アプリケーション開発および開発のためのコンテナは、クラウド環境で十分に文書化されており、現代の企業はクラウド中心のアーキテクチャへと移行しています。コンテナスキャンはコンテナセキュリティの一部であり、コンテナ化されたDevOpsワークフローを保護するための基本的なセキュリティ対策です。
すべてのコンテナが同じように作成されているわけではなく、多くのイメージは信頼できないソースやパブリックリポジトリから抽出される可能性があります。これらは新たな脅威ベクトルを追加し、悪意のあるコンポーネントを含み、未知のリスクをもたらすことがあります。
本ブログでは、コンテナスキャンの基本と、それがコンテナセキュリティにとって重要である理由について解説します。また、一般的なコンテナの脆弱性やさまざまなコンテナスキャン手法についても取り上げ、実装方法をユーザー向けに説明します。それでは始めましょう。
コンテナスキャン（コンテナイメージスキャン）とは？
コンテナスキャンは、最先端のセキュリティツールを用いて、コンテナイメージの各レイヤーを分析し、潜在的な脅威を検出します。
コンテナスキャンソリューションは、グローバルデータベースを活用して脆弱性を特定し、危険性をチェックします。クラウドネイティブアプリケーションのエクスプロイトを特定し、開発チームが脆弱性を早期に発見・修正できるようにします。これらのソリューションは、初期段階からのシフトレフトセキュリティ対策、分析の実施、脆弱性の修復に関する推奨事項の提供を可能にします。
なぜコンテナスキャンが必要なのか？
コンテナには複数のイメージが含まれており、ベースイメージからの脆弱性や、あらゆる設定ミス、マルウェア、その他のセキュリティ欠陥を継承します。シフトレフトセキュリティの実現は、コンテナイメージ内の依存関係やパッケージを分析し、脅威を排除して本番パイプラインへの展開を防ぐことから始まります。
コンテナイメージの脆弱性を特定し修正するために、コンテナスキャナーを使用することが不可欠です。適切なコンテナスキャンを実施しないと、機密認証情報の漏洩やデータ侵害、その他のセキュリティ侵害につながる可能性があります。
一般的なコンテナの脆弱性とは？
コンテナは、企業がアプリケーションを構築・展開・利用する方法を変革しています。効率性と可搬性を高め、ユーザーは適切なオペレーティングシステムや設定、本番環境を気にせずソフトウェアを実行できます。コンテナはデフォルトでセキュアですが、他のセキュリティ脆弱性と同様に特定のリスクにさらされています。
最も一般的なコンテナセキュリティの脆弱性は以下の通りです：
- 信頼できないコンテナ – 信頼できないコンテナは、主に信頼できないまたは未検証のソースからソフトウェアを実行するコンテナで構成されます。これらのコンテナは悪意のあるコードを含み、パブリックリポジトリにアップロードされることで、攻撃者がネットワークへ不正アクセスする原因となります。
- 安全でない設定 – コンテナを実行するマシンはOSレベルの攻撃に対して脆弱な場合があるため、ホストOSの適切な更新と設定が不可欠です。安全でない設計には、権限昇格攻撃やコンテナ化レイヤーの設定ミスも含まれます。
- シークレット管理 – シークレットを保護しないコンテナは、あらゆるレベルで侵入のリスクがあります。安全でないAPIキーやトークンがシークレット管理の欠陥の主な原因です。秘密鍵を定期的にローテーションしないと、攻撃者が認証情報を特定し、本来アクセスできないリソースにアクセスする可能性があります。
コンテナセキュリティスキャンの種類
コンテナイメージはさまざまなソースから取得できるため、イメージの信頼性を維持することが重要です。アプリケーションのライフサイクル全体で完全なセキュリティを実現するには、以下の3つの領域でコンテナスキャンを実施することが不可欠です：
1. コンテナレジストリスキャン-コンテナアプリケーションレジストリは、さまざまなソースから構築された数千のイメージを保存します。レジストリにはサードパーティの場所も含まれ、単一の脅威がアプリケーション全体に影響を及ぼす可能性があります。コンテナレジストリの変更や脆弱性を継続的にスキャンすることは、コンテナセキュリティを維持する上で重要です。これを自動化し、すべてのイメージをチェックして潜在的な脅威を特定する必要があります。
2. ランタイムスキャン-ランタイムでコンテナをスキャンすることで、新たなCVEや脆弱性を特定し、即座にセキュリティチームへ報告できます。自動化されたランタイムスキャンは、コンテナ環境全体のリスクを優先順位付けし、ランタイム保護を強化します。ベースラインを確立することで、コンテナを安全な状態に保ち、異常を軽減します。
3. 脆弱性スキャン-脆弱性スキャンは、アプリケーションのライフサイクル全体を通じてコンテナのすべてのコンポーネントを分析します。これは優れたDevSecOpsプラクティスであり、セキュリティチームは効果的な脅威検出と修復のために、CI/CDパイプラインにコンテナイメージスキャンを統合する必要があります。脆弱性スキャンは、コードがコンテナに入る前に脆弱性を発見し、最大限の保護のためにブロックします。
