アプリケーション開発およびデプロイメントのためのコンテナはクラウド環境において広く普及しており、現代の企業はクラウド中心のアーキテクチャへと移行しています。コンテナスキャンは、コンテナセキュリティの一部であり、コンテナ化された DevOps ワークフローを保護するための基本的なセキュリティ対策です。
すべてのコンテナが同じように作成されているわけではなく、多くのイメージは、信頼できないソースや公開リポジトリから抽出される可能性があります。それらは新たな脅威ベクトルを追加し、悪意のあるコンポーネントを含み、未知のリスクをもたらす可能性があります。
このブログでは、コンテナスキャンの基礎と、それがコンテナセキュリティにとってなぜ重要なのかについて解説します。また、一般的なコンテナの脆弱性や様々なコンテナスキャン手法についても取り上げ、ユーザーがそれらを実装する方法を順を追って説明します。それでは、早速見ていきましょう。
コンテナスキャン（コンテナイメージスキャン）とは？
コンテナスキャンは、最先端のセキュリティツールを用いてコンテナイメージの構成要素をレイヤーごとに分析し、潜在的な脅威を検出します。
コンテナスキャンソリューションはグローバルデータベースを活用し、脆弱性を特定し危険性を検証します。クラウドネイティブアプリケーションにおける悪用手法を特定し、開発チームが脆弱性が悪用される前に早期に発見・修正できるようにします。これらのソリューションは、開発初期段階からのシフトレフトセキュリティ対策を実現し、分析を実施し、脆弱性修正のための推奨事項を提供します。
コンテナスキャンが必要な理由とは？
コンテナには複数のイメージが含まれており、これらはベースイメージから脆弱性を継承します。これにはあらゆる設定ミス、マルウェア、その他のセキュリティ上の欠陥が含まれます。シフトレフトセキュリティの実施は、コンテナイメージ内の依存関係とパッケージを分析して脅威を排除し、本番パイプラインへのデプロイを防ぐことから始まります。
コンテナイメージの脆弱性が深刻な問題を引き起こす前に、コンテナスキャナを使用して脆弱性を特定し修正することが不可欠です。適切なコンテナスキャンを実行しないと、機密認証情報の漏洩、データ侵害、その他のセキュリティ侵害につながる可能性があります。
一般的なコンテナ脆弱性とは？
コンテナは、企業がアプリケーションを構築、デプロイ、利用する方法を変革しています。効率性と移植性を高め、ユーザーが適切なオペレーティングシステム、設定、または本番環境を気にせずにソフトウェアを実行できるようにします。コンテナはデフォルトで安全ですが、他のセキュリティ脆弱性と同様に特定のリスクに晒されています。
最も一般的なコンテナセキュリティ脆弱性は以下の通りです：
- 信頼できないコンテナ– 信頼できないコンテナは主に、信頼できないまたは検証されていないソースからソフトウェアを実行するコンテナで構成されます。これらのコンテナは悪意のあるコードを保持し、パブリックリポジトリにアップロードする可能性があり、攻撃者がネットワークへの不正アクセスを得る原因となります。
- 不適切な設定– コンテナを実行するマシンはOSレベルの攻撃に対して脆弱な可能性があるため、ホストOSの適切な更新と設定が不可欠です。不適切な設計には、権限昇格攻撃やコンテナ化レイヤーの設定ミスも含まれます。
- シークレット管理– シークレットを保護しないコンテナは、あらゆるレベルで侵入を受けやすい。不適切なAPIキーやトークンがシークレット管理上の欠陥の主な原因である。秘密鍵を定期的にローテーションしない場合、攻撃者が認証情報を解読し、本来アクセスすべきでないリソースにアクセスする可能性が生じる。
コンテナセキュリティスキャンの種類
コンテナイメージは様々なソースから取得されるため、イメージの信頼性を維持することが極めて重要です。デプロイ前および本番環境におけるアプリケーションのライフサイクル全体にわたる完全なセキュリティを実現するには、以下の3つの領域でコンテナスキャンを実施することが不可欠です：
1.コンテナレジストリスキャン-コンテナアプリケーションレジストリには、様々なソースから構築された数千ものイメージが保存されています。レジストリにはサードパーティの場所も含まれており、単一の脅威がアプリケーション全体に影響を与える可能性があります。コンテナレジストリの変更点や脆弱性を継続的にスキャンすることは、コンテナのセキュリティを維持するために極めて重要です。これは自動化されなければならず、潜在的な脅威を特定するためにすべてのイメージをチェックする必要があります。
2. ランタイムスキャン-コンテナのランタイムスキャンにより、新たなCVEを特定し、新たな脆弱性を検知し、即座にセキュリティチームへ報告します。自動化されたランタイムスキャンは、コンテナ環境全体のリスクを優先順位付けし、ランタイム保護を強化します。ベースラインを設定することでコンテナを安全な状態に保ち、異常を軽減します。
3. 脆弱性スキャン-脆弱性スキャンは、アプリケーションのライフサイクル全体を通じてコンテナの全コンポーネントを分析します。これは優れたDevSecOpsの実践であり、セキュリティチームは効果的な脅威の検出と修復のために、CI/CDパイプラインにコンテナイメージスキャンを統合する必要があります。脆弱性スキャンは、コードがコンテナに入る前にその脆弱性を発見し、保護を最大限に高めるためにそれらをブロックします。
