コンテナセキュリティの定義

コンテナセキュリティについて理解するには、コンテナとは何かを正確に理解することが不可欠です。

コンテナは、ソフトウェアとその依存関係（コード、システムツール、設定、ライブラリなど）のパッケージであり、あらゆるオペレーティングシステムおよびインフラストラクチャで確実に実行できます。ランタイム環境全体で構成されており、物理マシンからクラウドへ、または開発者のテスト環境からステージング環境、そして本番環境へなど、さまざまなコンピューティング環境間でアプリケーションを移動できます。コンテナは便利なツールですが、独自のセキュリティシステムで構築されていないため、組織を危険にさらす可能性のある新しい攻撃対象領域を生み出すことがあります。

コンテナセキュリティとは、CI/CDパイプライン、展開インフラストラクチャ、およびサプライチェーンを通じてセキュリティツールを使用し、サイバー脅威や脆弱性からコンテナを保護する継続的なプロセスです。コンテナセキュリティが従来のサイバーセキュリティと異なるのは、コンテナ環境がより複雑でエフェメラルである点です。そのため、セキュリティプロセスを継続的に行う必要があります。

コンテナセキュリティが重要な理由

すべてのデジタル資産の保護は、企業や組織が運用効率を維持するために不可欠です。コンテナは全体的に見ればセキュリティ上の利点をもたらしますが、脅威の範囲も広がります。組織によるコンテナの使用が増加していることから、攻撃者はコンテナの脆弱性を利用すれば攻撃の成功率が高まることを知っています。

例えば、コンテナイメージ内に隠れた脆弱性がある場合、そのコンテナイメージを使用すると、本番環境でセキュリティ上の問題が発生する可能性が非常に高くなります。強力なコンテナセキュリティプログラムを手にすれば、ITチームはコンテナの脆弱性に対してリアクティブではなく、プロアクティブに対応できるようになります。

コンテナセキュリティの利点

コンテナセキュリティを確保することで、複数の利点が得られます。ここでいくつか紹介します。

• より迅速で効率的なソフトウェア展開：ロードバランシングからオーケストレーションまでのITプロセスを自動化することにより、ネットワークの整合性を損なうことなく、より効率的なソフトウェア開発と展開が可能になります。
• オーバーヘッドコストの削減：コンテナは必要なシステムソースが少ないため、オーバーヘッドコストが削減されます。
• スケーラビリティ：コンテナで動作するアプリケーションを複数の異なるオペレーティングシステムに迅速に展開することで、ITチームは、開発、テスト、および運用をスピードアップすることができます。
• セットアップと監視の容易さ：コンテナセキュリティには、複数のセキュリティツールと監視システムの管理が含まれているため、組織にとってセットアップが非常に簡単になります。

最も一般的なクラウドコンテナプラットフォーム

コンテナは、ハイパーバイザーと同じインフラストラクチャ上でより多くのサービスを提供し、より経済的で迅速に展開できるため、クラウド環境に適しています。

コンテナ化のアプローチは多数あり、それらをより使いやすくするために多くの製品やサービスが生まれています。コンテナテクノロジーに関連する最も一般的なプラットフォームは次のとおりです。

• Dockerコンテナ：Dockerは、ユーザーによるアプリケーションの迅速な構築、テスト、展開を可能にするコンテナプラットフォームです。この分野のパイオニアであるDockerは、ホストの約5台に1台で稼働していて、Docker Hubには500万人以上のユーザーと600万のリポジトリがあります。
• Kubernetes：Kubernetesは、コンテナ化されたワークロードやサービスをオーケストレーションするための、ポータブルで拡張可能なオープンソースプラットフォームです。単一ノードで実行されるDockerとは異なり、Kubernetesは自動化により、コンテナ管理のオーケストレーションを行って、クラスター全体で実行されます。
• AWS Elastic Container Service (ECS)：Amazon ECSは、AWSクラウドでDockerコンテナを実行するスケーラブルなコンテナオーケストレーションサービスです。AWS FargateでECSクラスターを実行できます。AWS Fargateは、サーバーのプロビジョニングや管理が不要で、他のAWSサービスともネイティブに統合できるサーバーレスコンピューターです。
• Microsoft Azure Kubernetes Services (AKS)：AKSはAzure Container Serviceの新しいバージョンです。AKSは、サーバーレスKubernetes、統合された継続的インテグレーションと継続的デリバリー (CI/CD) エクスペリエンス、エンタープライズレベルのセキュリティとガバナンスにより、Kubernetesの管理、展開、運用を簡素化します。
• Google Cloud Platform (GCP)：Google Cloud Platformを使用することで、ユーザーは事前にパッケージ化されたクラウドインフラストラクチャソリューションを利用して、ハイブリッド環境やマルチクラウド環境で、ベンダーロックインなしに迅速に移行できます。

コンテナセキュリティのベストプラクティス

コンテナ環境を保護するには、ランタイムの前後の環境を含むDevOpsパイプラインを保護する必要があります。

1. イメージスキャン

コンテナセキュリティは、保護されたコンテナイメージから始まります。開発者は、外部レジストリの（マルウェアや脆弱なライブラリを含む可能性のある）基本イメージを使用して、イメージを構築することがあります。

