「Kubernetesセキュリティの勘所」 2019/02/26 ビジネス向けイベントで利用した資料

1. セキュリティーの勘所

3. セキュリティーの勘所
コンテナセキュリティ対応
コンテナイメージの作成、テストと署名
コンテナイメージの保存と検索
コンテナデプロイと管理

4. コンテナセキュリティ対応

5. 悪意のあるコンテナーブレイクアウト
コンテナランタイム 脆弱性
悪質なコンテナがruncバイナリを上書きし、ホスト上でroot特権
を獲得し、コードを実行できてしまう。
コンテナ内のプロセスが信頼されているか、またはUID 0として実行されていない場合には、本脆弱性は
適用されない。
各社対応 対応状況
のアップデート版が および
リポジトリで提供。
、 、 、 がリリース。
問題を軽減するにはクラスタをアップグレード
で実行するノードのみ対応が必要。デフォルトの
は問題ない

6. コンテナのセキュリティが のセキュリティであることを実証
の 対応
適切なポリシーが適用された「SELinux」
を有効にしていれば、この問題を防止
できる。(Red Hatはデフォルト有効)
・Red Hat OpenShift
・Red Hat Enterprise Linux
しかし、多くの場合、コンテナの保
守が困難なため、SELinuxを有効化
していない。
※当日にBlogで公式見解を発表

7. デプロイプロセスが変わるため、セキュリティの対応も変わる
コンテナセキュリティとは

8. と
のコンテナセキュリティガイドライン
アプリケーションコンテナテクノロジの基礎、テクノロジの実装および使用の潜在的なセキュリティ問題、
使用すべき対抗策、およびこれらの問題に対処するための要件に関する情報を提供。
セキュリティ セキュリティ

9. ３つのレイヤに関してセキュリティを検討することが重要
コンテナセキュリティの検討レイヤ
テストと署名
コンテナイメージの作成、テストと署名
コンテナイメージの保存と検索
コンテナデプロイと管理
ローカルレジストリ
外部レジストリ
コンテナ可動ホストオーケストレーション開発ツール
コンテナイメージを作
成してテストに送信
コンテナイメージの検
証や署名、レジストリ
への送信
コンテナイメージの保存
コンテナリソースをリクエスト
コンテナの実行と停止

10. コンテナイメージの作成、テストと署名

11. 信頼できるソースの利用とビルド時の確認
CONTAINER
OS
RUNTIME
APPLICATION
外部からダウンロードするコードと同様に、パッケージの提供元、作成者、そして内部に悪
質なコードが含まれていないかを確認する。
コンテナの内容は、使用中のインフラストラク
チャのセキュリティを脅かさないか??
アプリケーション・レイヤーに既知の脆弱性が
存在しないか??
ランタイムと OSレイヤーは最新のものか??
信頼できる
ベースイメージ
ビルド時の
信頼性保証

12. 提供する各コンテナイメージの「グレード」を公開
すべてRed Hatのセキュリティチームによって審査され、品質保証のプロセスを受けたもの
(*root権限を必要としないように設計されたイメージを利用)
参照

13. コンテナ内のプロセスが信頼されていることを保証する
イメージごとに信頼性を評価
各イメージには、イメージリポジトリページの から独自のセキュリティ評価が確認できる。
同じイメージでも、古くなったコンテナイ
メージにはセキュリティ上のリスクが含ま
れる可能性が高い

14. 「 」コマンドを使用して スキャン機能を使用
システム上にあるすべてのコンテナーイメージおよび
コンテナーが既知の 脆弱性や一般的な設定
ミスがないかを検証
を使用して、システムで フォーマットのコンテ
ナーイメージおよびコンテナーをスキャン

