サーバーのセキュリティ対策とコンテナのセキュリティ対策の違い/hibiyatech_differences-between-server-security-and-container-security

by emi

Slide 1

Slide 1 text

サーバーのセキュリティ対策とコンテナのセキュリティ対策の違い 2/16(金) Hibiya.Tech #3 「どうする？コンテナセキュリティ」

Slide 2

Slide 2 text

2 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 3

Slide 3 text

3 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 4

Slide 4 text

はじめに

Slide 5

Slide 5 text

5 はじめに • 私はコンテナ初心者です。経験値が低いです。 • 間違っている箇所や「それはどうかな」と思うところがあれば、マサカリ具体的に優しく教えてください。強い人わたしどうやってコンテナ作るの？ docker run コンテナ名！

Slide 6

Slide 6 text

6 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 7

Slide 7 text

仮想サーバーとコンテナの違い

Slide 8

Slide 8 text

8 仮想サーバーとコンテナの違いハードウェアホスト OS コンテナ管理ソフトウェア（Docker など）ミドルウェア/ライブラリアプリケーションミドルウェア/ライブラリアプリケーションコンテナハードウェアホスト OS ハイパーバイザーゲスト OS ミドルウェア/ライブラリアプリケーションゲスト OS ミドルウェア/ライブラリアプリケーション仮想サーバー仮想サーバー仮想サーバーコンテナコンテナ

Slide 9

Slide 9 text

9 仮想サーバーとコンテナの違い namespace 特定のプロセスを分離 cgroup CPU、メモリなど物理的リソースの制限・割り当て Linux コンテナは、Linux カーネルの機能を利用してプロセスの実行空間を分離したものハードウェアホスト OS コンテナ管理ソフトウェア（Docker など）ミドルウェア/ライブラリアプリケーションミドルウェア/ライブラリアプリケーションコンテナコンテナ

Slide 10

Slide 10 text

10 仮想サーバーとコンテナの違い Linux OS namespace 特定のプロセスを分離 cgroup CPU、メモリなど物理的リソースの制限・割り当て Linux コンテナは、Linux カーネルの機能を利用してプロセスの実行空間を分離したもの CPU メモリディスクI/O プロセス1 プロセス2 : プロセス1 プロセス2 : cgroup リソースを分離 namespace プロセスを分離コンテナ（実態はプロセス）

Slide 11

Slide 11 text

11 仮想サーバーとコンテナの違いコンテナの一番の特徴 ↓ カーネルを共有している

Slide 12

Slide 12 text

12 仮想サーバーとコンテナの違い • Ubuntu ベースのコンテナでシェルを起動 • 1000 秒 sleep • Ctr + Z でプロセスを一時停止 • bg %1 でバックグラウンド処理にする • プロセスの表示 ※この sleep プロセスはコンテナ内のプロセス

Slide 13

Slide 13 text

13 仮想サーバーとコンテナの違いコンテナ内のプロセス別のセッションでホスト OS のプロセスを表示 • プロセス ID はコンテナ内とホスト OS で異なっているが、どちらも同じプロセスを表す • コンテナ内のプロセスがホスト OS から見える

Slide 14

Slide 14 text

14 仮想サーバーとコンテナの違いホスト OS にアクセスした攻撃者はそのホスト OS で実行されているすべてのコンテナを参照できる

Slide 15

Slide 15 text

15 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 16

Slide 16 text

仮想サーバーの分離とコンテナの分離

Slide 17

Slide 17 text

17 仮想サーバーの分離とコンテナの分離 • セキュリティ境界≒分離 • セキュリティ境界 • システム間、リソース間を移動するのに異なるパーミッションが必要になる • 攻撃者とターゲットの間にセキュリティ境界があればあるほど侵入が難しくなる

Slide 18

Slide 18 text

18 仮想サーバーの分離とコンテナの分離ハードウェアホスト OS コンテナ管理ソフトウェア（Docker など）ミドルウェア/ライブラリアプリケーションミドルウェア/ライブラリアプリケーションハードウェアホスト OS ハイパーバイザーゲスト OS ミドルウェア/ライブラリアプリケーションゲスト OS ミドルウェア/ライブラリアプリケーション仮想サーバー仮想サーバーコンテナコンテナ Docker は内部的にカーネルの機能である namespace や cgroup を活用してコンテナ化されたアプリケーションのプロセスの実行空間を隔離しているコンテナ仮想サーバー

Slide 19

Slide 19 text

19 仮想サーバーの分離とコンテナの分離仮想サーバー仮想サーバーコンテナコンテナコンテナ仮想サーバーカーネルハイパーバイザーミドルウェア/ライブラリアプリケーションミドルウェア/ライブラリアプリケーションゲスト OS ミドルウェア/ライブラリアプリケーションゲスト OS ミドルウェア/ライブラリアプリケーションが環境を分離が環境を分離

