Share
Embed
30分でわかる「リスクから学ぶKubernetesコンテナセキュリティ」/30min-k8s-container-sec
2025/01/15 インフラエンジニアBooks
30分でわかる「リスクから学ぶKubernetesコンテナセキュリティ」
セッション動画
https://infra-eng-books.connpass.com/event/330704/
https://www.youtube.com/live/KhzPZGIJqao
mochizuki875
January 15, 2025
Transcript
46 slides
-
͡Ό͋Ͳ͏͖߹͏͔ʁ ϓϥΫςΟεΛ׆༻͢Δ ɹ✅Ұఆਫ४ͷηΩϡϦςΟϨϕϧΛ֬อͰ͖Δ ɹ✅٬؍తͳධՁΛಘ͍͢ ɹFH ɹ✔/*4541"QQMJDBUJPO$POUBJOFS4FDVSJUZ(VJEF ɹɹ ✔08"41,VCFSOFUFT4FDVSJUZ$IFBU4IFFU
ɹɹɹɹ✔08"41,VCFSOFUFT5PQ5FO ɹ ɹ✔$*4,VCFSOFUFT#FODINBSLT ɹ ɹ✔,VCFSOFUFT)BSEFOJOH(VJEF -
When I cross this bridge, I either take great care
or look for another bridge, because I know it’s dangerous. This guides me to a safer place. ࢲ͜ͷΓڮΛͱ͖ɺࡉ৺ͷҙΛ͏͔ҧ͏ڮΛ୳͢ɻ ةݥͰ͋Δ͜ͱΛ͍ͬͯΔ͔Βͩɻ͜ͷ͜ͱࢲΛΑΓ҆શͳॴͱಋ͍ͯ͘ΕΔɻ -
ॻ੶հ ίϯςφηΩϡϦςΟΛֶͿͨΊͷೖΓޱΛఏڙ ✅දతͳϦεΫΛ࣮ײ͠ରࡦͷߟ͑ํʢجૅʣΛཧղͰ͖Δ ɹɹ✔ϦεΫΛϕʔεͱͨ͠ষߏʢશέʔεʴЋʣ ɹɹ✔ϦεΫΛ౿·͑ͯରࡦͷجຊݪଇ۩ମతख๏ରࡦΛཧղͰ͖Δ ɹɹ✔ຊ֨తͳରࡦΛߟ͑ͯߦ͘ૅΛங͘͜ͱ͕Ͱ͖Δೖॻ ✅ϋϯζΦϯΛ௨ͯ͡۩ମతʹཧղͰ͖Δ ɹɹ✔खΛಈ͔͠ͳ͕ΒֶΔʢϋϯζΦϯ͘Β͍ʣ ɹɹ✔,VCFSOFUFT͖Ͱ͋Εݱ࣌Ͱͦ͜·ͰηΩϡϦςΟʹڵຯ͕ͳ͍ਓͰָ͠ΊΔ ɹɹ✔۩ମతͳཧղΛಘΔʹखΛಈ͔͢ͷ͕Ұ൪खͬऔΓૣ͍ʢͱࢥ͏ʣ
✅қ͘͠ཧղͰ͖Δ ɹɹ✔ίϯςφ,VCFSOFUFTͷجຊػೳʹ͍ͭͯ಄Ͱղઆ ɹɹ✔,VCFSOFUFTΛܰ͘৮ͬͨ͜ͱͷ͋ΔਓͰ͋ΕཧղͰ͖ΔϨϕϧײͷ༻ޠΛ༻ ɹɹ✔ΠϝʔδΛ࣋ͪ͘͢͢ΔͨΊͷਤΛଟ༻ -