コンテナスキャンの実装方法
コンテナセキュリティ スキャンは、クラウドネイティブ環境とアプリケーションを監視・保護するための標準的なワークフローになりつつあります。ほとんどの開発者は、内部ツールを使用してコンテナスキャンを実行する際に、実行環境を分離することを好みます。
コンテナスキャンには主に3つのステップがあり、それらは以下の通りです：
- ステップ1 – アプリケーションコードの保護
- ステップ2 – コンテナイメージをスキャンする
- ステップ3 – 接続レイヤーをスキャンする
ステップ1 – アプリケーションコードの保護
コンテナアプリケーションコードと開発支援ツールは、コンテナコードの脆弱性と依存関係をスキャンおよび追跡します。コンテナ化、統合、デプロイ前の開発サイクルの早い段階でエラーを発見するのに役立ちます。最初のアプリケーションコードスキャンは、コードをコンテナに挿入した後に実行できます。
ステップ2 – コンテナイメージのスキャン
多くのコンテナイメージスキャンツールが利用可能であり、これらはデジタル署名を分析してイメージの品質と複数の脆弱性を評価します。コンテナイメージスキャンはソースを精査し発行元を検証するため、これらのイメージの完全性と真正性を保証します。
ステップ3 – 接続レイヤーのスキャン
コンテナの中間レイヤーには、セキュリティ脆弱性の大部分が含まれています。レイヤー数を最小限に抑えることでコンテナイメージをカスタマイズできます。
コンテナセキュリティスキャンのベストプラクティス
コンテナセキュリティスキャンのベストプラクティスは以下の通りです：
- CLIによるローカルスキャン
- CI/CDパイプラインへの自動スキャン統合
- インラインイメージスキャンの採用
- イメージバージョンの固定
- シークレットのスキャン
- ドリフトの検出
1. CLI ローカルスキャン
CLI ローカルスキャンには Docker スキャン機能があり、ローカルコンテナイメージをビルド後すぐにスキャンしやすくなっています。docker scan コマンドを使用して CLI スキャンを実行できます。これは、コンテナセキュリティのベストプラクティスを実装するための最初のステップのひとつです。
2.CI/CD パイプラインへの自動スキャンの統合
次のステップは、自動スキャンを CI/CD パイプラインに組み込み、コンテナイメージのビルド時に継続的に分析することです。これにより、重大なセキュリティインシデントの回避、ビルド失敗の報告、脆弱性の特定が可能になります。
3. インラインイメージスキャンの採用
インラインイメージスキャンは、データのプライバシーを追跡し、イメージの認証情報を保護するのに役立ちます。パブリックリポジトリをステージングする必要はなく、スキャンメタデータツールのみが必要です。インラインスキャンは、GitLab、AWS Codepipeline、Jenkins、Tekton、その他多くの CI/CD ツール で実装できます。
4. イメージのバージョンを固定する
コンテナは同じイメージからデプロイできる異なるバージョンを持つため、間違ったイメージをスキャンしてしまう場合があります。デバッグに問題が生じる可能性があり、可変タグを使用している場合、これらのタグは絶えず更新され新しいバージョンが登場するため、スキャン結果が無効になる可能性があります。
定期的な変更が影響を与えないように、不変タグとピンイメージバージョンを強制することが不可欠です。コンテナイメージスキャン、OPAエンジン、およびKubernetesアドミッションコントローラーを組み合わせることで、このプロセスを支援できます。
5. シークレットのスキャン
シークレットスキャンは、パスワード、ユーザー名、秘密鍵を保護します。イメージをデプロイする前にシークレットをスキャンすることは良い習慣であり、ユーザーはイメージのソースを検証できます。シークレットスキャンは漏洩を防ぎ、保護されたコンテナ化されたワークロードが情報にアクセスできるようにします。また、コンテナのメンテナンスも容易になり、多くのワークフローは内部ツールを使用して Kubernetes クラスタを監視するように設計されています。異なる構成を分析するために、別々の実行環境を使用することを好むユーザーもいます。
6. ドリフトの検出
コンテナのデプロイメントは、設計上不変であるようにしてください。最新のセキュリティパッチや設定の更新を適用し、設定のドリフトの可能性を最小限に抑える方法で新しいコンテナイメージをデプロイすることが重要です。バイナリドリフト検出を使用して、不正な実行ファイルの導入や望ましくない変更を特定します。ドリフト検出を CI/CD パイプラインに統合することができ、ランタイムセキュリティツールを使用してランタイムの動作を監視することをお勧めします。統合されたドリフト検出、コンテナイメージスキャン、ポリシー適用、コンテナランタイム保護を提供するコンテナセキュリティプラットフォームを使用してください。
コンテナセキュリティスキャンにSentinelOneを選ぶ理由とは？
