コンテナセキュリティスキャン

コンテナスキャンの仕組み

コンテナ スキャンでは、他の形態の脆弱性スキャンと同様に、自動ツールを使用してコンテナ内の既知の脆弱性を検索します。 多くの場合、これには、コンテナーの各層の脆弱性を検査するツールが含まれます。 これには、既知の共通脆弱性およびエクスポージャ (CVE) を持つソフトウェア インスタンスのチェックや、ソフトウェア内の一般的な脆弱性のテストが含まれます。

コンテナスキャンによる脆弱性の検出

大まかに言えば、コンテナー セキュリティ スキャナーは他の脆弱性スキャナーと同様に機能します。 テスト対象のシステム (この場合はコンテナ化されたアプリケーション) に既知の脆弱性がないか検査します。

多くの場合、これには、システムにインストールされているソフトウェアを列挙し、それを CVE データベースまたは National 脆弱性データベース (NVD) と比較して、既知の脆弱性のあるソフトウェアがコンテナに含まれているかどうかを判断することが含まれます。 さらに、スキャナーは、過度に寛容なアクセス制御設定などの潜在的な構成上の欠陥がないかコンテナーとそのアプリケーションを検査する場合があります。

ただし、コンテナの性質は、セキュリティスキャナーの動作に影響を与えます。 コンテナーは、開発者が他のユーザーの作業に基づいて構築できるように設計されています。 通常、コンテナーは基本イメージから始まり、開発者はそこにレイヤーを追加して目的のランタイム環境を実装します。

この階層型アーキテクチャは、コンテナのセキュリティスキャンの実行方法に影響を与えます。 コンテナスキャナーには、各レイヤーを個別に検査し、それぞれの既知の問題を探す機能があります。

たとえば、コンテナ化されたアプリケーションは、その基盤としてサードパーティの基本イメージを使用する場合があります。 このイメージは高品質で安全ですが、既知の脆弱性やマルウェアが含まれている可能性もあります。 コンテナー スキャナーはこれらの問題を特定し、開発者のニーズを満たす、より安全な代替イメージを推奨できる場合があります。

チェック・ポイントによるコンテナセキュリティ

コンテナ化がより広く使用されるようになるにつれて、コンテナのセキュリティ スキャンは DevSecOps プロセスの重要なコンポーネントとなっています。 コンテナーの独自の構造により、新たな脅威が導入される可能性があり、それらを保護するプロセスが他の非コンテナー化アプリケーションとは異なります。

チェック・ポイント CloudGuard Workload Protection は、コンテナの潜在的な脆弱性をスキャンする機能など、コンテナのセキュリティ機能を提供します。 CloudGuard Workload Protection の機能について詳しく知り、組織のコンテナ化されたアプリケーションのセキュリティをどのように向上させることができるかを確認するには、今すぐ無料のデモにサインアップしてください。