コンテナセキュリティの勘所

© JTP Co., Ltd. All Rights Reserved.
千⽥泰史
2022/11/30
コンテナセキュリティの勘所
JTP株式会社技官、エバンジェリスト

View Slide

きょうの⽬標
• コンテナとKubernetesとOpenShiftのおさらいをする
• コンテナセキュリティの範囲を知る
• コンテナセキュリティのリスクと脅威を知る
• コンテナセキュリティガイドラインを知る
• コンテナセキュリティの代表的なツールを知る
• コンテナセキュリティについて網羅的に学習する⽅法を知る
2

View Slide

会社概要

View Slide

会社名
本社所在地
設⽴
従業員
事業内容
JTP株式会社
東京都品川区北品川4-7-35 御殿⼭トラストタワー
1987年(昭和62年)10⽉31⽇
435名
海外ＩＴメーカー教育・保守・運⽤等アウトソーシング事業
海外医療機器の法規制対応・販売・保守
⼈⼯知能サービス開発
IBM Silver Business Partner
AWS アドバンスドコンサルティングパートナー
LINE 公式パートナー
SoftBank ONESHIP Partner
認定パートナー
上場市場東証JASDAQスタンダード証券コード2488

View Slide

当社の強み
Cloud by default
Clould-First
Hybrid-Cloud
Cloud-Centric
Multi-Cloud
K8s & OpenShift
仮想化
2015 2018 2021~
2020
AWS祭り
ソリューションアーキテクト
・アソシエイト 100名
・プロフェッショナル 20名
・CKA 100名
コンテナ
ＪＴＰは「テクノロジードリブン」な会社です
マルチクラウド
・クラウド資格 200名
Data Engineering

View Slide

6
6
千⽥泰史ちだやすふみ
JTP株式会社⼈財育成コンサルティング事業部、技官、エバンジェリスト
茅ヶ崎⽣まれ、⼤阪神⼾＋茨城育ち、横浜在住、⼆児の⽗
l 講師⽣活27年 Red Hat、Microsoft、VMwareほか、ベンダー認定講師
インフラ、ネットワーク、仮想システム、コンテナ
l Ansible, K8s, OpenShift, NSX-T, OpenStack, Linux Kernel etc.
l 趣味：キャンプ、読書、ゲーム、ボドゲ、料理、カラオケ、🎺
l 特技：外国語（英仏中露韓）、最近ウクライナ語を始めました
l ⽇課：朝ラン3キロ、懸垂20回、腹筋ローラー50往復、オンライン英会話
About me

View Slide

コンテナセキュリティー
• コンテナライフサイクルの安全性を保全する絶え間ない能動的な営み
• ITインフラ全体のセキュリティ項⽬のなかの部分集合
• 従来型の（コンテナ以前の）セキュリティ対策＋α
• 可視化の難しさ
• 終了したコンテナの事後分析（Post-mortem analysis）の課題
• 狭義ではコンテナ実⾏環境のセキュリティー
• コンテナブレイクアウト
• 広義ではクラウドネイティブセキュリティー
7
今回はコチラ！！

View Slide

脆弱性の例
• CVE-2022-0185
• Kernel 内 Filesystem Context脆弱性・・・バッファオーバーフローからの⾮特権ユーザーの権限昇格
• CVE-2022-0492
• cgroupsの脆弱性・・・特権への昇格、コンテナブレイクアウト
• CVE-2022-23648
• containerdの脆弱性・・・イメージ設定次第でコンテナホストの読み取り専⽤ファイルに書き込みアクセス
8

View Slide

コンテナ技術のおさらい
• OSやインフラ環境にかかわらずアプリケーションを⼀貫して確実に実⾏することを可能にする
• コード、ランタイム、ライブラリ、設定など、サービスの実⾏に必要なすべてのものをバンドルした、
ポータブルかつスタンドアロンな実⾏可能パッケージを作成し、共有、実⾏する
• 環境を「汚さずに」ソフトウェアを利⽤することができる
• カーネルに「コンテナ機能」と呼べるような単⼀の機能が実装されて実現しているわけではない
• コンテナOSのカーネルを共有し、そのカーネルの機能によって隔離されて実⾏されるプロセスである
• 隔離の⽅式はランタイムによって異なる
アプリケーションが依存しているライブラリがあるが、
コンテナは依存関係のあるものをカプセル化して実⾏
ࢿྉ