Slide 20

Slide 20 text

20 仮想サーバーの分離とコンテナの分離ハイパーバイザーはカーネルより大きな分離性？

Slide 21

Slide 21 text

21 仮想サーバーの分離とコンテナの分離カーネルについて • プロセスを分離するのはカーネルの役割 • カーネルにバグがあるとそこから攻撃される恐れ • カーネルは長い期間修正され続け、極めて大規模かつ複雑 • Linux カーネルのコード数は 2,000万行以上 • カーネルではユーザー空間のプロセスはある程度お互いに見える • IPC（Inter Process Communication、プロセス間通信）などで異なるプロセス間でメモリ共有もできる • 予期しない・意図しない状況でアクセスを許す欠陥の可能性があるため、分離が弱い

Slide 22

Slide 22 text

22 仮想サーバーの分離とコンテナの分離 Linux カーネルのコード数 https://www.reddit.com/r/linux/comments/9uxwli/lines_of_code_in_the_linux_kernel/

Slide 23

Slide 23 text

23 仮想サーバーの分離とコンテナの分離ハイパーバイザーについて • ある仮想サーバーのプロセスは他の仮想サーバーから見ることはできない • 仮想サーバー同士でメモリを共有するような仕組みはない • ハイパーバイザーの仕事はカーネルと比較し単純 • Xen ハイパーバイザーのコードは 5万行程度

Slide 24

Slide 24 text

24 仮想サーバーの分離とコンテナの分離 Xen 4.12 shrinks code, beefs up security, rethinks x86 support https://www.theregister.com/2019/04/04/xen_412_release/ ：：：：

Slide 25

Slide 25 text

25 仮想サーバーの分離とコンテナの分離 • コードが複雑 • バグの検出が難しい • 理解の難易度が高い • 保守の困難さ • 隠れた依存関係が悪用される • etc… • コードが単純 • バグの特定が容易 • 理解しやすい • 保守が簡単 • 攻撃対象が小さくなる • etc…

Slide 26

Slide 26 text

26 仮想サーバーの分離とコンテナの分離 • コードが複雑 • バグの検出が難しい • 理解の難易度が高い • 保守の困難さ • 隠れた依存関係が悪用される • etc… • コードが単純 • バグの特定が容易 • 理解しやすい • 保守が簡単 • 攻撃対象が小さくなる • etc… カーネルハイパーバイザー

Slide 27

Slide 27 text

27 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 28

Slide 28 text

コンテナの分離の強化

Slide 29

Slide 29 text

29 コンテナの分離の強化コンテナワークロード 1 コンテナワークロード 2 互いに干渉しあわないようにするには？

Slide 30

Slide 30 text

30 仮想サーバーの分離とコンテナの分離コンテナのパーミッションを制限する機能 • seccomp（Secure Computing Mode） • システムコールを制限することでセキュリテイ強化 • AppArmor（Application Armor） • ファイルへのアクセス許可を制限することでセキュリティ強化 • プログラムごとにセキュリティプロファイルを作成する

Slide 31

Slide 31 text

31 仮想サーバーの分離とコンテナの分離コンテナの Sandbox 化機能 • gVisor • Googleが開発 • 独自の「ゲストカーネル」を使用してコンテナをサンドボックス化する • Sentry という独自コンポーネントでシステムコールを受け取る • ファイルアクセスに関するシステムコールをおこなう場合は Goferというコンポーネントが仲介する Linux OS ホストカーネルアプリケーション Sentry Gofer システムコールあたかもカーネルのようコンテナ

Slide 32

Slide 32 text

32 仮想サーバーの分離とコンテナの分離コンテナの Sandbox 化機能 • Kata container • コンテナを別の仮想サーバーで起動する • アプリケーションコードが実行される別のターゲットホストとの間にプロキシを作成 • 仮想サーバーが起動するまで時間がかかるハイパーバイザー仮想サーバーカーネルエージェントコンテナ Proxy

Slide 33

Slide 33 text

33 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 34

Slide 34 text

「イメージスキャンが大事」とは

Slide 35

Slide 35 text

35 「イメージスキャンが大事」とはコンテナのセキュリティと言えばイメージスキャン！

Slide 36

Slide 36 text

36 「イメージスキャンが大事」とは Dockerfile Docker Image アプリの設定とか書く build このイメージをもとにコンテナができる

Slide 37

Slide 37 text

37 「イメージスキャンが大事」とは Docker Image アプリケーションを動かすために複数のパッケージを梱包しているベースイメージランタイム環境依存ライブラリ設定ファイル

Slide 38

Slide 38 text

38 「イメージスキャンが大事」とは • コンテナは • 軽量で • いつでも • どこでも • 素早く • 同じものが作れる Docker Image コンテナコンテナコンテナコンテナコンテナ

