コンテナセキュリティって必要なの？
〜コンテナセキュリティベストプラクティスご紹介〜

ソフトバンク コマース＆サービス株式会社
ICT事業本部 MD本部
テクニカルマーケティングセンター ビジネス開発課
竹石 渡,CISSP

ソフトバンク コマース＆サービス
セキュリティ製品のプリセールス→ビジネス開発

竹石 渡

1

コンテナセキュリティって必要なの？
= ものすごく必要です。

2

悪意を持った Docker Image
Docker hub②Docker ImageベースのマルウェアをPull①Docker ImageベースのマルウェアをPush
ユーザーのPC上でMoneroをマイニング③攻撃者に対しMonero送信
3

攻撃のトレンド
ランサムウェア

コインマイナー

3.5億

35万

1/35

1千万
2017第4四半期

2018第1四半期

9倍

4万
第1四半期
2017

第2四半期

第3四半期

第4四半期

第1四半期
2018

4

24%
脆弱性のあるDocker hub上のイメージの割合

Source:Federacy

5コンテナの導入時に企業が直面している最大の課題

Source:CNCF

6

コンテナセキュリティベストプラクティスNIST SP800-190
Application Container Security Guide

・Image countermeasures
・Redistry countermeasures
・Orchestrator countermeasures
・Container countermeasures
・Host OS countermeasures
Source:NIST

7

NIST SP-800 190詳細
リスク

主な対策

イメージ

脆弱性、マルウェア
アクセス制御など設定の不備
平文シークレット情報の保持
信頼されないイメージ

コンテナに特化したイメージのスキャン信頼されたイメージのみを許可

レジストリ

不正アクセス
古く脆弱性の残ったイメージ

レジストリ通信は暗号化
古いイメージを削除、タグ付けし区別無制限の特権アクセス
異なる機密度レベルのワークロードの混在

必要性に応じた権限付与
機密度レベルに応じてグルーピング

コンテナ

ランタイムの脆弱性
無制限なネットワークアクセス
野良コンテナ
Appの脆弱性

脆弱性スキャン
Appの挙動のホワイトリスティング

ホストOS

カーネルを共有するリスク
OSコンポーネントの脆弱性

コンテナ特化のHost OSの利用
ホストOSセキュリティ

オーケストレータ

8アジリティとセキュリティの両立
シフトレフトセキュリティテストの自動化

セキュリティ
テスト

CodeBuild

Test

Release開発初期段階でセキュリティテストを実施

CIツールなどと連携

9

コンテナセキュリティ製品を選ぶポイント
・DevOpsツールチェーンとの連携-コンテナの目的は開発ライフサイクル改善、セキュリティが足かせになってはいけない-DevOpsツールと連携しテストの自動化とシフトレフトが重要

・様々なプラットフォームをサポート-コンテナは可搬性が高い-OS、オンプレ/クラウド問わずサポートしていることが重要・コンテナの特性に対応している-ライフサイクルが早い、レイヤー構造などの特性がある-レガシーなスキャナでは対応できない可能性あり
従来のネットワーク・ベースおよびホスト・ベースのセキュ
リティ・ソリューションは、コンテナを認識できない-Gartner
10商用コンテナセキュリティ製品プレーヤー
新興系コンテナ特化

脆弱性スキャン

エンドポイントAV

11

Aqua Security Softwareについて■事業：コンテナ向けセキュリティ製品を提供■設立 : 2015年■本社 :イスラエル Ramat Gan■社員数 : 100名

■マネージメントチーム :Dror Davidoff
Co-Founder and CEO
元McafeeAmir Jerbi
Co-Founder and CTO
元CA Technologies

Michael Cherny
Chief Architect
元Imperva

Liz Rice
Technology Evangelist

12Aqua Security Softwareについて
戦略的パートナーシップ

組織
出身企業は多岐に渡る

出資関係
Microsoft Ventures | Lightspeed | Shlomo KramerPartners

 Boston San Francisco| TLV

 Tel Aviv

13

DevSecOpsの実現
セキュリティチェックの自動化とイメージの探知を開発初期段階で実施（シフトレフト）

イメージの暗号化ハッシュを生成

開発
Build
承認されていない マルウェア
ベースイメージ

OSS
ライセンス

既知のCVEs(脆弱性)イメージの追跡で一貫性を保証

出荷

運用
Run

ハードコードされたシークレット

脆弱性、マルウェア、OSS、シークレット、ベースイメージ
ポリシーをスキャン/及びコン
フィグチェック

新たなCVE（脆弱性）の定期的なスキャン、コンプライアンスチェックのカスタマイズ

承認されてないイメージのブロック、イメージリスク
ポリシーの強制14

Aquaのフルライフサイクル
開発
CI/CD Image Scan

運用

出荷
Registry Image Scan
Image Assurance

Runtime Protection
Container Firewall
Threat Mitigation
Secrets
Host Scanning
User Access ControlCompliance15

Aqua コンポーネント

16すべての環境でアプリを守る
Aquaのソリューション：一度の導入で、あらゆるプラットフォームに対応-セキュリティはアプリと共にインフラを移動✓ Linux と Windows コンテナ

✓ 全てのオーケストレータ： Kubernetes,

OpenShift, DC/OS, Docker Swarm
アプリ #1

アプリ #2✓ クラウド or オンプレ：AWS, Azure, GCP,

IBM cloud, VM環境
✓ CaaS： AWS Fargate と Azure ACI✓ マルチテナント管理✓ Coming Soon…：

Pivotal Cloud Foundry対応

17

Aqua社の3つのアプローチ18

ソフトバンクコマース＆サービスについて19

ソフトバンクC&Sの位置づけ

国内通信事業

スプリント事業

ソフトバンクグループ

流通事業

2014年4月、ソフトバンク※のコマース＆サービス部門を分社化し設立
ヤフー事業

ARM事業
その他

※当時はソフトバンクBB株式会社

20

法人ICT事業

事業概要

幅広い商品と長年の実績で、ICT流通を支える販売パートナー

取り扱いメーカー

取り扱い商材

全国

10,000 社 40,000 拠点
4,000 社

400,000 点以上
21コンテナの盛り上がりとC&Sの取り組み
コンテナ化されたアプリの数

500億・90万種類
製品拡充

幅広いニーズに答える
新しいDevOps製品を検討中

爆発的な利用者の増加

156,000%(2014年比)DevOpsコンテナが広く利用され始める

2014

s

北米での技術調査、ソリューション検討開始

2015

2016

コンテナ製品を含むDevOpsソリューションとして販売開始

2017

2018

2020

22

SBC&S DevOps 製品ポートフォリオ
コンパイラとライブラリ
コードバージョン管理

開発環境

継続的インテグレション・デリバリ(CI/CD)

デザイン

テスト向けのツールセット

コラボレーション
プロフェッショナルサービス

AI (開発支援)
ビッグデータ(NoSQL/処理基盤)
インフラストラクチャ・
プラットフォーム

セキュリティ

自動化・構成管理

ログ収集・運用監視支援23

https://licensecounter.jp/devopshub/• DevOps専用のオウンドメディア• 有識者の情報発信 + 事例公開24

製品購入やサービスに関するお問い合わせは、担当営業もしくは、以下窓口までお願いいたします。
DevOps相談窓口

SBCASGRPDevOps@g.softbank.co.jp