティを補完

もちろん、セキュリティの側面は孤立して存在しません。 ランタイム セキュリティは重要ですが、セキュリティはコンテナーがインスタンス化されるかなり前から開始されます。 前述の Kubernetes ランタイム セキュリティのベスト プラクティスのいくつかはこれを明確にしており、シフトレフト セキュリティの概念がその点を明確にしています。 開発ライフサイクルの早い段階でセキュリティを統合し、堅牢なランタイム保護を行うことで、両方の長所を活かすことができます。