コンテナスキャンの実装方法
コンテナセキュリティスキャンは、クラウドネイティブ環境やアプリケーションの監視・保護のための標準化されたワークフローとなりつつあります。多くの開発者は、内部ツールを使用してコンテナスキャンを実行する際に実行環境を分離することを好みます。
コンテナスキャンには主に3つのステップがあり、以下の通りです：
- ステップ1 – アプリケーションコードの保護
- ステップ2 – コンテナイメージのスキャン
- ステップ3 – 接続レイヤーのスキャン
ステップ1 – アプリケーションコードの保護
コンテナアプリケーションコードと開発は、コンテナコードの脆弱性や依存関係のスキャン・追跡に役立ちます。これにより、コンテナ化、統合、展開前の開発サイクル初期段階でエラーを早期発見できます。初期のアプリケーションコードスキャンは、コードがコンテナに挿入された後に実施できます。
ステップ2 – コンテナイメージのスキャン
多くのコンテナイメージスキャンツールが利用可能であり、これらはデジタル署名を分析してイメージの品質や複数の脆弱性を評価します。コンテナイメージスキャンはソースを精査し、発行者を検証することで、イメージの完全性と真正性を確保します。
ステップ3 – 接続レイヤーのスキャン
コンテナの中間レイヤーには、セキュリティ脆弱性の大部分が含まれています。コンテナイメージは、レイヤー数を最小限にすることでカスタマイズできます。
コンテナセキュリティスキャンのベストプラクティス
以下は、コンテナセキュリティスキャンのベストプラクティスです：
- CLIローカルスキャン
- CI/CDパイプラインへの自動スキャン統合
- インラインイメージスキャンの採用
- イメージバージョンの固定
- シークレットのスキャン
- ドリフトの検出
1. CLIローカルスキャン
CLIローカルスキャンはDockerスキャン機能を備えており、ローカルコンテナイメージをビルド直後に即座にスキャンできます。docker scanコマンドを使用してCLIスキャンを実行でき、これはコンテナセキュリティのベストプラクティスを実装する最初のステップの一つです。
2. CI/CDパイプラインへの自動スキャン統合
次のステップは、自動スキャンをCI/CDパイプラインに組み込み、コンテナイメージがビルドされるたびに継続的に分析することです。これにより、重大なセキュリティインシデントの回避、ビルド失敗の報告、脆弱性の特定が可能になります。
3. インラインイメージスキャンの採用
インラインイメージスキャンは、データプライバシーの追跡やイメージ認証情報の保護に役立ちます。パブリックリポジトリをステージングする必要はなく、スキャンメタデータツールのみが必要です。インラインスキャンは、GitLab、AWS Codepipeline、Jenkins、Tekton、その他多くのCI/CDツールで実装できます。
4. イメージバージョンの固定
コンテナには同じイメージから展開可能な異なるバージョンが存在するため、誤ったイメージをスキャンしてしまうことがあります。これによりデバッグ時に問題が発生し、可変タグを使用している場合、これらのタグは頻繁に更新され新しいバージョンが作成されるため、スキャン結果が無効になる可能性があります。
イミュータブルタグを強制し、イメージバージョンを固定することが重要です。これにより、定期的な変更の影響を受けません。コンテナイメージスキャン、OPAエンジン、Kubernetesアドミッションコントローラーの組み合わせがこのプロセスに役立ちます。
5. シークレットのスキャン
シークレットスキャンは、パスワード、ユーザー名、秘密鍵を保護できます。イメージをデプロイする前にシークレットをスキャンすることは良いプラクティスであり、ユーザーはイメージソースを検証できます。シークレットスキャンは漏洩を防ぎ、情報をセキュアかつコンテナ化されたワークロードで利用可能にします。また、コンテナのメンテナンスを容易にし、多くのワークフローは内部ツールを使用してKubernetesクラスターを監視するよう設計されています。一部のユーザーは、異なる設定を分析するために分離された実行環境を使用することを好みます。
6. ドリフトの検出
コンテナデプロイメントを設計上イミュータブルにしましょう。最新のセキュリティパッチや設定更新を適用し、新しいコンテナイメージを展開する際には、設定ドリフトの可能性を最小限に抑えることが重要です。Binary Drift Detectionを使用して、不正な実行ファイルの導入や不要な変更を特定します。ドリフト検出をCI/CDパイプラインに統合し、ランタイムセキュリティツールでランタイム動作を監視することを推奨します。ドリフト検出、コンテナイメージスキャン、ポリシー適用、コンテナランタイム保護を統合したコンテナセキュリティプラットフォームを利用してください。
コンテナセキュリティスキャンにSentinelOneを選ぶ理由
SentinelOneは、Kubernetes、コンテナ、クラウドネイティブワークロードに対して、包括的な可視性、自動化された脅威検出、ポスチャーマネジメントを組み合わせることで、業界をリードするコンテナセキュリティを提供します。SentinelOne Singularity™ Cloud Native Security (CNS)は、エージェントレスのコンテナスキャンを提供し、セキュリティチームがコンテナイメージの展開前に脆弱性、設定ミス、漏洩したシークレットを検出できます。750種類以上のシークレットスキャンに対応し、SentinelOneは組織が認証情報の漏洩を防ぎ、GitHub、GitLab、BitBucket、その他のCI/CDリポジトリ全体で堅牢なコード衛生を維持するのに役立ちます。
本プラットフォームにはKubernetes Security Posture Management (KSPM)が含まれており、組織はKubernetesクラスター内でセキュリティベストプラクティスを継続的に監視・適用できます。SentinelOneは設定ドリフトを検出し、NIST、CIS、MITREなど主要なコンプライアンス基準に対応した2,000以上の組み込みルールセットを提供し、チームが設定ミスやコンプライアンスギャップにリアルタイムで対応できるようにします。CNSはDevOpsパイプラインにシームレスに統合され、ポリシー適用の自動化と実用的なインサイトを最小限のワークフロー中断で提供します。
SentinelOneのSingularity™ Cloud Workload Security (CWS)は、AIによる検出を用いて、ランタイムでコンテナ化されたワークロードを保護し、ランサムウェア、クリプトジャッキング、ゼロデイ攻撃などをマシンスピードで阻止します。静的解析、動的脅威検出、自動応答を組み合わせることで、SentinelOneはVM、コンテナ、Kubernetesなど、マルチクラウド環境全体を統合ダッシュボードから防御可能にします。
エージェントレスのCNAPPアーキテクチャにより、SentinelOneはセキュリティチームが高インパクトなアラートや検証済みのエクスプロイトパスに集中できるようにし、誤検知や運用負荷を削減します。自動オンボーディング、即時カバレッジ、統合ポリシーマネジメントにより、SentinelOneは開発ライフサイクル全体（ビルドからランタイムまで）でコンテナを保護する理想的なソリューションです。
サーバー、VM、コンテナ向けのAI搭載クラウドワークロード保護（CWPP）。実行時の脅威をリアルタイムで検知・阻止します。
まとめ
CI/CDパイプラインやOS脆弱性スキャンなどのコンテナイメージスキャンのベストプラクティスは、イメージを安全に保ち、悪用を防ぐことができます。最適なコンテナセキュリティの実現は継続的なプロセスであり、ビルド開始から完了まで反復的なアプローチを取ります。
コンテナアプリケーション開発ライフサイクルのすべての段階で脅威を監視し、新たなセキュリティリスクに備えることが不可欠です。コンテナのスキャンにより、隠れたエクスプロイトを発見し、脆弱性を排除し、コンテナ化アプリケーションの挙動変化や悪意のあるイベントを監視することで最適なセキュリティを確保できます。SentinelOneは、監査ログ、権限管理、IaCテンプレートサポートなどの即時利用可能な機能を提供し、コンテナスキャンをシームレスな体験にします。
コンテナスキャンに関するよくある質問
コンテナスキャンは、コンテナイメージや稼働中のコンテナを分析し、セキュリティ脆弱性、設定ミス、コンプライアンス違反を特定するプロセスです。これは、コンテナ化されたアプリケーションのセキュリティチェックです。
ベースOSからアプリケーション依存関係までを調査し、National Vulnerability Databaseなどの脆弱性データベースと照合します。これにより、セキュリティ上の問題が本番環境に到達する前に発見できます。
コンテナスキャンは、ベースイメージのOS脆弱性、脆弱なアプリケーション依存関係、過度に権限が付与されたユーザーや公開ポートなどの設定不備を検出します。また、APIキーやパスワードなどのハードコードされたシークレット、マルウェア、CISベンチマークなどの基準に対するコンプライアンス違反も特定します。
スキャナーは、古いライブラリ、Dockerfileの設定ミス、攻撃者に悪用される可能性のある過剰な権限もチェックします。
脆弱性をデプロイ前に検出するため、CI/CDパイプラインにスキャンを統合することが推奨されます。信頼できるソースからの最小限のベースイメージを使用し、ビルド時と実行時の両方でスキャンして包括的にカバーしてください。
適切なアラート閾値で自動スキャンを設定し、脆弱性データベースを定期的に更新することも忘れないでください。また、重大な脆弱性が検出された場合はデプロイをブロックするポリシーを実装してください。
コンテナスキャナーはまずイメージを取得し、構成レイヤーごとに分解して各コンポーネントを個別に分析します。既知の脆弱性データベース（CVEなど）と照合するシグネチャベースのスキャンや、実行時の異常な動作を検出する振る舞いベースのスキャンを使用します。
スキャナーはベースイメージ、アプリケーションコード、依存関係、設定を調査し、セキュリティ上の問題を検出して修正のために通知します。
