ランタイムセキュリティ徹底解剖︕
デモで体感振る舞い検知

2023年6⽉15⽇
Sysdig Japan合同会社
Mac Kawabata

SourceRunスピーカー紹介川端 真
Mac Kawabata
兵庫県尼崎市出⾝
⽝好き、餃⼦の王将好き

職歴

職種

⼤王製紙

プラントエンジニア

ネットワンシステムズ

ネットワークエンジニア

EMC

ストレージエンジニア

Crossbeam Systems

セキュリティエンジニア

Nutanix

⽇本法⼈⽴ち上げ

Nimble Storage

⽇本法⼈⽴ち上げ

HPE

ストレージプリセールス⻑

AWS

ストレージスペシャリスト

Sysdigチャネル＆アライアンス責任者

2

Sysdigとは︖
WireSharkの作者、Loris Degioanniにより2013年に創業
可視化、トラブルシューティング、セキュリティの向上をより幅広い⼈々に届けるために、オープンな姿勢を貫くカルチャーの会社
Monitoring

Security

Yahoo!Japan、メルカリ、NTT-Data等、多くの国内ユーザー事例有り︕

ちょっと歴史の振り返り
境界がはっきりしていた時代
tcpdump /BPF

Ethereal

クラウド時代の始まり

Wiresharksysdigfalco

SnortDocker OSS登場

1993
Stateful Firewallの登場

1998

2003
WAFの登場

2008

2013

2018
Kubernetes登場

Snort (IDS)の登場
4

今までの境界型セキュリティ
ファイアウォールで守られた
明確な⼊⼝が存在した

侵⼊検知をする事でセキュリティが担保されていた

オンプレミス時代のスタンダード

境界の存在しない最先端環境のセキュリティ
クラウド事業者が外部との接続を保有
クラウドは世界中からのアクセスに晒されているサービスへのアクセスコントロー
ルはユーザー側の責任
怪しい振る舞いを検知するのもユーザー側の責任

攻撃⼿段の多様化により、もはや境界の定義は困難に。。。
6

境界のない世界では、強固な扉や鍵よりもセキュリティカメラが重要
不審な変更の監視
侵⼊者や内部からの不審な振る舞いの検知
迅速なアラートの検知と迅
速なアクションによる被害の最⼩化

振る舞い検知のデファクトスタンダードFalco

Sysdig, Inc. proprietary information | 8

Falco: クラウドネイティブ脅威検知のデファクトスタンダード

6,000万以上100社以上ダウンロード数

貢献企業

Falco エンドユーザー

幅広い業界での採⽤
Fargate ランタイムセキュリティ
gVisor サーバレスセキュリティ
シスフローのテレメトリーとセキュリティ

Defenderデータの収集
Data収集異常検出

Sysdig, Inc. proprietary information | 10

CNAPPとは︖

クラウドネイティブアプリケーション保護プラットフォーム（CNAPP）は、
l クラウドセキュリティポスチャ管理（CSPM）、
l クラウドワークロード保護（CWP）、
l クラウド基盤権限管理（CIEM）、
l クラウド検知/レスポンス（CDR）
これらのセキュリティの機能を1つのセキュリティプラットフォームとして統合し、それによりDevOpsはセキュリティをネックとせずにアプリケーションを迅速に出荷できる⼀⽅、セキュリティチームはリスクを管理し攻撃を防御できるようになります。

CNAPP ≒ CWPP + CSPM

＊出展︓Gartner Market Guide for 2023 – 6 key takeaways

Sysdig, Inc.
proprietary
information | 11

クラウドネイティブセキュリティ4つのポイント

87%
CWPP

CIEM
(CSPM?)のコンテナイメージがhigh⼜は critical の脆弱性を保有

リスク管理と開発者の負荷軽減のバランスが課題

クラウドアクセスに関する権限の可視化が複
雑で困難

90%

15%の侵害がクラウドの設定ミスが起因*
設定ミスがセキュリティとコンプライアンスリスクの要因に脆弱性管理

設定管理

ID＆アクセス管理

脅威検知及び対応の割り当て済みクラウドパーミ
ッションが実際には使われていない

72%

SOCチームがインシデント
解析に必要な⼗分な情報の取得がクラウドやコンテナ
では困難

PM⇧
CSPM

CWPP
CDRのコンテナが5分以下で消滅

Sysdig 2023 Container Security and Usage Report*IBM 2022 Cost of a Breach report

何をしようが攻撃は受けます

軍隊

国家

組織化されたプロ
13

では完全にお⼿上げなのか︖

14

現実世界同様、攻撃には偵察が必要

MITRE ATT&CK って知ってますか︖

Falco MITRE Rule Matrix
Execution

Persistence

Privilege EscalationDefense Evasion

Credential AccessDiscovery

Lateral Movement

Exfiltration

DB program
spawned process

Modify Shell
Configuration File

Launch Privileged
Container

Clear Log Activities

Read sensitive filetrusted after startup

Read Shell
Configuration File

Launch Privileged
Container

System procs
network activity

Run shell untrusted

Schedule Cron Jobs

Non sudo setuid

Delete Bash History

Read sensitive file
untrusted

Read ssh
information

Launch Sensitive
Mount Container

Interpreted procs
inbound network
activity

Terminal shell incontainer

Update Package
Repository

Search Private Keys
or Passwords

Read sensitive file
untrusted

Launch DisallowedContainer

Interpreted procs
outbound network
activity

Netcat Remote
Code Execution inContainer

Write below binary
dirWrite below
monitored dirContact K8S API
Server FromContainer

Unexpected UDP
Traffic

Write below etc
Write below root
Write below rpm
database

Launch Suspicious
Network Tool inContainer

Launch Suspicious
Network Tool inContainer

Modify binary dirs
Mkdir binary dirs

Launch Suspicious
Network Tool on
HostLaunch Suspicious
Network Tool on
HostUser mgmt binaries
Create files below
dev
Launch Package
Management
Process inContainer
Remove Bulk Data
from Disk
Set
Create Hidden Filesor Directories
Setuid or Setgid bit

sysdig mitre で検索︕

デジタル世界のセキュリティカメラ
オープンテクノロジー

エージェントベース

リアルタイム
脅威検知

DEMO

19

Cloud and Container Security
from Source to Run