[SRE NEXT 2023] プラットフォームSREによる脆弱性対策を意識したコンテナビルドフロー構築

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© SQUARE ENIX 自己紹介 ● 2020年1月〜JOIN ● 担当システム ○ グローバルゲームインフラ 2020〜 ○ ソーシャルゲームバックエンドシステム 2021〜 ● クラウドエンジニア Site Reliability Engineering ○ LinkedIn: https://www.linkedin.com/in/sqex-kaz/ ○ GCP, IaC(Terraform, Ansible), セキュリティ, チームビルド/採用 ● 好きなゲーム: ○ FF14/FF11(MMO), FF Tactics, FF16 ← New! ○ AC6, Starﬁeld, Cities: Skylines II …

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

© SQUARE ENIX 今回のお話のシステムについて Cloud Load Balancing Application Servers Kubernetes Cluster GKE Multiple Instances Datastore Servers Virtual Machines Compute Engine Multiple Instances ● フロントエンドのサーバ ○ コンテナ ○ Kubernetes(GKE)にデプロイ ● バックエンドのデータストアサーバ(MySQL, Redis等) ○ VM ○ Ansibleでプロビジョニング/Terraformで起動 RedisはRedis Labs Ltd.の登録商標です KafkaはApache Software Foundationの登録商標です MySQLはOracleおよび/またはその関連会社の登録商標です GCPアイコンは”Google Cloud Oﬃcial Icons and Solution Architectures”から使用

Slide 7

Slide 7 text

© SQUARE ENIX システム・ライフサイクル - ビルドフローはコンテナイメージと VMイメージそれぞれ - ソフトウェアはいくつかの言語と OSパッケージ(deb, rpm etc.) k8s Pods VM Instances Cloud Load Balancing Application Servers Kubernetes Cluster GKE Multiple Instances Datastore Servers Virtual Machines Compute Engine Multiple Instances Custom Image Provisioning Docker Build App Build PackerはHashiCorpの登録商標です GitHub は、GitHub Inc.の商標または登録商標です Ansible®のアイコンはAnsibleコミュニティ(https://www.ansible.com/logos)提供のものを使用 Docker は、米国およびその他の国で登録された Docker, Inc. の登録商標または商標です

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

© SQUARE ENIX 脆弱性検知の大変さ ● 「見つける」までの大変さ ● 「見つけた」あとの大変さスキャン対応集約分析 (トリアージ) 〜見つける見つけた〜 ● スキャンツールの導入・維持 ○ 対応OSパッケージ・言語パッケージ ○ CVEのマッチング ○ ビルドフローへの組み込み ● 集約する仕組み ○ 自前で作ろうとすると結構大変 ● 「見つける」までの大変さ ● 「見つけた」あとの大変さ ● 分析 ○ 沢山でてくる脆弱性に溺れる ● 対応 ○ 適用をし続けていく大変さ

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

© SQUARE ENIX helmでsysdig-agent etc.をinstall agentがdaemon-setとして起動 containerやnodeに対してスキャン Sysdigによる脆弱性検知の仕組み（コンテナ） Kubernetes Cluster Namespace Application Node Namespace Namespace Node Node nodeに対しても検査

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

© SQUARE ENIX スキャン・ポリシー - sysdig-cli-scannerは発見した”脆弱性等”の条件（Policy）によりnon-zero終了する - PolicyはSysdig Cloud側で定義されている - 脆弱性の”あるなし”だけでは判定していない vulns ? non-zero exit Default Rule Bundle ● 脆弱性のSeverityがCritical, High以上 ● 修正版がリリース済かどうか ● Attack VectorがNetworkかどうか上記の組み合わせ＋ αのルール（詳細割愛） ※ 脆弱性検知とは違う観点でroot以外のユーザか？などのポリシーも追加可能

Slide 24

Slide 24 text

Slide 25

Slide 25 text

© SQUARE ENIX ツール / バッチ周辺系トリアージの考え方 - 2つの要素で考える - システム（≒ サーバ）の位置 - 脆弱性の状態位置状態インターネット (外部) バックエンド (DB等) フロント &着信するもの高中〜低 AttackVector etc. Exploit 可能？修正版リリース？ AV: Network の場合は優先可能な場合は優先リリースなければ他の緩和策 CVSS Severity

Slide 26

Slide 26 text

© SQUARE ENIX トリアージの考え方例 ● CVSS: 9.8 ● Severity: Critical ● AttackVedctor: Network ● Server: Front Application ● CVSS: 9.8 ● Severity: Critical ● AttackVedctor: Local ● Server: Backend Batch 完全に正しい対応をすることは難しい全ての脆弱性に対して対応することも難しい

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

© SQUARE ENIX まとめ ● 脆弱性対策の運用は難しい ○ 検知する仕組みを作る大変さ ○ 検知した結果をもとに対応していく大変さ ● ツールの力を使って大変なフローを回すことに力を入れる ○ 運用をはじめることが大事 ○ 複雑な仕組みになるので自作よりも統合的なツールを使うのが現実的 ● 1つの対策で全て完璧にやろうとしない ○ 脆弱性対策は多層防御の一つでしかない ○ 他の対策との合せ技で強固にしていく

Slide 30

Slide 30 text