進化を遂げるコンテナのセキュリティ技術
「Dockerを使わない理由」はもうない？ コンテナのセキュリティ技術が充実へ
ハイパーバイザーと比べて利点が多いコンテナだが、セキュリティについて不安の声があることも事実だ。昨今、その課題解消に向けた動きが活発化し始めた。
昨今の“コンテナブーム”の火付け役であるDocker（画面はDocker公式サイト）《クリックで拡大》
サーバ仮想化を実現する標準的な手段であるハイパーバイザー。そのアーキテクチャには基本的な欠点があることは、何年も前からよく知られている事実だ。
ハイパーバイザーによるサーバ仮想化では、各仮想マシン（VM）で任意のゲストOSを実行できる。これは同一の物理サーバ内に「Windows」を稼働するVMと「Linux」を稼働するVMが共存できることを意味する。
ただし、クラウドサービス事業者レベルのインフラ規模では、特定の物理サーバで複数のゲストOSを稼働する必要性はそれほどない。VMの数がそこまで多くなると、ゲストOSの種類が多くても柔軟性が向上するわけではないからだ。またハイパーバイザーによる仮想環境では、特定の物理サーバに何百ものゲストOSのコピーが存在し、大量のメモリが消費されてしまう可能性がある。
併せて読みたいお勧め記事
コンテナ復権の立役者「Docker」とは何か
- 1回で分かる：仮想化とは違うコンテナ技術「Docker」って何？
- 進撃の「Docker」はPaaSプロバイダーをなぎ倒すのか
- 「Docker」中心に意地の張り合い、AWSとGoogleの“負けられない戦い”
Dockerのセキュリティ対策
「コンテナ」への期待と不安
「1つのOSを共有する」という考え方が市場に浸透するまで、しばらく時間がかかった。この手段が「コンテナ」だ。コンテナは、ホストとなる物理サーバとOSのカーネルを共有する。その結果として物理サーバのDRAM使用量を節約でき、1台の物理サーバで多くのコンテナを稼働できるようになる。多くの場合、その数はハイパーバイザーのVM数の3～5倍に達する。
ただしコンテナでは、Intelがハイパーバイザー用にハードウェアに組み込んでいる保護機能を使用することができない。
マルチテナントでは、インスタンスが他のインスタンスのメモリ領域を侵害しないようにするための障壁が必要だ。具体的には各VMが利用するメモリ領域を論理的に分割し、1台のVMがセキュリティ侵害の被害にあった場合に、同じ物理サーバで稼働する他のVMに危険が及ばないようにする。この機能がハイパーバイザーベースのシステムで利用できなかったら、クラウドが現在の規模にまで成長することはなかっただろう。
Intelはハードウェアによる支援機能を提供することで、同社のプロセッサにおけるマルチテナントを強固なものにしている。残念ながらコンテナへ移行すると、これらの機能は使用できなくなる。つまりコンテナはゲートウェイセキュリティ対策を越えてくる攻撃に対して無防備な状態になるというわけだ。
コンテナとハイパーバイザーの併用
オープンソースのクライアント／サーバ型コンテナ管理ソフトウェア「Docker」では、Dockerサーバ（デーモン）をシステム管理者権限であるrootとして実行する必要がある。その設定を変更するには、Dockerに大幅な修正を加えなければならない。例えば信頼するユーザーだけにデーモンの制御を可能にする、VM内でコンテナを実行する、などだ。
具体的な手段も登場し始めている。Dockerに最近追加されたユーザー名前空間の機能を使用すると、IT担当者はコンテナのアクセス権とデーモンのアクセス権を分離できるようになる。コンテナから物理サーバのroot権限を取得されてしまうのを防ぐことができる。またIntelが2015年5月に投入した「Clear Containers」は、コンテナの稼働を目的としたハイパーバイザーだ。1コンテナ当たりのオーバーヘッドメモリ（稼働に必要なメモリ）はわずか10～20MBで、OSを複数実行することによる容量的な負担が軽減できる。
プログラムの本体やOS／ネットワークの設定情報をまとめたテンプレートである「Dockerイメージ」は、root権限で稼働するデーモンが処理する。ここに攻撃の機会が生じる。
Dockerに最近追加された「Docker Content Trust」は、ツールを使用してDockerイメージの正当性を保証する機能だ。Docker Content Trustは、Dockerイメージに署名をして検証できるようにする。OSSのDockerイメージ検証ツール「Notary」を使用し、Dockerイメージの内容と発行元を確認する。
またDockerは、独立系ソフトウェアベンダーが安全なDockerイメージをユーザーに提供するための公式リポジトリ「Docker Hub」も用意する。Docker Hubに登録されたDockerイメージは十分な実証がなされ、セキュリティの観点からその特性が説明されている。これらの改善により、コンテナがハイパーバイザー並みに安全になるのが理想的だ。
コンテナセキュリティの未来
コンテナは非常に新しく、発展途上の技術である。時間が経過してみないと本当の実力は分からないものの、コンテナにはメリットがあることは確かであり、将来性が見込まれる。
コンテナは、従来の手段と比べてソフトウェアを適切かつ迅速に更新することが可能だ。更新結果も簡単にテストできるので、コードの脆弱（ぜいじゃく）性を悪用する攻撃を防ぎやすくなる。またコンテナが互いに分離しており、攻撃対象の範囲を大幅に縮小できる。
DockerイメージをはじめとするDocker関連のデータには、可能な限り読み取り専用のファイルシステムを使用するのが得策だろう。Dockerイメージに対してより厳しい制御が可能になるからだ。
コンテナのセキュリティは、基盤となるコンテナ技術そのものと共に引き続き発展するだろう。Clear Containersをはじめとするハイパーバイザーベースのコンテナ環境は、標準的なハイパーバイザーベースの仮想環境と同じくらい堅牢になり、より優れたセキュリティ制御を享受できる可能性がある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
“攻撃者優位”なサイバーセキュリティ、全ての「穴」をふさぐ方法とは？ -
製品資料
実際に悪用される脆弱性は4％前後 優先的に対処すべき脆弱性を把握するには？ -
製品資料
HubSpotの機能を拡張する法人データ活用法 -
製品資料
面倒で非生産的な「名寄せ」作業 高精度＆高効率に実施するには？ -
製品資料
名刺管理には「その先」がある 成果のでない営業活動から脱却する秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
2
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
3
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
4
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
5
IT製品の導入に関するアンケート「サーバ＆ストレージ」編
-
6
月額91.3万円のAIエンジニア システムアーキテクト級に並んだ単価の中身
-
7
ストレージへの高い投資対効果を目指す「ETERNUS DX S2」シリーズ
-
8
「IoT通信環境の構築・運用」に関するアンケート
-
9
IT業界で相次ぐ人員削減の“隠された理由”
-
10
ライオンが挑む「守りのIT」脱却：Google Cloudで加速させるデータ駆動型経営
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
財務・会計はAI活用でどう変わる？ 調査で見えた変革の道筋
-
3
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
「結局、一部の人しか使わない」 AI活用が業務に定着しない根本的な理由
-
7
コスト分析で見る「デバイス復旧」の代償 損失額から導きだされた投資戦略とは
-
8
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
9
ゼロトラストにおける「IDaaSの課題」と補完すべき重要機能とは？
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー