ランタイムセキュリティ

ランタイムセキュリティは、コンテナが起動する前だけでなく、実際に実行されている間も保護します。

スキャンはイメージ内の問題を検出し、ランタイムセキュリティは稼働中の攻撃を監視します。

完全にスキャンされたイメージでも、ランタイム中に攻撃される可能性があります。

攻撃者は、コンテナの起動後にバグを悪用したり、認証情報を不正利用したり、予期しない動作を引き起こしたりします。これらはスキャンだけでは検出できません。

ランタイムを強化する最も簡単な方法は、rootを避けることです。

非rootユーザーを指定して、侵害されたプロセスの権限を制限してください。

これをイメージに追加すると、コンテナは権限を持たない状態で実行されます。

ほとんどのアプリケーションは、自身のファイルシステムに書き込む必要がありません。

ファイルシステムを読み取り専用にすると、攻撃者による悪意のあるファイルの配置を防げます。

Linuxのケイパビリティは、細かく分けられた権限を付与します。コンテナがすべてのケイパビリティを必要とすることはほとんどありません。

すべて削除してから、必要なものだけを追加してください。

制限を設定すると、1つのコンテナが他のコンテナのリソースを使い果たすのを防げます。

これにより、偶発的または悪意のあるリソース枯渇からホストを保護できます。

Seccompは、コンテナが使用できるシステムコールを制限します。

危険なシステムコールをブロックすると、アプリケーションが侵害された場合でも攻撃対象領域を縮小できます。ほとんどのランタイムには、適切なデフォルトプロファイルが用意されています。

ランタイムツールは、コンテナが実際に何をしているかを監視します。

Falcoのようなツールを使うと、Webコンテナ内でシェルが起動されるなど、予期しない動作が発生したときに警告できます。

実行中のコンテナは、そのイメージと同じように動作するはずです。新しいバイナリが現れたり、予期しないプロセスが起動したりする状態がドリフトです。

ドリフトは、攻撃者が足がかりを得たことを示している場合がよくあります。

ランタイム監視で攻撃を検出したら、すばやく対応できます。

• 不審なプロセスを終了する
• コンテナをネットワークから隔離する
• 新しいクリーンなインスタンスに置き換える

有効なパターンの1つは、コンテナをイミュータブルとして扱うことです。実行中のコンテナには決してパッチを適用せず、置き換えてください。

これにより、すべてのコンテナをクリーンな状態に保ち、攻撃者による永続化をはるかに困難にできます。

コンテナのプロセスが侵害された場合の被害を最も小さくできるランタイム設定はどれですか？

ランタイムセキュリティは、非rootユーザー、読み取り専用ファイルシステム、ケイパビリティの削除、リソース制限、Seccomp、動作監視によって、稼働中のコンテナを保護します。

コンテナをイミュータブルとして扱い、検出した脅威にはすばやく対応してください。