15. に 行追加するだけで、 ベースの脆弱性検査を実施
を使用して、システムで フォーマットのコンテ
ナーイメージおよびコンテナーをスキャン

16. {
"name": "CVE-2016-7444",
“description”: “¥nThe gnutls_ocsp_resp_check_crt function in lib/x509/ocsp.c in GnuTLS before 3.4.15 and 3.5.x before 3.5.4 does not verify
the serial length of an OCSP response, which might allow remote attackers to bypass an intended certificate validation mechanism via vectors
involving trailing bytes left by gnutls_malloc.¥nA flaw was found in the way GnuTLS validated certificates using OCSP responses. This could
falsely report a certificate as valid under certain circumstances.",
"nvd_score": 5,
"nvd_score_version": "CVSS v2",
"nvd_vectors": "AV:N/AC:L/Au:N/C:N/I:P/A:N",
"nvd_severity": "medium",
"nvd_url": "https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7444",
"vendor_score": 4.3,
"vendor_score_version": "CVSS v2",
"vendor_vectors": "AV:N/AC:M/Au:N/C:N/I:P/A:N",
"vendor_severity": "low",
"vendor_url": "https://access.redhat.com/security/cve/CVE-2016-7444",
"publish_date": "2016-09-27",
"modification_date": "2018-01-04",
"fix_version": "3.3.26-9.el7",
"solution": "Upgrade package gnutls to version 3.3.26-9.el7 or above."
}

17. コンテナイメージの保存と検索

18. 利用するコンテナイメージに対して、統一的な管理方法を実施する
ローカルレジストリ オーケストレーション
外部レジストリ
利用認証
利用認証
コンテナイメージにはどのようなセキュリティメタ
データがあるのか??
レジストリ内のコンテナイメージは定期的に更
新されているか??
レジストリにアクセス制御があるか??
それはどれくらいの強度なのか??
定期的な
イメージ監査
利用認証と
監査ログ

19. 【補足】 社と 社
- Enterprise-ready Kubernetes
platform
- Automated operations
- Hybrid-cloud deployments
- Leading enterprise Kubernetes
platform
- Automated operations
- Hybrid-cloud deployments
- Developer productivity
- Container optimized
- Over-the-air updates
- Immutable foundation for
Tectonic clusters
- Container optimized
- Over-the-air updates
- Immutable foundation for
OpenShift clusters
- RHEL based content
- Enterprise container registry
- Self-managed and as-a-service
- Geo-replication, build
automation, vulnerability
scanning
- Enterprise container registry
- Self-managed and as-a-service
- Geo-replication, build
automation, vulnerability
scanning

20. コンテナに関するメタデータ(既知の脆弱性を含む)に基づいてコンテンツを管理
にアップロードされたコンテナイメージに対して、セキュリ
ティスキャンを行った結果
クリティカルレベルのものが 件あり、
クリティカルレベルを含む高レベルおよび中レベルが 件

21. 社にて開発が行われていた脆弱性スキャンツール
は 社にて開発が行われている脆弱性スキャンができるツール。スキャンは を元に実施され、 や コン
テナ内に脆弱性がないかを静的スキャンを実施します。 自体もコンテナで提供されます。
【 】 個別製品中の脆弱性に一意の識別番号「 識別番号 」を付与することにより、組織 の発行する脆弱
性対策情報と、組織 の発行する脆弱性対策情報とが同じ脆弱性に関する対策情報であることを判断
データソースから脆弱性情報を取得
定期的に脆弱性データのアップデート
スキャン結果をエンドポイントへ
送信
脆弱性情報を取得し に書
き込み。
コンテナイメージの脆弱性を
データベースに問い合わせ

22. コンテナレジストリの監査も必要
・全てのイベントを取得
・コンテナの と イベント
・権限の変更
・ビルドイベント
・イメージタグの変更

23. 実際に脆弱性を持つコンテナイメージ で検証
(参考) https://kubedex.com/follow-up-container-scanning-comparison/
Container Scanning Tools CVE-2015-9261 CVE-2018-12434 CVE-2018-14618
Clair ✘ ✘ ✔
Anchor-Engine ✘ ✘ ✔
Aquq Microscanner ✔ ✘ ✘
Twistlock ✔ ✘ ✘
Dagda ✔ ✘ ✘
どのスキャンツールが良い悪いではなく、依存パッケージを減らし、脆弱性を減らしたコン
テナイメージを作成することが重要