Slide 39

Slide 39 text

39 「イメージスキャンが大事」とは • コンテナを起動してから追加でパッケージをインストールしたりコンテナごとにアップデートすると… コンテナコンテナコンテナコンテナコンテナパッケージ追加しようこれ何で入ってるんだっけ削除しちゃえ設定ファイル変えちゃおうずっとアップデートしないで使い続ける設定ファイル変えちゃおう

Slide 40

Slide 40 text

40 「イメージスキャンが大事」とは • コンテナを起動してから追加でパッケージをインストールしたりコンテナごとにアップデートすると… コンテナコンテナコンテナコンテナコンテナパッケージ追加しようこれ何で入ってるんだっけ削除しちゃえ設定ファイル変えちゃおうずっとアップデートしないで使い続ける設定ファイル変えちゃおう全部のコンテナがちゃんとアップデートされているかウイルスなどに感染していないか脆弱性が放置されていないか調べるのが大変！！

Slide 41

Slide 41 text

41 「イメージスキャンが大事」とは • コンテナはイミュータブル（不変）である状態が推奨 • 追加やアップデートが必要な場合はビルドし直すコンテナコンテナコンテナコンテナコンテナパッケージ追加しようこれ何で入ってるんだっけ削除しちゃえ設定ファイル変えちゃおうずっとアップデートしないで使い続ける設定ファイル変えちゃおう

Slide 42

Slide 42 text

42 「イメージスキャンが大事」とは Docker Image コンテナコンテナコンテナコンテナコンテナもとになるイメージをスキャンして安全な状態に保っておけば全部調査しなくてもセキュアな状態を担保できる！（バージョンも統一できる）

Slide 43

Slide 43 text

43 「イメージスキャンが大事」とは • コンテナイメージのスキャンツールは OSS から商用製品まで様々 • Trivy • Clair • Anchore • JFrog • Palo Alto • etc… Docker Image

Slide 44

Slide 44 text

44 「イメージスキャンが大事」とは仮想サーバーの場合も？

Slide 45

Slide 45 text

45 「イメージスキャンが大事」とは • 例えば EC2 だと、EC2 Image Builder でゴールデンイメージを管理することがある • 同じ考え方でイメージスキャン可能 • スキャンのためのツールもいくつか存在 • [アップデート] EC2 Image builderにてイメージパイプライン実行時に脆弱性スキャンが可能になりました。 | DevelopersIO • https://dev.classmethod.jp/articles/update-ec2-image-builder-inspector/ • TrivyでAMIやEBSスナップショットをセキュリティスキャンできるようになりました #reinvent | DevelopersIO • https://dev.classmethod.jp/articles/trivy-now-scans-amazon-machine-images-amis/ AMI

Slide 46

Slide 46 text

46 目次 • はじめに • 仮想サーバーとコンテナの違い • 仮想サーバーの分離とコンテナの分離 • コンテナの分離の強化 • 「イメージスキャンが大事」とは • 振り返り

Slide 47

Slide 47 text

振り返り

Slide 48

Slide 48 text

48 振り返り • 仮想サーバーと比較したコンテナの一番の特徴は「カーネルを共有している」ということ • ホスト OS からすべてのコンテナのプロセスを参照できる • カーネルにバグがあるとそこから攻撃される恐れ • 予期しない・意図しない状況でアクセスを許す欠陥の可能性がある • コンテナの分離を強化するための機能や技術がある • コンテナはイミュータブル、かつイメージスキャンを定期的に行うことで効率的にセキュリティを担保できる • 仮想サーバーもイメージスキャンできる

Slide 49

Slide 49 text

49 参考 • ランタイムセキュリティ - Amazon Elastic Container Service • https://docs.aws.amazon.com/ja_jp/AmazonECS/latest/bestpracticesguide/security-runtime.html • AWS Black Belt Online Seminar • コンテナセキュリティ入⾨ Part 1 • https://pages.awscloud.com/rs/112-TZM-766/images/202110_AWS_Black_Belt_AWS_CON231_intro_container_security_part1.pdf • コンテナセキュリティ入⾨ Part 2 • https://pages.awscloud.com/rs/112-TZM-766/images/202110_AWS_Black_Belt_AWS_CON232_intro_container_security_part2.pdf • コンテナセキュリティ入⾨ Part 3 • https://pages.awscloud.com/rs/112-TZM-766/images/202110_AWS_Black_Belt_AWS_CON233_intro_container_security_part3.pdf • Docker一強の終焉にあたり、押さえるべきContainer事情 • https://zenn.dev/ttnt_1013/articles/f36e251a0cd24e • What is gVisor? - gVisor • https://gvisor.dev/docs/ • Kata Containers - Open Source Container Runtime Software | Kata Containers • https://katacontainers.io/ • コンテナセキュリティコンテナ化されたアプリケーションを保護する要素技術 • https://amzn.asia/d/aL0lGIN