広がるコンテナ運用の可能性
無料Kubernetesセキュリティツールのメリットは？ 主要ツールを紹介
Kubernetesセキュリティツールは、コンテナを導入する企業のIT部門がセキュリティ対策を実施するのに一役買う。こうしたアプローチは個々のコンテナのインスタンスを強化するだけにはとどまらない。
Kubernetesのセキュリティに関する議論は次の段階に進みつつある
2018年、コンテナオーケストレーションソフトウェア「Kubernetes」のセキュリティツールが次々と登場した。その数が増え続けているのは、企業のIT部門でコンテナセキュリティに対する成熟度が高まっていることを反映している。
新しく発表されたセキュリティツールとして、Googleが提供するKubernetes管理ツール「Google Kubernetes Engine」（GKE）の「Binary Authorization」がある。この機能では、GKEクラスタでの実行を許可するコンテナイメージとコードのホワイトリストを作成できる。未許可のアプリを実行しようとする操作は全て失敗し、それらのアプリが記録される。
Binary Authorizationは2018年8月時点でβ版の段階にある。Googleは、同社のオープンソースKubernetesセキュリティツール「Kritis」の更新によって、オンプレミス環境でもこの機能を利用できるようにする予定だ。
続々と投入されるKubernetesセキュリティツール
コンテナやクラウドに関するセキュリティ製品のベンダーAqua Securityも、オープンソースのKubernetesセキュリティツール「kube-hunter」をリリース。kube-hunterはKubernetesクラスタのペネトレーションテストに使用でき、Kubernetesクラスタに対してパッシブスキャンを実行することによって、ありがちな脆弱（ぜいじゃく）性を探し出す。具体的には開放したままになっているダッシュボードや管理サーバのポートなどだ。このようなすぐに見て分かりそうなエラーであっても、電気自動車メーカーのTesla、保険会社Aviva、ITセキュリティを扱うGemaltoなどの著名な企業が多大な被害を受けている。
kube-hunterは能動的なペネトレーションテストを実行することも可能だ。このシナリオでは、攻撃者がKubernetesクラスタのサーバへのアクセス権を取得したという想定の下、発見した脆弱性への攻撃が試みられる。これにより、さらなる脆弱性が浮き彫りになる可能性がある。
他にも複数のKubernetesセキュリティツールが2018年にリリースされている。例えばコンテナ構築ソフトウェア「Docker」のエンタープライズ版「Docker Enterprise Edition」には、Kubernetes向けの暗号化機能やセキュアなコンテナレジストリが搭載されている。QualysやAlert Logicといったセキュリティソフトウェアベンダーが提供するツールでも、Kubernetesを対象に含んでいる。こうしたKubernetesセキュリティツールの増加はあることを示唆する。つまり、コンテナのセキュリティに関する議論は、個々のコンテナイメージやホストのレベルから、アプリケーションやKubernetesクラスタのレベルへと移りつつある。
調査会社451 Researchでアナリストを務めるフェルナンド・モンテネグロ氏は次のように語る。「コンテナは絶対に危険がないとは言い切れない。だが現時点（2018年8月）におけるコンテナセキュリティはほとんどのユーザーにとって十分優秀だ。業界内の関心は、オーケストレーション層でセキュリティ対策を実施し、幅広いコンテナ実装についてセキュリティを確保する方法へと移っている」
サードパーティーに挑戦状を突き付けたGoogle
GKE Binary AuthorizationはGoogle独自のものではない。Kubernetesクラスタで未許可のコンテナ起動を防ぐという機能は、他のオンプレミスやハイブリッドクラウドのKubernetes用ツールでも提供されている。例えばDocker Enterprise Edition、データセンター用ソフトウェアを専門とするMesosphereの「Mesosphere DC/OS」、Red Hatの「OpenShift」などだ。
だがサードパーティーであるベンダーは、Googleから再び挑戦を受けている。同機能を持つオープンソースのソフトウェアをGoogleが無料で提供したのだ。Kubernetesが他のコンテナオーケストレーションツールの地位を奪ったのと同様、これらのKubernetes管理機能が追加されたことで、サードパーティー製ツールの競争力はさらに低下することになる。
Kubernetesにおけるコンテナ起動保護機能として、GKE Binary Authorizationは大手クラウドベンダーによる初めてのネイティブな実装例だとモンテネグロ氏は説明する。
「Kubernetesに門番のような存在を用意することをこれまで誰も考え付かなかったわけではないが、それに関する取り組みを他のクラウドベンダーが進めている様子はまだ見られない」とモンテネグロ氏は言う。Amazon Web Services（AWS）とMicrosoft Azureがこれに追従するのはほぼ間違いないだろう。
「ユーザーにとって疑問なのは、クラウドベンダーがこうした機能を追加して自ら対処しようとしているのに、わざわざサードパーティー製ツールを選ぶ理由はあるのかということだ」と同氏は述べる。
kube-hanterが、「Nmap」やPortSwiggerの「Burp Suite」のような実際に企業で使われている本格的ペネトレーションツールの座を奪う可能性は低い。しかし無料でありKubernetesの脆弱性を重要視している事実は、一部のユーザーの関心を引くだろうとモンテネグロ氏は言う。
「Aqua Securityや同業競合企業のTwistlockは、Kubernetesのセキュリティ機能について先を行く存在となるはずだ。これらの企業が開発した機能が、GoogleやCiscoなどが扱う企業向けのプラットフォームに組み込まれているためだ」（モンテネグロ氏）
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Excel至上主義」の終わらせ方 丸2日の手作業地獄から情シスと現場を救うには
-
2
取手市がVDIと決別した理由 更改費用「4倍超」を約1.7倍に圧縮
-
3
「Microsoft 365のセキュリティ運用」に関するアンケート
-
4
急増する「AIはこう言ってる」マン 判断を狂わせる「AI忖度」を防ぐには？
-
5
221人調査で分かった「情シス最大のストレス」は？
-
6
「Salesforceのテスト自動化ツール」に関するアンケート
-
7
「データストレージの活用方法」に関するアンケート
-
8
「AI時代の統合基盤・エンタープライズAI管理」に関するアンケート
-
9
AIで人を減らした企業がもう心変わり 「AIブーメラン現象」の実態
-
10
自宅のWi-Fiが「遅い」「途切れる」本当の原因は？ Dellが推奨する鉄則
ホワイトペーパーランキング PR
-
1
年収2000万「クラウドセキュリティのプロ」になれる資格とは
-
2
セキュリティソフトをすり抜ける標的型攻撃メール、不審メールの見破り方とは？
-
3
Windows Updateの通信集中で回線が逼迫、ネットワーク刷新事例に学ぶ解決策
-
4
財務を戦略的組織へ進化させるAI活用術、4つの主要な障壁と解消方法
-
5
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
6
“あのファイル転送”で暗躍するノーウェアランサム
-
7
標的型攻撃メールを見破るには？ サンプル文面を例に傾向を解説
-
8
商用利用の安全性を確保し大量のコンテンツを高速で生成する、AI活用の秘訣
-
9
マンガで解説、1日で生成AI環境を構築できるワークショップの中身とは？
-
10
Dark AIが台頭する時代の新発想、「より高度なAIで対抗する」具体的方法とは？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー