アプリケーションコンテナのセキュリティ概説
•
3 j'aime•338 vues
クラウドセキュリティアライアンス アプリケーションコンテナ／マイクロサービスWG
![2
クラウドセキュリティアライアンス
アプリケーションコンテナ／マイクロサービスWGのご紹介
[目的]
セキュアなアプリケーションコンテナおよびマイクロサービス利用の
ためのガイダンスやベストプラクティスを発行する
アプリケーションコンテナおよびマイクロサービスのセキュリティに
関する啓発活動を行う
[WGリーダー]
Anil Karmel（NIST SP 800-180(Draft) 筆頭著者）
Andrew Wild（QTS Data Centers・CISO)](data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAAALAAAAAABAAEAAAIBRAA7)
Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à アプリケーションコンテナのセキュリティ概説
Similaire à アプリケーションコンテナのセキュリティ概説 (20)
Plus de Eiji Sasahara, Ph.D., MBA 笹原英司
Plus de Eiji Sasahara, Ph.D., MBA 笹原英司 (16)
アプリケーションコンテナのセキュリティ概説
- 1. Cloud Security Alliance Application Containers and Microservices WG アプリケーションコンテナのセキュリティ概説
- 2. 2 クラウドセキュリティアライアンス アプリケーションコンテナ／マイクロサービスWGのご紹介 [目的] セキュアなアプリケーションコンテナおよびマイクロサービス利用の ためのガイダンスやベストプラクティスを発行する アプリケーションコンテナおよびマイクロサービスのセキュリティに 関する啓発活動を行う [WGリーダー] Anil Karmel（NIST SP 800-180(Draft) 筆頭著者） Andrew Wild（QTS Data Centers・CISO)
- 3. 3 クラウドセキュリティアライアンス アプリケーションコンテナ／マイクロサービスWGの 作成ドキュメント例 「Challenges in Securing Application Containers and Microservices」 (2019年7月発行） 「Best Practices for Implementing a Secure Application Container Architecture」 (2019年7月発行） 「Best Practices in Implementing a Secure Microservices Architecture」 （2020年2月発行）
- 5. 5 アプリケーションコンテナ／マイクロサービスの定義 • 米国立標準技術研究所（NIST） 「SP 800-180(Draft): NIST Definition of Microservices, Application Containers and System Virtual Machines」 （2016年2月） • アプリケーションコンテナ: 共有OS上で稼働するアプリケーションまたはそのコンポーネントとして パッケージ化し、稼働するように設計された構成物 • マイクロサービス： アプリケーション・コンポーネントのアーキテクチャを、疎結合のパターンに 分解した結果生まれる基本的要素であり、標準的な通信プロトコルや 明確に定義された API を利用して相互に通信する自己充足型サービス を構成し、いかなるベンダー、製品、技術からも独立している
- 6. 6 コンテナ・セキュリティのガイドライン • 米国NIST 「SP 800-190: Application Container Security Guide」（2017年9月） • コンテナ技術アーキテクチャ層と構成要素 出典：NIST “SP 800-190: Application Container Security Guide”（2017年9月）
- 7. 7 ・コンテナ技術のコアコンポーネントのリスク コンポーネント リスク イメージ ・イメージの脆弱性 ・イメージ構成の欠陥 ・組込まれたマルウェア ・組込まれた平文の秘密 ・信頼できないイメージの使用 レジストリ ・セキュアでないレジストリへの接続 ・レジストリにおける古いイメージ ・不十分な認証および権限付与の制限 オーケストレーター ・制限のない管理者のアクセス ・不正なアクセス ・分離が不十分なコンテナ内のネットワークトラフィック ・ワークロードの機微度レベルの混在 ・オーケストレーター・ノードの信頼性 出典：NIST “SP 800-190: Application Container Security Guide”（2017年9月）
- 8. 8 ・コンテナ技術のコアコンポーネントのリスク（続き） コンポーネント リスク コンテナ ・ランタイム・ソフトウェア内の脆弱性 ・コンテナからの制限のないネットワークアクセス ・セキュアでないコンテナ・ランタイムの構成 ・アプリケーションの脆弱性 ・不正なコンテナ ホストOS ・大規模攻撃の対象領域 ・共有されたカーネル ・ホストOSコンポーネントの脆弱性 ・不適切なユーザーアクセス権限 ・ホストOSのファイルシステムの改ざん 出典：NIST “SP 800-190: Application Container Security Guide”（2017年9月）
- 9. 9 クラウドセキュリティにおけるアプリケーションコンテナ(1) • CSA 「Security Guidance for the Critical Areas of Focus in Cloud Computing v4.0」 （2017年7月） • Domain 8：仮想化とコンテナ技術 • 8.1.4 コンテナ =移植性の高いコード実行環境 [主要コンポーネント] • 実行環境 • 統合管理とスケジューリングのコントローラ • コンテナイメージまたは実行するコードのリポジトリ
- 10. 10 クラウドセキュリティにおけるアプリケーションコンテナ(2) • コンテナのセキュリティ要件 • 利用するコンテナプラットフォームとその下のOSのセキュリティの ための隔離機能を把握し、適切な設定を選択すること • コンテナ間の隔離の実施には物理マシンまたは仮想マシンを用い、 同一の物理／仮想ホスト上の同一のセキュリティ要件のコンテナ はグループ化すること • 配備対象となるのは、確実に、承認済みで認知済みでセキュアな コンテナのイメージかコードだけとなるようにすること • コンテナの統合化・管理およびスケジューラのソフトウェアの セキュリティを適切に設定すること • 全てのコンテナとリポジトリ管理に対して、適切なロールベースの アクセス管理と、強度の高い認証を実装すること。
- 11. 11 アプリケーションコンテナセキュリティの課題(1) • CSA Application Containers and Microservices Working Group 「Challenges in Securing Application Containers and Microservices」（2019年7月） [構成] • 1. 序論 • 2. アプリケーションコンテナとマイクロサービスの課題 • 3. アプリケーションコンテナとマイクロサービス: ユースケースと機能 • 4. マイクロサービス
- 12. 12 アプリケーションコンテナセキュリティの課題(2) • [主旨] • アプリケーションコンテナとマイクロサービスのアーキテクチャ は、DevOpsのようなアジャイルソフトウェア開発手法を 活用して、アプリケーションを設計、開発、展開するために 利用される • セキュリティは、これらのソフトウェア開発手法に組込まれる 必要がある • 本文書では、開発者、運用者、アーキテクトの視点を通し て、信頼性のあるセキュアなシステムのエンジニアリングに おいて、アプリケーションコンテナやマイクロサービスのセキュ リティに取組む際の課題を特定している
- 13. 13 アプリケーションコンテナセキュリティの課題(3) • 3. アプリケーションコンテナとマイクロサービス: ユースケースと機能 • 1. 環境全体のコードプロモーション (開発、品質保証、テスト、 プロダクション) • 2. ホストのセキュア化 • 3. コンテナ - プラットフォーム／ホストの継続的モニタリング • 4. コンテナネットワーク – ホストとコンテナ間の通信 • 5. コンテナネットワーク - コンテナ間の通信 • 6. イメージの完全性とセキュリティ品質の妥当性評価 • 7. コンテナのフォレンジック • 8. コンテナを介したトラストチェーン
- 14. 14 アプリケーションコンテナセキュリティの課題(4) • 3. （続き） • 9. コンテナのボリューム管理 • 10.コンテナの機密管理 • 11.プラットフォーム管理 – ライフサイクルイベントの通知 • 12.プラットフォーム管理 – リソース要求 • 13.プラットフォーム管理 – コンテナリソース管理 • 14.プラットフォーム管理 – コンテナリソースの拡張 • 15.プラットフォーム管理 – データのバックアップとレプリケーション • 16.プラットフォーム管理 – コンテナ管理パーシスタンス（CMP） 間のコンテナのホスト変更 • 17.コンテナの暗号化
- 15. 15 アプリケーションコンテナセキュリティのベストプラクティス(1) • CSA Application Containers and Microservices Working Group 「Best Practices for Implementing a Secure Application Container Architecture」 （2019年7月） アプリケーションコンテナの課題解決のための推奨事項 およびベストプラクティス集 [構成] • 1. 序論 • 2. アプリケーションコンテナ • 3. アプリケーションコンテナの課題に対するリスク低減策 日本語翻訳版あり
- 16. 16 アプリケーションコンテナセキュリティのベストプラクティス(2) • 3. アプリケーションコンテナの課題に対するリスク低減策 • 1. 環境全体のコードプロモーション (開発、品質保証、テスト、 プロダクション) • 2. ホストのセキュア化 • 3. コンテナ - プラットフォーム／ホストの継続的モニタリング • 4. コンテナネットワーク – ホストとコンテナ間の通信 • 5. コンテナネットワーク - コンテナ間の通信 • 6. イメージの完全性とセキュリティ品質の妥当性評価 • 7. コンテナのフォレンジック • 8. コンテナを介したトラストチェーン 日本語翻訳版あり
- 17. 17 アプリケーションコンテナセキュリティのベストプラクティス(3) • 3. （続き） • 9. コンテナのボリューム管理 • 10.コンテナの機密管理 • 11.プラットフォーム管理 – ライフサイクルイベントの通知 • 12.プラットフォーム管理 – リソース要求 • 13.プラットフォーム管理 – コンテナリソース管理 • 14.プラットフォーム管理 – コンテナリソースの拡張 • 15.プラットフォーム管理 – データのバックアップとレプリケーション • 16.プラットフォーム管理 – コンテナ管理パーシスタンス（CMP） 間のコンテナのホスト変更 • 17.コンテナの暗号化 日本語翻訳版あり