コンテナ診断 (Docker・Kubernetes)

コンテナ特有のセキュリティリスク

DockerやKubernetes等のコンテナ技術は、アプリケーションを実行する仮想化環境として広く利用されています。

近年、特に生成AI/LLMを活用したアプリケーションの構築では、その自由度の高い行動に対するリソース・権限の制約のためにコンテナ技術(Docker等)を利用したり、管理の簡素化やデプロイメントの最適化などを背景としてマルチエージェント構成のAIをデプロイする際にKubernetesを利用したりすることが、より有力な選択肢となっています。

このような構成のシステムにおいて、もしアプリケーションの脆弱性や、AIエージェントの手足とすべく導入したツールにおいてソフトウェアサプライチェーンなどを起点としてコンテナやその実行環境に侵害された場合、コンテナ環境に潜む脆弱性や設定不備によって更なる深刻な被害が起こりうる可能性があります。

Red Hatが公開する「Kubernetesの導入、セキュリティ、および市場動向に関するレポート2024年」では、回答者の約46%が過去12ヶ月間にKubernetesのコンテナ環境でセキュリティインシデントを経験していました。

参考：https://www.redhat.com/ja/resources/kubernetes-adoption-security-market-trends-overview

実際に、2018年にTeslaのアプリケーションでKubernetesのダッシュボードが認証なしに公開されており、Podを起点として、機密情報を含むAmazon S3バケットの内容やAWSへのアクセス認証情報(IAM)が漏洩していた事例がありました。この事例では、Kubernetesのインスタンス上で仮想通貨マイニングのスクリプトも検出されました。

参考：https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/tesla-and-jenkins-servers-fall-victim-to-cryptominers

コンテナに対する脆弱性診断

コンテナが標準・ベンチマークで定義されているようなセキュリティ要件に準拠しているか、コンテナ環境からの脱獄が可能か、コンテナを実行するプラットフォームの設定不備が無いか、などのセキュリティリスクを洗い出します。

提供をご依頼するデータ

コンテナ診断では、コンテナに関する設定ファイル、Amazon ECSやCloud Run等へのアクセス権限を持つアカウントをご提供いただきます。

特に、Kubernetes環境に対しては、クラスタへの読み取り専用のアクセス権限を持つサービスアカウントや、マニフェストを管理するリポジトリへの招待などの追加のご依頼をさせていただく場合もあります。

専門の診断員がそれらのコンテナ環境全体を精査することで、コンテナ環境に起因する脆弱性や設定不備によるセキュリティリスクが存在しないか判断します。

診断観点

コンテナ診断では、CIS BenchmarkやOWASP Top 10を参考とした、独自の診断観点を活用します(以下一例)。

これらの観点は、攻撃者がアプリケーションからコンテナ環境へと侵害した場合に、どのようなセキュリティリスクが存在するかに重点を置いています。