開発者はまた、開発中に使用したパスワードや秘密鍵を削除し忘れて、イメージをレジストリにプッシュすることがあります。インフラストラクチャが侵害された際に、これらのパスワードがイメージとともに漏洩します。

そのため、脆弱性や設定ミスを特定するためにイメージ評価をビルドシステムに統合するうえで、イメージスキャンが不可欠です。

2. 「シフトレフト」セキュリティ

コンテナセキュリティツールをCI/CDパイプラインと統合することで、配信の迅速化、継続的な脅威検知、パイプラインの脆弱性ポスチャの改善、SecOpsプロセスの円滑化が可能になります。

3. ランタイム保護

実行中のコンテナ上でアプリケーションデータを保護するには、コンテナノードとワーカーノード内の可視性を確保することが重要です。効果的なコンテナセキュリティツールは、コンテナノードとワーカーノードの両方からリアルタイムのアクティビティとメタデータをキャプチャして関連付けることができます。

このレベルの可視性は、次のことに役立ちます：

• 悪意のある振舞いを阻止：通常のコンテナオペレーションに影響を与えることなく、振る舞いプロファイリングでポリシー違反のアクティビティをブロックします。
• コンテナのインシデントをより迅速に調査：検知が特定のコンテナに関連付けられていて、ホストイベントにバンドルされていなければ、インシデントを簡単に調査できます。
• すべてを把握：開始、停止、イメージ、コンテナのランタイム情報や、各コンテナ内で生成されたすべてのイベントをキャプチャします。
• Kubernetesでシームレスに展開：Kubernetesクラスターの一部として含めることで、大規模かつ簡単に展開できます。
• コンテナオーケストレーションの改善：Kubernetes名前空間、ポッドメタデータ、プロセス、ファイル、ネットワークイベントをキャプチャします。

コンテナセキュリティの一般的な課題

コンテナにはセキュリティ機能が含まれていないため、コンテナ特有のセキュリティ上の課題が生じる可能性があります。

可視性

主な課題は可視性です。可視性とは、システムを「見る」能力のことであり、これにより制御が機能しているかどうかを理解したり、脆弱性を特定して緩和したりすることができます。コンテナは集中的な制御ができないことがあるため、全体的な可視性が制限されます。そのため、イベントがコンテナによって生成されたのか、それともホストによって生成されたのかの判断が困難になる場合があります。また、コンテナの存続期間は短く、コンテナが終了するとフォレンジック証拠が失われます。

コンテナが安全に設計されているかどうかを企業が知ることは難しい場合があります。通常、ITチームは開発チームからコンテナを受け取ります。ほとんどの場合、コンテナは他のソースからのソフトウェアを使用して構築されています。そのソフトウェアはまた別のソフトウェアを使用して構築されていて、といった具合に続いていきます。開発段階でセキュリティがドキュメント化されていて、コンテナのユーザーがそのドキュメントにアクセスできるのでなければ、コンテナは安全でないと考えるのが妥当です。

「設定さえしてしまえば後は気にする必要なし」という思考

コンテナ管理のもう1つの落とし穴は、管理者がコンテナに対して、「設定さえしてしまえば後は気にする必要なし」という思考に陥りがちだということです。しかし、コンピューター環境における他の部分と同様に、コンテナにおいて、疑わしいアクティビティ、設定ミス、過度に寛容なアクセスレベル、安全でないソフトウェアコンポーネント（ライブラリ、フレームワークなど）がないか監視する必要があります。昨日安全だったものが、今日も安全であるとは限りません。

脆弱性スキャン

一部の企業では、コンテナをセキュリティコントロールの対象にしています。そして、その責任あるアプローチは、脆弱性スキャンのたびに大量の結果が生成され、その分類、優先順位付け、軽減という、一連の新たな問題を引き起こします。インシデント対応のどのフェーズであっても、いまだに手動プロセスに依存しているチームは、コンテナによってもたらされる負荷を処理できません。

従来のツールは、ほとんどがネットワークセキュリティとワークロードセキュリティのどちらかに焦点を当てています。しかし、コンテナを保護するには両方に注意を払う必要があります。ホスト、ネットワーク、エンドポイントはすべて、コンテナの攻撃対象領域の一部であり、脆弱性はアーキテクチャの複数のレイヤーに存在します。

クラウドストライクとコンテナセキュリティ

コンテナの仕組みとそのベストプラクティスをよく理解することは、データとアプリケーションをサイバー脅威から守るための第一歩です。それに加え、組織には、現在のツールやプラットフォームと互換性のあるコンテナセキュリティソリューションが必要です。

クラウドストライクのFalconクラウドセキュリティは、組織がいずれのクラウドプラットフォームを使用していても、コンテナ化されたアプリケーションの保護に有効です。クラウドに特化した次のセキュリティ製品をチェックして、脆弱性の悪用を阻止してください。

• FALCON FOR AWS
• FALCON FOR AZURE
• FALCON FOR GCP