2025年11月に開催されたクラウドネイティブ技術のカンファレンス「KubeCon + CloudNativeCon North America 2025」において、コンテナセキュリティの第一人者として知られる、セキュリティベンダーMinimusのCTO（最高技術責任者）ジョン・モレロ氏と、セキュリティベンダーEderaのCTO、アレックス・ゼンラ氏が登壇した。本稿は、両氏のセッション「It's Not a Best Practice If No One Can Follow It: Learning From Our Container Security Mistakes」の内容から、次世代のコンテナ保護の在り方を解説する。

　モレロ氏は、コンテナセキュリティベンダー「Twistlock」（後にPalo Alto Networksが買収）を立ち上げた当時の状況を振り返る。2015年ごろの黎明（れいめい）期はコンテナを動かすことが最優先であり、コンテナ内部のシステム構成や通信を監視、制御できるセキュリティツール自体が存在しなかった。そのため、ホストマシンの管理者権限をコンテナに与えて強引に実行するしかなく、安全対策は後回しにされていた。

　加えて、当時はIT技術としてのコンテナという概念が世間に浸透していなかった。Twistlockという名前が貨物コンテナの固定器具と同じだったことから、同社のWebサイトに「貿易・輸送用の貨物コンテナにかける物理的な鍵」の見積もり依頼が届くほど、市場の認知度は低かったという。

　その後、コンテナ技術の成熟に伴ってツールは進化したものの、根本的な課題は解決されていない。一般的なコンテナベースイメージを利用してアプリケーションを構築すると、アプリケーションを実行する上では関係ないツールやライブラリといったプログラム群（パッケージ）が複数含まれてしまう。そのため、アプリケーションのビルドから本番環境への配備までを自動化するパイプラインに組み込んだ脆弱性スキャナーは、実際には使われておらず、攻撃リスクが低いパッケージの脆弱性も含んだ全ての脆弱性を検出する。これが多数の脆弱性アラートを生み出す。結果として、セキュリティチームはアラートの優先順位付けに疲弊し、開発者は「脆弱性を修正した結果、他のプログラムとの連携が崩れてアプリケーションが動かなくなる」というトラブルに苦しむことになる。

　コンテナ間の通信を細かく制御する仕組みも、設定が複雑になりがちだ。システムが大規模化、抽象化するほどトラフィックの把握とポリシーの維持が困難になり、最終的には防御機能が十分発揮できなくなる。

　ゼンラ氏は、「コンテナは元来、強固なセキュリティ境界として設計されたものではない」と指摘する。コンテナを動かす土台となる「Linux」のカーネル（OSの中核）内には、そもそも「コンテナ」という単一の概念（独立した強固な箱）がなく、複数のプロセス隔離機能を組み合わせた仮想的な空間に過ぎない。そのため、従来のような「脆弱性の検出と事後処理」という考え方から、「事前予防と設計段階からの組み込み」（セキュリティバイデザイン）へと考え方を変える必要がある。「アラートを処理する」のではなく、「アラートそのものを発生させない仕組み」を取り入れるアプローチだ。

コンテナ運用のセキュリティバイデザイン

　1つ目の解決策は、最小構成のコンテナイメージの活用だ。モレロ氏はセッションにおいて、Webサーバソフトウェア「nginx」のコンテナイメージを構築するケースを例に挙げて比較した。同氏によると、一般的なベースイメージを利用すると230個以上のパッケージが含まれ、イメージサイズは70MBを超え、100件近い脆弱性を内包する状態になりやすい。一方、ディストロレス（OSの標準的なツール類を排除した構成）アプローチで構築されたコンテナイメージは、パッケージが15個程度、サイズも約9MBにまで縮小される。アプリケーションの実行に必要不可欠なコンポーネントのみを含めることで、攻撃対象対象領域を大幅に削り、脆弱性がないの状態を持続しやすくなる。土台の段階でリスクを排除できれば、スキャン結果のノイズは激減する。

　2つ目の解決策は、コンテナを実行するシステム自体のアーキテクチャを見直すことだ。単なるプロセス隔離ではなく、仮想マシンを稼働させるハイパーバイザーなどのツールを活用して、より強固な壁を設ける必要がある。これによって安全なサンドボックス（隔離空間）を構築し、異なるエンドユーザー間でのデータや処理を切り離す「マルチテナント分離」を確実にする仕組みが求められる。こうした構成であれば、万が一アプリケーションが侵害されても、被害を即座に隔離し、必要に応じて通信遮断や実行停止を実施できる。

　セキュリティ対策は、開発プロセスにおいて「進行を妨げる赤信号」であってはならない。導入が容易なツールが、運用も容易だとは限らない。ゼンラ氏は、「AIツールが生成したコードが大量に本番環境に投入されるこれからの時代において、セキュリティの確保はますます困難になる」と警鐘を鳴らす。

　後から監視ツールを付け足して膨大なログに埋もれるのではなく、開発の初期段階から堅牢かつクリーンなシステムを利用することで、IT部門は運用保守の重圧から解放されるはずだ。持続可能なセキュリティの実践こそが、ビジネスの俊敏性を支える鍵になる。

本稿は、Cloud Native Computing Foundation（CNCF）が2025年11月25日に公開した動画「It's Not a Best Practice If No One Can Follow It: Learning From... Alex Zenla, Edera & John Morello」を基に作成しました。