コンテナセキュリティ コンテナ化されたアプリケーションを保護する要素技術

コンテナセキュリティのスペシャリストが執筆した解説書。コンテナのセキュリティの要素技術を学ぶことができる。コンテナの仕組みと危険性・脆弱性 (開発時に注意すべき箇所)、その対策方法がわかる。

『コンテナセキュリティ コンテナ化されたアプリケーションを保護する要素技術』は、Liz Rice の Container Security の日本語版で、コンテナを支える Linux の仕組みを一つずつ検証しながら、セキュリティリスクの評価と対策の選び方を学ぶ解説書です。日本語版は株式会社スリーシェイクが監修し、水元 恭平、生賀 一輝、戸澤 涼、元内 柊也の 4 名が翻訳して、インプレスから 2023 年 4 月 12 日に発売されました (NDL の書誌は 2023 年 4 月刊)。版元は対象読者として、コンテナのセキュリティの要素技術に興味がある人と、コンテナ化を行う開発者 / 運用者を挙げています。

全 14 章と付録、Linux の仕組みからネットワークまで

本文は全 14 章と、付録 A「セキュリティチェックリスト」です。前半は Chapter 2「Linux システムコール、パーミッション、capability」、Chapter 3「コントロールグループ」、Chapter 4「コンテナの分離」、Chapter 5「仮想マシン」と、コンテナという仕組みを Linux の機能に分けて見ていく章が並びます。続く Chapter 6「コンテナイメージ」と Chapter 7「イメージに含まれるソフトウェアの脆弱性」でイメージを、Chapter 8「コンテナ分離の強化」と Chapter 9「コンテナエスケープ」で分離を強める側と破られる側を取り上げます。Chapter 10 以降は「コンテナネットワークセキュリティ」「TLS によるコンポーネントの安全な接続」「コンテナへのシークレットの受け渡し」「コンテナのランタイム保護」と運用の場面へ移り、最終章の Chapter 14 はコンテナと OWASP トップ 10 の関係を扱います。監訳者のことばには「後半では、Kubernetes のセキュリティを取り扱います」とあり、単体のコンテナから始めて、オーケストレーションの環境へ視野を広げる並びと読めます。

設定の理由をカーネルの機能から説明できるようになる

コンテナは仮想マシンとは違い、ホストと同じカーネルの上で動く普通のプロセスです。プロセスから見える範囲を区切るのが namespace、使える資源の上限を決めるのが cgroup で、この 2 つの組み合わせについては用語集の Namespace と cgroup で概要を確かめられます。さらに、プロセスがカーネルへ出す要求である システムコール を、capability や seccomp のような機能で絞り込むことで、侵害されたときの被害の範囲が決まります。root で動かす、特権を付ける、ホストのディレクトリをマウントするといった設定がなぜ危険なのかは、こうした仕組みが分かっていないと説明できません。監訳者のことばも、本書は「コンテナを構成する Linux の要素技術から解説し、コンテナの仕組みを把握したうえで、根拠に基づいたセキュリティ強化を行えるよう理解を促します」と位置づけています。Chapter 5 に仮想マシンの章が置かれているのは、隔離の強さを比べる物差しを持たせるためと読めます。

kubectl と docker を使う開発者 / 運用者に向く前提知識

版元のニュースリリースは、kubectl や docker でコンテナを動かし、ps や grep などの Linux のコマンドラインツールを使っていれば、すぐにでも始められると案内しています。コンテナを日常的に扱っていても、その下で何が起きているかを説明する機会が少なかった人ほど、得るものが多い構成です。著者は、版元の著者紹介では Aqua Security 社で Trivy などのオープンソースのプロジェクトを統括したと紹介され、発売に先立つニュースリリースでは Isovalent 社の Chief Open Source Officer と紹介されています。一方で、監訳者のことばは、本書の技術はコンテナを使うときに必ずしも必要なものではなく、Docker や Kubernetes の公式ドキュメントやベストプラクティスに従うだけで十分な場合もあると率直に書いています。推奨設定をすぐに当てはめたいだけなら、公式の資料で足りることもあります。

新しく公表されたコンテナの脆弱性が自分たちの環境に効くのかを判断したい人や、OWASP のような Web アプリケーションの観点と、コンテナの設定を結びつけて点検したい人にとって、要素技術から順に積み上げる本書は、手元の設定を見直すときの拠り所になります。版元の書籍ページには正誤情報も掲載されているので、あわせて確認しながら読み進めてください。