コンテナが攻撃されたときの対処方法: インシデント対応計画

翻訳者 |趙青棠

校正：孫淑娟

コンテナは、コード、構成ファイル、ライブラリ、システムツールなど、あらゆるオペレーティングシステムおよびインフラストラクチャ上で実行するために必要なすべての依存関係が含まれるソフトウェアパッケージです。各コンテナには、物理マシンからクラウドなど、さまざまなコンピューティング環境間でアプリケーションを移動できるようにするランタイム環境が含まれています。

コンテナには多くの利点がありますが、セキュリティ上の重大な課題も生じます。コンテナは、異なるセキュリティ対策、対応戦略、フォレンジック手法を必要とする新たな攻撃対象領域をもたらします。コンテナインシデント対応は、コンテナセキュリティインシデントに対応するための標準化されたアプローチです。

インシデント対応は、ネットワークリソースや情報資産に影響を及ぼすセキュリティイベントを検出し、適切な手順を実行して評価および修復するセキュリティ機能です。セキュリティインシデントには、マルウェア感染、資格情報の漏洩、データベース侵害などがあります。コンテナインシデント対応は、コンテナ化されたワークロードに対するセキュリティの脅威を防止、封じ込め、修復、および防止するのに役立ちます。

コンテナセキュリティがなぜ重要なのか

コンテナは DevOps パイプラインの軽量なビルディングブロックとして広く使用されており、コンテナセキュリティは現代の IT セキュリティ戦略の重要な部分となっています。仮想マシン (VM) と同様に、コンテナーには、オペレーティングシステムの設計に従って、環境に関係なく、アプリケーションを実行するために必要なすべてのもの (コード、プログラムランタイム、ツール、ライブラリ、構成情報) が含まれます。 VM とは異なり、移植性が高く、起動が速く、消費するリソースがはるかに少なくなります。

Docker や Kubernetes などのコンテナプラットフォームには基本的なセキュリティ制御が含まれていますが、コンテナ化されたアプリケーションの開発には、脆弱な可能性のあるサードパーティのソフトウェアコンポーネントが含まれることがよくあります。さらに、Docker と Kubernetes はデフォルトでは安全ではないため、安全な構成を確保することが重要であり、規模が大きくなると複雑になる可能性があります。

コンテナは、ホストの分離を回避できる悪意のあるプロセスに対して脆弱です。さらに、コンテナは、攻撃者によって改ざんされる可能性のあるイメージに基づいていたり、古いソフトウェアコンポーネントや脆弱なソフトウェアコンポーネントが含まれている可能性があります。コンテナが安全でない場合、コンテナ内で他の許可されていないコンテナやアプリケーションが実行され、極端な場合には、攻撃者がホストマシンやコンテナクラスター全体を侵害する可能性があります。

クラウドネイティブ環境でフォレンジックが異なる理由

フォレンジックは、情報セキュリティ全般、特にインシデント対応において重要な部分です。これは新興分野であり、現在では DFIR (デジタルフォレンジックとインシデント対応) を中心とした専門的なツールやセキュリティ認定が存在します。

疑わしいイベントが発生した場合、セキュリティアナリストは、何が起こったのかを理解し、そのイベントが真のセキュリティインシデントであるかどうかを判断し、脅威を封じ込めて排除するために必要な情報を収集するために、迅速なフォレンジック調査を実行する必要があります。

開発者がコードを高頻度で展開するにつれて、フォレンジック調査の実行が困難になります。数か月間そのまま放置できる物理サーバーや仮想マシンとは異なり、コンテナーは、オーケストレーターがいつでも起動およびシャットダウンできる軽量の一時的なコンピューティングタスクです。コンテナの有効期間は数分または数秒と短い場合もありますが、通常は数時間単位で測定されます。サーバーレス関数のライフサイクルははるかに短く、たとえば、AWS Lambda 関数は 1 回の実行につき最大 15 分間しか実行できません。

これらの非常に短いライフサイクルは、セキュリティ、可視性、フォレンジックに大きな影響を与えます。コンテナは一時的なものであるため、コンテナのファイルシステムに書き込まれたデータは、通常、コンテナがシャットダウンされると削除されます (明示的に別の場所に保存されない限り)。 Kubernetes などのツールは、ホスト上のワークロードを自動的にスケジュールし、ホスト間でワークロードを動的に移動します。つまり、チームはアプリケーションがどのホストで実行されるかを事前に決定できないことがよくあります。

クラウドネイティブ環境でフォレンジックを有効にするには、高度に動的な環境で関連ログデータをキャプチャし、複数のクラウドと最大数千のホストで実行される一時的なワークロードをサポートできる戦略とテクノロジがチームに必要です。

コンテナフォレンジックインシデント対応計画の構築

コンテナインシデント対応計画を策定する際に考慮すべき主な重点領域は 3 つあります。

予防

予防策を講じることで、コンテナの攻撃対象領域を減らすことができます。たとえば、コンテナに対するルートアクセスは提供せず、kubectl および Kubernetes API へのアクセスを制限し、Kubernetes が最新バージョンで実行され、クラスターの構成が強化されていることを確認する必要があります。

システムメトリックの収集に役立つ Docker Statistics API など、Kubernetes で利用可能なセキュリティツールを活用することが重要です。システムメトリックは、大規模に実行されているときにコンテナーの負荷がシステムにどのような影響を与えるかを理解する必要があるアナリストにとって役立ちます。

これらのメトリックに基づいて、DevOps チームとセキュリティチームは、コンテナとポッド内で何が起こっているかを理解できます。たとえば、機密ファイルが欠落していないか、コンテナに不明なファイルが追加されていないかを判断したり、リアルタイムのネットワークトラフィックを監視したり、コンテナまたはアプリケーションレベルで異常な動作を識別したりできます。