ରಡऀ ✅ίϯςφηΩϡϦςΟʹೖ͍ͨ͠ਓ ɹɹ✔,VCFSOFUFTΛ৮ͬͨ͜ͱ͕͋Γ͜Ε͔ΒηΩϡϦςΟΛߟ͍͑ͨਓ ɹɹ✔ίϯςφ,VCFSOFUFTʹؔ͢ΔཧղΛ͞ΒʹਂΊ͍ͨਓ ✅ίϯςφ։ൃऀ ɹɹ✔ίϯςφΠϝʔδΛϏϧυͯ͠1PEΛσϓϩΠ͢Δਓ ɹ ✅ج൫ཧऀ ͷઢͰ͓͖ͬͯ͘༰ɹɹ ج൫ཧऀ,VCFSOFUFTΫϥελΛఏڙ͢Δཱ
ɹɹ✔ج൫ͷ্ͰͲͷΑ͏ͳϦεΫ͕ى͜ΓಘΔ͔ͱ͍͏؍ ɹɹɹج൫ͱͯ͠ͲͷΑ͏ͳରࡦΛߦ͏͖͔ʁ ɹɹ✔։ൃऀࢧԉͷ؍ ɹɹɹج൫ར༻ऀͰ͋Δίϯςφ։ൃऀʹϨΫνϟʔ -
ྨॻใ ʢҙʣهࡌ͍ͯ͠Δ༰શͯݸਓͷײͰ͢ɻ ✅ҰൠతͳίϯςφηΩϡϦςΟͷߟ͑ํ ɹ ཁૉٕज़ʹ͍ͭͯ෯֓͘೦Λத৺ʹղઆ ✅ίϯςφηΩϡϦςΟͷڭՊॻతͳҹ ✅ίϯςφͷΈΛղઆ্ͨ͠Ͱ ɹ %PDLFSΛϕʔεʹ༷ʑͳϦεΫରࡦΛղઆ ✅ϋϯζΦϯॆ࣮͓ͯ͠Γίϯηϓτతʹ
ɹ ຊॻ੶ʹҰ൪͍ۙҹ ✅%PDLFS,VCFSOFUFTʹؔ͢Δ༷ʑͳରࡦख๏Λ ɹ ৄࡉʹղઆ ✅,VCFSOFUFTશΨΠυͷηΩϡϦςΟ൛తͳҹ -
ʢࢀߟʣϩʔυϚοϓҊ ຊॻΛೖΓޱͱͯ͠ྨॻΛ͓ಡΈ͘͜ͱͰɺΑΓ͘ਂ͍,VCFSOFUFTʹ͓͚Δ ίϯςφηΩϡϦςΟͷݟΛಘΔ͜ͱ͕Ͱ͖·͢ɻ ˞ਤதͷ қΛ͍ࣔͯ͠·͢ɻ ͨͩ͠͠͞ͷײ͡ํֶͼํਓͦΕͧΕͰ͢ɻ ͋͘·ͰݸਓͷҰҙݟͱͯ͠ଊ͍͑ͯͩ͘͞ɻ Kubernetesの入り口 ʢ-PXʣ より詳細な知識
ʢ-PXʙ.JEʣ 大局的・俯瞰的な知識 ʢ.JEʣ 様々な対策の理解 ʢ.JEʙ)JHIʣ コンテナセキュリティの入り口 ʢ-PXʣ -
࣍ ݕূڥͷ४උ ୈ෦ίϯςφηΩϡϦςΟͷಋೖ ɹ$"4&ᶃίϯςφηΩϡϦςΟΛֶͿલʹ ɹ$"4&ᶄίϯςφηΩϡϦςΟͷ֓ཁ ୈ෦ίϯςφΠϝʔδ͕ཁҼͷηΩϡϦςΟϦεΫ ɹ$"4&ίϯςφͷ੬ऑੑΛѱ༻͞Εͯ͠·ͬͨ ɹ$"4&ίϯςφΠϝʔδ͕ྲྀग़ͯ͠͠·ͬͨ ɹ$"4&վ᜵͞ΕͨίϯςφΠϝʔδΛ༻ͯ͠͠·ͬͨ ɹ$"4&ίϯςφΠϝʔδ͔ΒൿີใΛୣऔ͞Εͯ͠·ͬͨ
ୈ෦ίϯςφ͕ཁҼͷηΩϡϦςΟϦεΫ ɹ$"4&ίϯςφ͔ΒίϯςφϗετΛૢ࡞͞Εͯ͠·ͬͨ ɹ$"4&ίϯςφΛվ᜵͞Εͯ͠·ͬͨ ɹ$"4&ίϯςφϗετͷϦιʔεΛաʹ༻͞Εͯ͠·ͬͨ ɹ$"4&1PE͔Β,VCFSOFUFTΫϥελΛෆਖ਼ʹૢ࡞͞Εͯ͠·ͬͨ ɹ$"4&ίϯςφͷൿີใ͕ྲྀग़ͯ͠͠·ͬͨ ɹ$"4&1PEʹରͯ͠ෆਖ਼ͳ௨৴͕ߦΘΕͯ͠·ͬͨ ୈ෦ൃలతͳηΩϡϦςΟରࡦ ɹ"11&/%*9ᶃ,VCFSOFUFTΫϥελʹର͢ΔϙϦγʔ੍ޚ ɹ"11&/%*9ᶄηΩϡϦςΟ͕ڧԽ͞ΕͨίϯςφϥϯλΠϜͷ༻ ɹ"11&/%*9ᶅίϯςφͷৼΔ͍ࢹ -