24. コンテナデプロイと管理

25. 信頼できるコンテナ環境の提供
悪意のあるコンテナが可動しても、他のシステムに影響しない環境を構築する
どのコンテナが互いにアクセスする必要がある
か、どのように互いの存在を検出するか??
共有リソースへのアクセスとその管理をどのよ
うに制御するか??
容量の自動的なスケーリングをどのように行う
か??
クラスタ状況
の可視化
セキュアな
の利用

26. 参照
に対して必要なリソースにのみアクセス可能
・
・
プロジェクトごとに必要なユーザーと権限を付与
・
・
を用いて、接続できる を指定
・
や によってリソースを分離
・

27. のリソースアクセス
認証
の 接続に対する認証
・
・
・
・
認可
すべてのポリシーに対して要求属性を評価
し、要求を許可または拒否
・
・
・ 認証
・
リクエストに対して認証、認可を行った
あとのフェーズで、別途そのリクエストを受け
入れるかを制御

28. により、クラスタ内の名前空間またはクラスタ全体に詳細なポリシーが適用できる
個々のクラスタでユーザーにオブジェクト実行を制限する機能

29. と リソースの可視化
・クラスタのRBACロールとロール
バインディングの可視化
・特定の役割を持つユーザーと
サービスアカウントを追跡
・クラスタ全体またはNamespace
のバインドを表示

30. 脆弱性
(参考) https://github.com/kubernetes/kubernetes/issues/71411
※デフォルト設定では、すべてのユーザー 認証の有無にかかわらない に対して、権限昇格を可能に
するディスカバリ 呼び出しの実行が許可されている。
いくら 側で対応を行っても、 が攻撃されると、リソースの操作が可能になる。

31. コンテナの仕組みそのものの脆弱性は避けられない
コンテナの脆弱性
・ゲストプロセスはホストカーネ
ル上で実行
・ゲストプロセスを十分隔離しな
いといけない
・単一の脆弱性でホストを破壊
してしまう可能性がある
レイヤでセキュリティをど
う担保するかが重要
デーモンはホストの 権限で動作するため， デーモンの脆弱性 を攻撃者につかれる
と，ホストの 権限を奪取される恐れがあります。
次期バージョンで、 ユーザにて デーモン及び関連コンポーネントを実行できる見込み

32. 完全にイミュータブルで、コンテナを実行するために調整され
た最小限のホスト環境。
容易に最新に維持するための自動「ネットワーク経由
」によるアップデートも完備
他のコンテナやカーネルからコンテナを隔離できるセキュリティ
機能を内蔵した、安定した信頼性の高いホスト環境。

33. パイプラインに取り込むセキュリティの自動化

34. 新しいツールを導入する以上の組織文化の変革が重要
アプリケーションとインフラストラクチャのセキュリ
ティを、開発の開始時点から考慮すること。
また、DevOpsワークフローのスピードが低下しない
よう、セキュリティゲートを自動化すること

35. セキュリティをアプリケーションライフサイクルに組み込む
従来のセキュリティ監査
セキュリティチームが、リリース前に数日かけてアプリケーションや
プラットフォームの脆弱性を検出していると、手戻りによるスケ
ジュール遅延が発生し、最終的にはコストも増えてしまいます。
では、開発プロセスのより早い段階で強制的にセキュリティテストを行うことが求められます。
このように、後工程で行っていたプロセスを、開発工程に組み込む考え方を といいます。

37. まとめ

38. ３つのセキュリティレイヤに関してトータルサポートできる製品の選定
まとめ
コンテナイメージの作成、テストと署名
コンテナイメージの保存と検索
コンテナデプロイと管理
信頼できる
ベースイメージ
ビルド時の
信頼性保証
定期的な
イメージ監査
利用認証と
監査ログ
クラスタ状況
の可視化
セキュアな
の利用

39. コンテナ・セキュリティの 大要素
公開中
https://red.ht/2GLXBqF
以下より無料ダウンロード

42. コンテナにも影響した脆弱性
カーネルのメモリサブシステムが 時に、プライベートな メモリを破損する
事が可能。これにより、権限のないユーザが権限昇格によって、読み取り専用のメモリへ書き込みを行えるよう
になる。
の高速化手法である「投機的実行 」と「アウトオブオーダー実行
」の機能に存在。