SentinelOneは、Kubernetes、コンテナ、クラウドネイティブワークロード向けに包括的な可視性、自動化された脅威検知、ポスチャー管理を組み合わせることで、業界をリードするコンテナセキュリティを提供します。SentinelOne Singularity™ Cloud Native Security (CNS) はエージェントレスのコンテナスキャンを提供し、セキュリティチームがコンテナイメージの脆弱性、設定ミス、公開されたシークレットをデプロイ前に検出できるようにします。750 種類以上のシークレットのスキャンをサポートする SentinelOne は、GitHub、GitLab、BitBucket、その他の CI/CD リポジトリ全体で、認証情報の漏洩を防止し、堅牢なコードの健全性を維持するのに役立ちます。
このプラットフォームには、Kubernetes Security Posture Management (KSPM) が含まれており、組織は Kubernetes クラスタ内でセキュリティのベストプラクティスを継続的に監視および実施することができます。SentinelOne は設定のドリフトを検出し、NIST、CIS、MITRE などの主要なコンプライアンス基準に対応した 2,000 以上の組み込みルールセットを提供することで、チームが設定ミスやコンプライアンスのギャップにリアルタイムで対処できるようにします。CNSはDevOpsパイプラインにシームレスに統合され、ポリシー適用を自動化し、既存のワークフローへの影響を最小限に抑えながら実用的なインサイトを提供します。
SentinelOneのSingularity™ Cloud Workload Security (CWS)は、AIを活用した検知技術により、ランサムウェア、クリプトジャッキング、ゼロデイ攻撃を含む攻撃をマシン速度で阻止し、実行時のコンテナ化ワークロードへの保護を拡張します。静的解析、動的脅威検知、自動応答を組み合わせることで、SentinelOneは組織がマルチクラウド環境全体にわたるあらゆる防御対象（VM、コンテナ、Kubernetes）を統一ダッシュボードから防御することを可能にします。
エージェントレスのCNAPPアーキテクチャにより、セキュリティチームは影響度の高いアラートと検証済みのエクスプロイト経路に集中でき、誤検知と運用負荷を削減します。自動オンボーディング、即時カバレッジ、統一されたポリシー管理により、SentinelOneはビルドから実行時までの開発ライフサイクル全体におけるコンテナ保護に最適なソリューションです。
結論
CI/CDパイプラインやOS脆弱性スキャンといったコンテナイメージのスキャンに関するベストプラクティスを実践することで、イメージの安全性を確保し、悪用を防ぐことができます。コンテナセキュリティのベストプラクティスを徹底することは継続的なプロセスであり、ビルドの開始から完了まで反復的なアプローチに従います。
コンテナアプリケーション開発ライフサイクルの全段階で脅威を監視し、新たなセキュリティリスクに備えることが不可欠です。コンテナをスキャンすることで、隠れた悪用を発見し、脆弱性を排除し、コンテナ化されたアプリケーションの動作変化や悪意のあるイベントを監視することで最適なセキュリティを確保できます。SentinelOneは、監査ログ、権限管理、IaCテンプレートのサポートなどのすぐに使える機能を提供し、コンテナスキャンをシームレスな体験にします。
コンテナスキャンに関するよくある質問
コンテナスキャンとは、コンテナイメージと稼働中のコンテナを分析し、セキュリティ上の脆弱性、設定ミス、コンプライアンス上の問題を特定するプロセスです。コンテナ化されたアプリケーションのセキュリティ診断と言えます。
基本オペレーティングシステムからアプリケーションの依存関係までを調査し、National Vulnerability Databaseなどの脆弱性データベースと照合します。これにより、本番環境へ移行する前にセキュリティ問題を発見できます。
コンテナスキャンは、ベースイメージのOS脆弱性、脆弱なアプリケーション依存関係、およびユーザー権限の過剰な付与やポートの露出といった設定上の欠陥を検出します。また、APIキーやパスワードなどのハードコードされたシークレット、マルウェア、CISベンチマークなどの基準に対するコンプライアンス違反も検出します。
スキャナーは、攻撃者に悪用される可能性のある古いライブラリ、Dockerfileの設定ミス、過剰な権限をチェックします。
脆弱性をデプロイ前に検出するため、スキャンをCI/CDパイプラインに統合すべきです。信頼できるソースからの最小限のベースイメージを使用し、ビルド時と実行時の両方でスキャンして包括的なカバレッジを確保してください。
適切なアラート閾値を設定した自動スキャンを構築し、脆弱性データベースを定期的に更新することを忘れないでください。また、重大な脆弱性が発見された場合にデプロイをブロックするポリシーを実装してください。
コンテナスキャナはまずイメージを取得し、構成レイヤに分解した後、各コンポーネントを個別に分析します。シグネチャベーススキャンでCVEなどの既知の脆弱性データベースとコンポーネントを比較し、動作ベーススキャンで実行時の異常活動を検出します。
スキャナーはベースイメージ、アプリケーションコード、依存関係、設定を検査し、修正が必要なセキュリティ問題をフラグ付けします。