$"4&ίϯςφ͔ΒίϯςφϗετΛૢ࡞͞Εͯ͠·ͬͨ LVCFDUMFYFDJUTBNQMFXFCCJOCBTI SPPU!TBNQMFXFCOTFOUFSUBCJOCBTI CBTI CBTIIPTUOBNF NJOJLVCF CBTIUPVDIDSFBUFGSPNDPOUBJOFSUYU CBTIMT $)"/(&-0( CJO
CPPU DSFBUFGSPNDPOUBJOFSUYUWFSTJPOKTPO NJOJLVCFTTIONJOJLVCF IPTUOBNF NJOJLVCF MT $)"/(&-0( CJO CPPU DSFBUFGSPNDPOUBJOFSUYUWFSTJPOKTPO ίϯςφ 8FC ίϯςφϗετ NJOJLVCF コンテナホスト(Node)に侵入 適当なファイルを作成 侵入できた✌ コンテナホスト(Node)に接続して確認 ファイルが作成されている -
$"4&ίϯςφ͔ΒίϯςφϗετΛૢ࡞͞Εͯ͠·ͬͨ ࠓճͷέʔεͰ1PEͷσϓϩΠʹ༻͞Ε͍ͯͨϚχϑΣετҎԼͷ௨ΓͰ͢ɻ ͜ͷϚχϑΣετͰίϯςφʹର͢Δͭͷ੬ऑͳઃఆؚ͕·Ε͍ͯ·͢ɻ BQJ7FSTJPOW LJOE1PE NFUBEBUB OBNFTBNQMFXFC MBCFMT BQQTBNQMFXFC TQFD
IPTU1*%USVF DPOUBJOFST OBNFXFC JNBHFVCVOUV DPNNBOE<CJOCBTI D TMFFQJO fi OJUZ> TFDVSJUZ$POUFYU QSJWJMFHFEUSVF TBNQMFXFCZBNM -
$"4&ίϯςφ͔ΒίϯςφϗετΛૢ࡞͞Εͯ͠·ͬͨ ✅ෆཁͳઃఆΛߦΘͳ͍ ɹɹίϯςφͱͯ͠࠷ݶͷִੑΛ֬อ͢Δ ✅ִੑΛߴΊΔઃఆΛߦ͏ ɹɹՃͷઃఆΛߦ͏͜ͱͰִੑΛ͞ΒʹߴΊΔ ɹɹ ྫ͑੬ऑੑʹΑִͬͯੑͷԼ͕ىͬͯ͜ॿ͔ΔՄೳੑ͕͋Δ ✅ϚχϑΣετΛεΩϟϯ͢Δ ɹɹίϯςφʹରִͯ͠ੑͷԼʹܨ͕Δઃఆ͕ߦΘΕ͍ͯͳ͍͔Λݕ
ɹɹFH,VCFSOFUFTͰ͋Ε1PEͷઃఆΛεΩϟϯ 5SJWZ LVCFMJOUFSFUD ✅ͦͷଞͷରࡦ ɹɹϙϦγʔ੍ޚɺηΩϡΞͳίϯςφϥϯλΠϜɺৼΔ͍ࢹ -
·ͱΊʢॻ੶ࣥචΛ௨ͯ͠ͷײʣ ✅ຊΛಡΉ͜ͱίεύ͕ྑ͍ ɹ✔ຊॻͷࣥච࣌ؒͷ͏ͪۙ͑͘Δ͜ͱʹ͔͚ͨ࣌ؒ ɹ✔ੈͷதͷॻ੶ಉ͡Α͏ͳഎܠΛ͍࣋ͬͯΔͣ ɹ✔ಡΉ࣌ؒॻ࣌ؒ͘ ✅ࣗͷॻ͍ͨຊΛಡΜͰΒ͑Δͬͯ͘͢͝خ͍͠ʂ ɹ✔ಡΜͰ͘ΕΔ͚ͩͰຊʹخ͍͠ʢങͬͯ͘ΕͨΒͬͱخ͍͠ʣ ɹ✔ͥͻ9Ͱײڭ͍͑ͯͩ͘͞🙏 ✅օ༷ʹײँ ɹ✔ϨϏϡϫʔɺग़൛ࣾͷํʹͱͯॿ͚ΒΕͨ
ɹ✔ࣥචதʹपғͷํʑ͕͔͚ͯ͘Εͨݴ༿ຊʹࢧ͑ʹͳͬͨ ͔Γқ͘ ਖ਼֬ʹ͑Δ ίϯςϯπΛ࡞Δ 5PUBM)