Veeam用語集
コンテナセキュリティとは

コンテナセキュリティとは

コンテナセキュリティとは、コンテナワークロードを保護するために使用される一連のツールとセキュリティプロセスを指します。これには、コンテナで使用されるイメージ、コンテナ自体、そしてKubernetes、AWS ECS、Red Hat OpenShiftコンテナプラットフォームなどのコンテナオーケストレーションプラットフォームの保護が含まれます。コンテナには特定の保護機能が組み込まれていますが、攻撃に対しては脆弱なままです。考慮すべきコンテナセキュリティの他の側面として、安全なコンテナの構築と保護されたランタイム環境の確立があります。コンテナを積極的に保護するだけでなく、Kubernetesやその他のコンテナサービスのための強固なバックアップと復元のプロセスを採用することも重要です。

コンテナ

コンテナは、コードとそのすべての依存関係をパッケージ化するソフトウェアの標準単位です。これにより、あるコンピューティング環境から別の環境に移動しても、アプリケーションを迅速かつ確実に実行できます。コンテナはマシンのOSシステムカーネルを共有するのでアプリケーションごとにOSを必要としません。このためサーバーの効率が向上して、サーバーとライセンスのコストを削減できます。開発者はこの機能を使用して、サーバーまたはコンピューター上の他のアプリケーションから分離された、仮想コンテナ内のマイクロサービスやその他のアプリケーションを実行します。仮想マシン（VM）とは異なり、コンテナは移植可能で、そのコンテナのタイプをサポートするデーモンサービスがある任意の環境で実行できます。Dockerは最も人気のあるコンテナテクノロジーですが、オリジナルのLXC Linuxコンテナなど、他にも多数のタイプが存在します。

オーケストレーションプラットフォーム

コンテナは独立して実行できますが、特に複数のコンテナを扱う場合は、特定のソフトウェアプラットフォームを使用してコンテナの管理と構成を行うのが一般的です。これらのプラットフォームの一般的な例としては、Kubernetes、AWS Elastic Container Service、Docker Swarmなどがあります。

コンテナのセキュリティが重要な理由

コンテナによってアプリケーションは分離され、ある程度のセキュリティも組み込まれますが、サイバーセキュリティ攻撃に対する脆弱性は依然として残ります。侵害されたイメージや脆弱なアクセス制御、コンテナとホストソフトウェア間の不十分な分離などが侵入ポイントになります。ハッカーがコンテナにアクセスするもう一つの一般的な方法として、コンテナの構成要素として使用される、破損したサードパーティのイメージを利用するやり方があります。コンテナイメージはコンテナの作成に必要なライブラリ、ツール、ソフトウェアが含まれる静的な実行可能ファイルで、多くの場合、ベースイメージ上に複数のレイヤーを重ねて構成されています。複数のコンテナで使用されるイメージがハッキングされると、深刻な損害を引き起こす可能性があります。

もう1つの要因は、コンテナがデータを格納する場所と方法です。当初、コンテナはステートレスであり、ステートデータの保存なしに実行され、閉じた際には痕跡が残りませんでした。永続データはホストのオペレーティングシステムに保管されました。しかし、開発者はコンテナを使って、コンテナ化向けには記述されていない従来のアプリケーションやその他のアプリケーションを区別するため、ステートデータを保管する必要があります（ステートフル性）。DockerやKubernetesなどの企業がステートフルコンテナの管理手段を提供しているなかで、継続的なバックアップを使用して、システム障害発生後にステートフルコンテナを復元できる手段を提供することが重要です。

コンテナセキュリティコンポーネント

コンテナセキュリティは、開発、ビルド環境、ランタイム環境、オーケストレーションなど、いくつかのコンポーネントに分割できます。

コンテナの開発

コンテナ開発で使用されるソフトウェアとイメージが正しく記述されており、脆弱性、設定ミス、マルウェアが含まれていないことを慎重に確認する必要があります。イメージレジストリはセキュリティで保護され、信頼できるイメージのみを保持する必要があります。常にコンテナスキャンツールを使って脆弱性をチェックし、古くなったイメージを保管しないようにします。

