コンテナには特有のリスクがある。これを正しく認識して対策を講じるにはどうすればいいのか。コンテナを安全に活用するための4つのステップを紹介する。
コンテナの概念は「Linux」から始まり、2013年に「Docker」が主流に押し上げた。オーケストレーションレイヤーの進化によってコンテナの機能は成熟と拡大を続け、NetflixやPayPal Holdingsなど、特にハイパースケールクラウドサプライヤーのプラットフォームやマイクロサービスアーキテクチャではその傾向が強い。
業務でコンテナの安全な導入と継続的な利用を支えるCISO（最高情報セキュリティ責任者）は、コンテナがもたらす脅威とリスクに対処できることを確認しておかなければならない。IT資産の成長に伴って複雑さやサイズが増していくことはコンテナに限ったことではない。だが、コンテナにはCISOが検討すべき4つの分野がある。
1．ペースを維持し、手作業による再構築に圧倒されないように、DevSecOpsを使ってセキュリティチーム内のコードパイプラインに関するメンタリティーを確保する
コンテナ化したアプリケーションのコードへのパッチ適用には、コンテナのベースイメージの更新とコンテナの再構築・再デプロイが必要だ。コンテナは最新状態にしておかなければならない。その課題を乗り越えるには、セキュリティの専門家が開発者チームの一員になることが重要だ。
全てのDevSecOpsパイプラインと同様、コンテナイメージに埋め込まれる形でハードコードした資格情報の漏えい、脆弱（ぜいじゃく）性のスキャン、そのソフトウェアにパッケージされる依存関係の信頼度の決定についても予防措置を講じる必要がある。脆弱性検出の改善に役立つこうしたアクティビティーは、全てコストの削減につながる。パッチを適用するには、コンテナを停止して置き換え、再起動できる必要があることを忘れてはならない。
2．スケールに対応できる構成管理とセキュリティツールを導入する
効果的な構成管理は不可欠だ。この構成管理の課題をサポートするのがオーケストレーションサービス（「Kubernetes」「Amazon Elastic Container Service」「Azure Container Service」）、Micro Focus Internationalの「Configuration Management」などのCMDB（コンテナネイティブ構成管理データベース）やコンテナのラベル付け／タグ付けのポリシーだ。これらと並行して、ネットワークのセキュリティ、ログ、ホストOS、コンテナセキュリティを管理するアプローチも必要だ。
コンテナエコシステムの内外の脅威からコンテナを保護する方法が必要だ。マクロレベルの方法としては、リスクゾーン（Dockerの用語では「ポッド」）を導入する。コンテナはこのゾーン内なら自由に相互通信できる。だが、ゾーンの境界をまたぐとファイアウォールのルールが適用される。マイクロレベルの方法としては、コンテナイメージを備えたエージェントを導入する。これにより、動的に更新するかCI/CDパイプラインにファイアウォールのルールを組み込むことができる。どちらの方法にも、IT資産全体にわたって標準化したアプローチに自動コンプライアンスレポートを組み合わせる必要がある。
3．コンテナのリソース管理とホストの影響が及ぶ範囲の保護を実装する
コンテナ技術を採用する2つの理由は、可用性とスケーラビリティだ。これにはガバナンスの課題があり、効果的なリソース管理が必要になる。ホストにリソース制限を適用するとコンテナのキャパシティーが増加しパフォーマンスの向上が可能になり、結果としてランニングコストが下がり、セキュリティのリスクが少なくなる。
任意のコンテナアーキテクチャにホスト保護リソース管理を埋め込むと構成の脆弱性が減り、カーネルパニックなどの重大なリスクが軽減される。カーネルパニックはホストのクラッシュを引き起こし、その後コンテナのクラッシュにつながる恐れがある。
コンテナをクラウドにデプロイすると、セキュリティの課題の多くは簡素化される。クラウドにデプロイしないとホスト管理、容易なセキュリティメカニズム、自動化、スケーリングなどの多くに手動のプロセスが必要になる。開発者と必要なセキュリティチームへの自動化されたアクションとアラートにより、セキュリティインシデントの影響が及ぶ範囲と対応時間全体を大幅に削減できる。
コンテナホスト型のアプリケーションをデプロイする場合の懸念は、攻撃者が脆弱なアプリケーションを使って基盤となるコンテナインフラにアクセスできるようになるリスクだ。こうしたリスクを緩和し、アプリケーションが悪用されてもroot（管理者）レベルのアクセスを防ぐためには、最小権限の原則に関するポリシーをコンテナに適用することが、シンプルだが効果的な手法になる。
コンテナ化した環境を有する全ての組織にとって重要なのは、可能性のある全てのセキュリティリスクを網羅する最新のリスク登録簿を管理することだ。これにより、セキュリティチームはセキュリティ違反につながる根本的な問題を監視し、明らかにすることができる。
4．サイバーセキュリティガイドのベストプラクティスを適用する
攻撃とインシデントの最も可能性の高いルートは、根本的かつ基本的な原則に従っていないところだ。災害復旧とフェイルオーバーの計画が最新ではないか、全く用意されていないことに起因することが多い。これはインシデントの管理が不十分で、時間との勝負になるインシデントでは試行済みで検証済みの手続きが貴重なリソースになることを認識していないことを意味する。
NIST 800-190（Application Container Security Guide）は、以下のような最も一般的な脅威に対処するためのベストプラクティスを示している。
可能な限り自動化し、サイバーセキュリティに関する強力な文化を育むことで、コンテナは業務の進化に対応し、増え続ける規制の負担に耐えられるセキュリティアーキテクチャを開発する機能を提供する。本稿で紹介した4つの分野を検討することで、ビジネスとセキュリティをサポートするために必要な安全対策を講じ、コンテナを最大限に活用できるようになる。
Copyright © ITmedia, Inc. All Rights Reserved.
今や誰もが入手可能となったフィッシングツール。そこにAIの悪用が加わり、フィッシング攻撃はますます巧妙化している。本資料では、20億件以上のフィッシングトランザクションから、フィッシング攻撃の動向や防御方法を解説する。
セキュリティ対策チームの57％が人材不足の影響を受けているといわれる昨今、インシデントや脆弱性への対応の遅れが、多くの企業で問題視されている。その対策として有効なのが「自動化」だが、どのように採り入れればよいのだろうか。
年々増加する標的型攻撃メール。この対策として標的型攻撃メール訓練を実施している企業は多い。こうした訓練では一般に開封率で効果を測るが、実は開封率だけでは訓練の効果を十分に評価できない。評価となるポイントは報告率だ。
従業員の情報セキュリティ教育は、サイバー攻撃や人的ミスによる情報漏えいから自社を守るためにも必要不可欠な取り組みだ。新入社員の教育を想定し、伝えるべき内容や伝える際のポイントを解説する。
2024年の情報漏えい事故の傾向では、攻撃者による大規模攻撃の他、社員や業務委託先のミス・内部犯行によるケースも多く見られた。インシデント別の要因と対策とともに、今後特に重要になるセキュリティ意識向上のポイントを解説する。
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「マーケティングオートメーション」 国内売れ筋TOP10（2025年5月）
今週は、マーケティングオートメーション（MA）ツールの売れ筋TOP10を紹介します。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年4月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年4月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
ITmediaはアイティメディア株式会社の登録商標です。