View Slide

Kubernetes のおさらい
• Kubernetes = コンテナにとっての「OS」
• コンテナオーケストレーション基板のデファクトスタンダード
• オンプレミス、パブリッククラウド、マルチクラウド対応に対応した、クラウドネイティブアプリケーションの実⾏
基盤
10
ࢿྉ

View Slide

OpenShiftのおさらい
• Kubernetesを内包するPaaS基板
• Kubernetesの⼀（いち）ディストリビューション（Red Hat製）
• エンタープライズに最適化されたKubernetesベースのコンテナプラットフォーム
• ただでさえ便利な Kubernetes上に、Red Hat社が便利な機能を追加してくれていて、そのうえサポートまでしてく
れる！
11
ࢿྉ

View Slide

⽤語の確認
• 以下のセキュリティ3要素を維持することが⽬標
• 機密性（Confidentiality）
• 完全性（Integrity）
• 可⽤性（Availability）
• セキュリティリスク
• 脅威（Threat）
• 漏洩、改竄、破壊などの攻撃、マルウェア、エクスプロイトなど
• 脆弱性（Vulnerability）
• 脅威を誘引する⽋陥
• 不具合、設計ミス、実装ミス、バグ、設定ミス、弱点など
12

View Slide

情報セキュリティの基本戦略
• 多層防御：Defense in Depth
• 何層にもわたってセキュリティ対策を施すこと
• 「セキュリティは破られる」という前提で、複数の⼿法を組み合わせてる
• 最⼩特権の原則：Principle of Least Privilege
• アクセス元のユーザーやプロセスに必要最低限の権限を付与し、余分な権限を与えないこと
• 攻撃対象領域の削減：Attack Surface Reduction
• 攻撃対象領域は、攻撃者によって侵害される可能性のある全てのデジタル資産を含む
• 攻撃対象領域は、攻撃者が侵⼊する起点のみならず、侵⼊後に踏み台となる機器や、重要なデータの保存場所も含む
• 攻撃者が攻撃できる余地、好きをできる限り少なくすること
13

View Slide

クラウドネイティブセキュリティの “4c”モデル
14
Cloud
Cluster
Container
Code
https://kubernetes.io/ja/docs/concepts/security/overview/
Clusterをデプロイするインフラ
Containerを動作させる基盤、オーケストレーター
Codeを実⾏するコンテナおよびその実⾏環境
コンテナに含まれるアプリケーション
コンテナ環境におけるセキュリティモデルの1つ
セキュアコーディング、アプリケーションセキュリティ
カーネル資源の分離、制限
クラスタレベルのリソース設定、制限
Namespace/Node/Pod/Volumeの分離、制限
APIサーバー、etcd等の制御プレーンの分離、暗号化
インフラセキュリティ、ネットワークセキュリティ
クラウドごとのセキュリティ設定

View Slide

15
Cloud
Cluster
Container
Code
https://kubernetes.io/ja/docs/concepts/security/overview/
Clusterをデプロイするインフラ
Containerを動作させる基盤、オーケストレーター
Codeを実⾏するコンテナおよびその実⾏環境
コンテナに含まれるアプリケーション
コンテナ環境におけるセキュリティモデルの1つ
セキュアコーディング、アプリケーションセキュリティ
カーネル資源の分離、制限
クラスタレベルのリソース設定、制限
Namespace/Node/Pod/Volumeの分離、制限
APIサーバー、etcd等の制御プレーンの分離、暗号化
インフラセキュリティ、ネットワークセキュリティ
クラウドごとのセキュリティ設定
• Cloud
• クラウドプロバイダー各社のセキュリティベストプラクティス
• 物理セキュリティ
• ネットワーク、物理サーバー
• Cluster
• Kubernetesセキュリティベストプラクティス
• Namespace / Node / Pod セキュリティ、分離、アクセス制限
• APIサーバー、etcd等コントロールプレーンセキュリティ設定
• Container
• コンテナイメージ署名
• コンテナ脆弱性スキャン
• コンテナランタイム制御
• Code
• コード解析
• ライブラリーの脆弱性チェック
• 通信ポートの公開制限、TLS

View Slide

• Cloud
• クラウドプロバイダー各社のセキュリティベストプラクティス
• 物理セキュリティ
• ネットワーク、物理サーバー
• Cluster
• Kubernetesセキュリティベストプラクティス
• Namespace / Node / Pod セキュリティ、分離、アクセス制限
• APIサーバー、etcd等コントロールプレーンセキュリティ設定
• Container
• コンテナイメージ署名
• コンテナ脆弱性スキャン
• コンテナランタイム制御
• Code
• コード解析
• ライブラリーの脆弱性チェック
• 通信ポートの公開制限、TLS
Cloud
Cluster
特に注⽬する部分

View Slide

コンテナセキュリティのガイドライン NIST 800-SP190
• National Institute of Standards and Technology（⽶国⽴標準技術研究所）発⾏
• NIST 800-SP190は「Application Container Security Guide」
• 原⽂ https://csrc.nist.gov/publications/detail/sp/800-190/final
• IPAによる和訳 https://www.ipa.go.jp/security/publications/nist/
• コンテナ環境に特有のリスクとその対策について記述
17
開発・テスト環境プロダクション環境
コンテナレジストリー
開発者
管理者
オーケストレーター
コンテナ
Build
Push
Run
Pull
インフラインフラ
ホストOS ホストOS
イメージ
イメージ
コンテナ
イメージ
コンテナ
イメージ
コンテナ
イメージ
イメージイメージイメージ

View Slide

NIST 800-SP190 に⽰されている潜在的リスク
18
開発者
管理者
コンテナ
Build
Push
Run
Pull
イメージ
イメージ
コンテナ
イメージ
コンテナ
イメージ
コンテナ
イメージ
・3.1節：イメージリスク
・3.2節：レジストリリスク
・3.3節：オーケストレーターリスク
・3.4節：コンテナリスク
・3.5節：ホストOSリスク
ίϯςφ؀ڥͷ͋ΒΏΔͱ͜ΖʹϦεΫ͕͋Δʂ

View Slide

NIST 800-SP190 に⽰されている潜在的リスク
19
開発者
管理者
コンテナ
Build
Push
Run
Pull
イメージ
イメージ
コンテナ
イメージ
コンテナ
イメージ
コンテナ
イメージ
・3.1節：イメージリスク
・3.2節：レジストリリスク
・3.3節：オーケストレーターリスク
・3.4節：コンテナリスク
・3.5節：ホストOSリスク
ίϯςφ؀ڥͷ͋ΒΏΔͱ͜ΖʹϦεΫ͕͋Δʂ
サプライチェーン攻撃への対策
前提は「信頼できるコンテナイメージ」
そのための考え⽅：
Secure By Design
DevSecOps
シフトレフト（Shift-Left）
https://www.ipa.go.jp/icscoe/program/core_human_resource/final_project/security-by-design.html
https://www.sqat.jp/tamatebako/7205/

View Slide

リスクへの対策
項⽬リスクの例対策
イメージ脆弱性を含むイメージ
悪意のあるイメージ
信頼できないイメージ
イメージ内の機密情報
悪⽤されやすいソフトウェア（開発ツール等）
不正な（指定外の）イメージ
脆弱性スキャン
機密データの分離
署名付きイメージ
パブリックレジストリ禁⽌
不要なパッケージの除去/加算アプローチの採⽤
開発プロセスへのセキュリティ組み込み
ベースイメージ、パッケージの継続的な更新
SBoMの利⽤
レジストリ通信傍受
脆弱性を含むイメージ
不適切なアクセス権
TLS暗号化
脆弱性スキャン機能のあるレジストリの利⽤
アカウント管理の徹底
コンテナ特権コンテナの利⽤
マルウェアの組み込み、実⾏
ランタイム脆弱性によるコンテナブレイクアウト
特権コンテナの実⾏禁⽌(seccomp / Capabilities / LSM )
rootfsファイルシステムの保護
隔離レベルの異なる適切なコンテナランタイムの選択
(runC, kata containers, gVisor, etc.)
オーケストレーターデフォルト設定のまま本番環境を運⽤
設定ミス
機密情報のトラフィック
適切な設定
適切な運⽤・管理
監視
APIアクセス、アカウント、権限の制限
通信の制限、フィルタリング(netpol / FW / TLS )
ホストOS OSの脆弱性
OSのバグ
リソース不⾜
コンテナ⽤OSを利⽤（汎⽤ではなく）
Closedなネットワークへの配置
マネージドサービスの利⽤
CIS benchmarkなどの適⽤
20
SBoM (Software Bill of Materials): ソフトウェアの「部品表」

View Slide

攻撃⼿法を知る・・・MITRE ATT&CK
• MITRE （マイター）は、情報セキュリティ研究の⾮営利団体
https://attack.mitre.org/
• 情報セキュリティの脅威となる攻撃の⼿⼝（Techniques）を観察、収集し、集計し、ナレッジベース化
• ATT&CK ＝ Adversarial Tactics, Techniques, and Common Knowledge
参考：ڞ௨੬ऑੑࣝผࢠʢCVE: Common Vulnerabilities and ExposuresʣID Λ࠾൪͍ͯ͠Δͷ΋͜ͷ MITREͰ͋Δ
https://cve.mitre.org/
• コンテナセキュリティを対象として、⽶国Microsoft社が纏め直したものが ”for K8s” → 次⾴
https://www.microsoft.com/en-us/security/blog/2020/04/02/attack-matrix-kubernetes/ （初版）
https://www.microsoft.com/en-us/security/blog/2021/03/23/secure-containerized-environments-with-updated-threat-
matrix-for-kubernetes/ （改訂版）
• 攻撃者が取る⾏動に着⽬し、⼿⼝を分類したもの
• 昨今、どのような攻撃が来ているのかが分かる
参考：同様のものとして、Cyber Kill Chainがある
https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html
21

View Slide

攻撃⼿法を知る・・・MITRE ATT&CK for K8s
• MITRE （マイター）は、情報セキュリティ研究の⾮営利団体
• 情報セキュリティの脅威となる攻撃の⼿⼝（Techniques）を観察、収集し、集計し、ナレッジベース化している
• ATT&CK ＝ Adversarial Tactics, Techniques, and Common Knowledge
• これを元に、⽶国Microsoft社は、コンテナセキュリティを主眼として纏め直したものが上記のもの
• https://www.microsoft.com/en-us/security/blog/2020/04/02/attack-matrix-kubernetes/ （初版）
• https://www.microsoft.com/en-us/security/blog/2021/03/23/secure-containerized-environments-with-updated-threat-
matrix-for-kubernetes/ （改訂版）
22
https://www.microsoft.com/en-us/security/blog/2021/03/23/secure-containerized-environments-with-updated-threat-matrix-for-kubernetes/

View Slide

ガイドラインあれこれ
先に紹介した NIST 800-SP190 / MITRE ATT&CK に加えて、以下のものも読んでみましょう
23
• CIS Benchmarks https://www.cisecurity.org/benchmark
• ⽶国Center for Internet Securityが作成し、公開しているセキュリティベストプラクティス集
• さまざまプラットフォーム、OSのためのバージョンがあり、K8s版を CIS Kubernetes Benchmarkという
https://www.cisecurity.org/benchmark/kubernetes
• OSSのみならず、クラウド各社マネージドサービス向けのベンチマークもある
• OWASP cheat sheets https://cheatsheetseries.owasp.org/
• ⽶国Open Web Application Security Projectが作成し、公開しているセキュリティベストプラクティス集
• OWASP Top 10 https://owasp.org/Top10/ja/
• 同団体が発⾏している、Webアプリケーションセキュリティについてのリスク集
• OWASP K8s Top 10 https://owasp.org/www-project-kubernetes-top-ten/
• NSA CISA Kubernetes Hardening Guide
• https://media.defense.gov/2022/Aug/29/2003066362/-1/-1/0/CTR_KUBERNETES_HARDENING_GUIDANCE_1.2_20220829.PDF
• ⽶国National Security AgencyおよびCybersecurity and Infrastructure Security Agencyが発⾏するガイダンス
• 主に、国家安全保障システムに携わるシステム管理者や開発者が対象
• Kubernetes本家
• https://kubernetes.io/ja/docs/concepts/security/overview/
• https://kubernetes.io/ja/docs/concepts/security/pod-security-standards/
• https://kubernetes.io/blog/2021/10/05/nsa-cisa-kubernetes-hardening-guidance/

View Slide

代表的なツール
24
まだまだあります。知りたいときは・・・→（次⾴）

View Slide

CNCF Landscape
25
https://l.cncf.io
Security & compliance は
このへんにあります

View Slide

コンテナセキュリティの認定資格
• Linux Foundation 主催の認定資格
• CKA: Certified Kubernetes Administrator
• CKAD: Certified Kubernetes Application Developer
• CKS: Certified Kubernetes Security Specialist
26
https://training.linuxfoundation.org/ja/certification/certified-kubernetes-security-specialist/

View Slide

CKS試験の概要
項⽬内容
試験時間 120分間
問題数 20問程度
合格ライン 67%
受験の条件有効期間内のCKA認定
形式パフォーマンスベース（監視下でのオンライン、ハンズオン）
有効期間 2年間
受験料 $395 （たまにセールあり）
27

View Slide

CKS試験の出題範囲と出題割合
• クラスター設定（10%）
• ネットワークセキュリティポリシーを使⽤してクラスタレベルのアクセスを制限する
• CISベンチマークを使⽤して、Kubernetesコンポーネントのセキュリティ構成を確認する（etcd、kubelet、kubedns、kubeapi)
• セキュリティ制御によりIngressオブジェクトを適切に設定する
• ノードのメタデータとエンドポイントを保護する
• GUI要素の使⽤とアクセスを最⼩化する
• デプロイ前にプラットフォームバイナリを確認する
• クラスター強化（15%）
• Kubernetes APIへのアクセスを制限する
• ロールベースアクセスコントロールを使⽤して、露出を最⼩限に抑える
• サービスアカウントを使⽤する際の注意事項を実践する（新しく作成したサービスアカウントについてのデフォルト禁⽌や権限の
最⼩化など）
• Kubernetesを頻繁に更新する
• システムの強化（15%）
• ホストOSのフットプリントを最⼩化する（攻撃対象を減らす）IAMロールを最⼩限に抑える
ネットワークへの外部アクセスを最⼩限に抑える AppArmor、seccompなどのカーネル強化ツールを適切に使⽤する
28
詳細：https://github.com/cncf/curriculum

View Slide

CKS試験の出題範囲と出題割合
• マイクロサービスの脆弱性を最⼩限に抑える（20%）
• 適切な OS レベルのセキュリティドメインをセットアップする
• Kubernetesシークレットを管理する
• マルチテナント環境（gvisor、kataコンテナなど）でコンテナランタイムサンドボックスを使⽤する
• mTLSを使⽤してPod間の暗号化を⾏う
• サプライチェーンのセキュリティ（20%）
• 基本画像のフットプリントを最⼩化する
• サプライチェーンを保護する：許可されたレジストリをホワイトリストに登録し、画像に署名して検証する
• ユーザーワークロード（Kubernetesリソース、Dockerファイルなど）の静的分析を使⽤する
• 既知の脆弱性に関する画像をスキャンする
• モニタリング、ロギング、ランタイムセキュリティ（20%）
• ホストおよびコンテナレベルでsyscallプロセスやファイルのアクティビティについて⾏動分析し、悪意のあるアクティビティを
検出する
• 物理インフラ、アプリ、ネットワーク、データ、ユーザー、およびワークロード内の脅威を検出する
• 発⽣場所や発⽣⽅法を問わず、あらゆるフェーズの攻撃を検出する
• 詳細な分析調査を⾏い、環境内に存在する悪役を特定する
• 実⾏時のコンテナの不変性を確保する
• 監査ログを使⽤してアクセスを監視する
29
詳細：https://github.com/cncf/curriculum

View Slide

きょうのまとめ
• コンテナとKubernetesとOpenShiftのおさらいをする
• コンテナセキュリティの範囲を知る
• コンテナセキュリティのリスクと脅威を知る
• コンテナセキュリティガイドラインを知る
• コンテナセキュリティの代表的なツールを知る
• コンテナセキュリティについて網羅的に学習する⽅法を知る
30

View Slide

Thank you.
またお⽬にかかりましょう
2019.5 早朝静岡県ふもとっぱらキャンプ場から望む富⼠⼭

View Slide

コンテナセキュリティの勘所

コンテナセキュリティの勘所

yasufumic

Other Decks in Technology

Featured

Transcript