コンテナビルド環境

ビルド環境は完全に安全でなければなりません。開発者は、使用されるコンポーネントを自動化ツールを使って検証し、リスクを最小限に抑えて可視性を高める自動化されたCI/CDパイプラインをできるだけ採用する必要があります。

ランタイム環境

ランタイム環境は、厳密なアクセス制御プロトコルで適切に保護する必要があります。自動化されたセキュリティポリシーを使用して違反と脆弱性をチェックすると、セキュリティリスクを最小限に抑えることができます。コンテナ自体は必要最小限の権限で実行し、特権が与えられたコンテナを攻撃者が利用してホストの制御を奪取する機会を減らす必要があります。

オーケストレーションとインフラストラクチャ

Kubernetesのようなプラットフォームを使用してコンテナを大規模にオーケストレーションすることは困難です。ホストOSが安全であることを確認し、オーケストレーションプラットフォームによって提供されるツールを使用して常にベストプラクティスに従うことが重要です。同様に、サーバーとネットワークインフラストラクチャが安全であることを確認してください。

コンテナセキュリティのメリット

優れたコンテナセキュリティのメリットは、コンテナの開発と導入のあらゆる側面に反映されます。効果的なコンテナセキュリティは、攻撃対象領域を最小限に抑えることでリスクを軽減します。これにより、透明性が向上し、パイプラインの整合性が向上し、システムのセキュリティと管理が向上します。

攻撃対象領域を縮小

優れたコンテナセキュリティポリシーがあれば攻撃対象領域が狭まります。こうしたポリシーでは、インターフェイスをシンプルかつ小規模に保つことで、潜在的なアクセスポイントを制限します。アクセスを制限する最小特権ポリシーにより、セキュリティ侵害の可能性が軽減されて、それぞれのコンテナに固有のセキュリティ境界が設けられます。

透明性の向上

コンテナは（とくに仮想マシンと比べると）比較的シンプルなので、ユーザーがコンテナの内容を確認、分析することができます。イメージのスキャンと信頼できるイメージの使用により、イメージがクリーンであることを確認できます。

パイプライン整合性の確立

強力なCI/CDパイプライン制御により、ハッカーがレジストリ、ワークステーション、ビルドサーバーにアクセスするのを防ぎます。これらは、定期的な監査と自動脆弱性スキャンによるサポートを必要とします。管理者は、ユーザーがタスクを完了するのに十分な必要最小限のアクセスに制限する必要があります。

セキュリティ全体の向上

コンテナとコンテナを支えるインフラストラクチャの保護に重点を置くことは、ITセキュリティの全体的な改善のきっかけとなります。たとえば、コンテナに特化して設定されたランタイムおよび脆弱性検出ツールなどです。これらのツールと、標準的な侵入検知ソフトウェアやその他のツールを組み合わせることで、セキュリティの全体的な改善につなげることができます。

管理の簡素化

効果的なコンテナセキュリティが実現すると、コンテナの管理も容易になります。開発者にとっては、コンテナアプリケーションをスケーリングする際の懸念事項が少なくなります。優れたコンテナセキュリティのもう一つのメリットは、コンテナ化された環境の管理に必要な時間と労力が削減される点です。

コンテナの保護方法

コンテナの保護は、コンテナイメージ、ネットワーク環境、ビルドパイプラインのそれぞれの保護を含む複数のステップからなるプロセスです。その他にも、クラウドベースのデータベースの保護やコンテナバックアップ戦略の採用などが含まれます。

コンテナイメージの検証

コンテナイメージ（特にベースイメージ）は、信頼できるソースとレジストリから慎重に選択しましょう。コンポーネントのソースコードにアクセスできることを確認します。その場合でも、脆弱性を見つけるためにそれらのイメージを徹底的にテストすることが推奨されます。アプリケーションの追加時または構成の変更時も、同じ考え方があてはまります。

コンテナホストインフラストラクチャの保護

高度なコンテナ分離を提供するコンテナホストオペレーティングシステムを常に使用します。デフォルトの設定を見直して、Kubernetesのアクセス制御機能を有効にするなど、攻撃のポイントを排除します。サードパーティのセキュリティ監視ツールを使用して、ホスト環境を監視します。

コンテナネットワーク環境の保護

Webフィルタリングおよび侵入防止システムを使用して、インターネットからの悪意のある攻撃やコンテンツを特定して阻止します。アプリケーションで必要なポートのみを開き、Transport Layer Security（TLS）を使用してデータを暗号化します。コンテナ間のネットワークトラフィックを内部的に監視し、攻撃者が足場を固めたことを示す可能性のある異常なアクティビティを検出します。コンテナ間の接続は、どうしても必要な場合にのみ許可します。

管理スタックのロックダウン

コンテナホストプラットフォーム上の権限は慎重に制御しましょう。Kubernetes Pod間のトラフィックの制限など、ネットワークセキュリティを強化するプラットフォーム機能をアクティブ化します。強化された別のレジストリを使用して、レジストリのセキュリティを高めて攻撃から保護します。

CI/CDパイプラインの導入の自動化と保護

ビルドサーバー、ワークステーション、コードリポジトリを保護して、攻撃者によるデリバリーパイプラインへの侵入を防ぎます。最小特権のアクセス制御ポリシーを使用し、定期的に監査します。パイプラインの導入を自動化し、脆弱性スキャンを使用してセキュリティ上の問題にフラグを立てます。

堅牢なコンテナバックアップ戦略の採用

コンテナとデータを継続的にバックアップし、ワークロードをリストアする能力を定期的にテストします。真にステートレスなコンテナはほとんどないため、バックアップポリシーにコンテナバックアップとデータベースコンポーネントが含まれていることを確認してください。コンテナバックアップ戦略の責任者を明確にしましょう。

コンテナセキュリティのベストプラクティス

特にクラウドでコンテナの採用が大幅に増加していることは、サイバーセキュリティリスクが大幅に増加していることを意味します。このリスクを最小限に抑えるには、次のようなコンテナセキュリティのベストプラクティスを実装することが不可欠です。

信頼性のあるイメージを使用する。 すべてのイメージをスキャンして脆弱性を確認し、信頼できるソースからのイメージのみを利用して、常にイメージの出所をチェックしましょう。
短期間の薄いコンテナを使用する。 ファイルの数を最小限に抑え、有効期間をできるだけ短く制限し、コンテナを定期的に置き換えることでコンテナのセキュリティを強化します。
セキュアなランタイム環境を構築する。安全なプラットフォームでコンテナを実行し、プラットフォームのセキュリティ機能とプロトコルをアクティブ化し、安全なレジストリを運用することで、安全な環境を維持します。
堅牢なアクセス制御を採用する。 コンピューティングリソースへのコンテナアクセスを必要なものに限定し、ロールベースのユーザーアクセス制御を使用し、管理者のアクセスをインフラストラクチャの作成のみに制限します。
コンテナアプリケーションを混在させない。ミッションクリティカルなアプリケーションをコンテナホストから分離し、機能や目的に応じてコンテナを別々のホストにグループ化することで、セキュリティ侵害が発生した場合の巻き添え被害を最小限に抑えます。
継続的な監視を採用する。ランタイムアプリケーションの自己保護（RASP）制御やコンテナランタイムおよび脆弱性ツールなどの継続的な監視アプリケーションを使用します。

Veeamを今すぐ利用開始する方法

コンテナアプリケーションの急速な成長により、サイバー攻撃を受ける可能性が大幅に高まっています。コンテナはインフラストラクチャの大きな変化です。従来のセキュリティソリューションでは十分な保護を提供できない可能性があることを念頭に置いて、コンテナのセキュリティを強化することを目的としたセキュリティソリューションとベストプラクティスに投資することが重要です。また、コンテナインフラストラクチャ専用のバックアップソフトウェアを常に使用する必要があります。Veeamは、次のような機能を含む、専用の使いやすいデータ管理プラットフォームを複数提供しています。