コンテナイメージの脆弱性管理
Container Image Vulnerability Management
こんてないめーじのぜいじゃくせいかんり
コンテナイメージに含まれるOSパッケージやライブラリの既知の脆弱性を検出し、修正していく取組み。イメージスキャナを使ってビルド時、レジストリへの登録時、稼働中に継続して検査し、信頼できる最小構成のベースイメージを使う、署名で改ざんを防ぐといった運用を行う。稼働中のコンテナに直接パッチを当てるのではなく、修正版からイメージを作り直して入れ替えるのが原則。
Related
関連キーワードの用語
プログラムを実行せずに、ソースコードやバイナリを解析して脆弱性を検出する検査手法。SQLインジェクションやバッファオーバーフローにつながる危険な関数の使用や、入力値が無害化されずに出力に渡る経路などを見つける。開発の早い段階から自動で実行できる一方、誤検知が多く、実行時の設定や環境に起因する問題は見つけにくい。
ソフトウェアを構成するOSSやライブラリなどの部品の名称、バージョン、依存関係、ライセンスを一覧にした部品表。新しい脆弱性が公表されたときにSBOMと照合すれば、影響を受ける製品やシステムをすぐに特定でき、脆弱性管理を迅速にできる。SPDXやCycloneDXといった標準の形式があり、脆弱性が実際に悪用可能かを伝えるVEXと組み合わせて使われる。
多数のコンテナの配置、起動・停止、負荷に応じた台数の増減、障害時の自動再起動、ネットワークやストレージの設定などを自動で管理すること。Kubernetesが代表的なツールで、あるべき状態を宣言的に定義すると、その状態を維持するように制御される。
CPU、メモリ、ストレージ、ネットワークなどの物理的な資源を、ソフトウェアによって論理的に分割したり統合したりして利用できるようにする技術。物理的な構成に縛られずに資源を柔軟に割り当てられ、サーバ仮想化、ストレージ仮想化、ネットワーク仮想化などがあり、クラウドの基盤となる。
健康を保つための衛生習慣になぞらえて、情報システムを安全な状態に保つために日常的に続ける基本的なセキュリティ対策。資産の把握、修正プログラムの適用、不要なアカウントの削除、パスワードの適切な管理、バックアップ、ログの点検などを組織全体の習慣として行う。
テストや品質の確認、セキュリティ対策などを、開発工程の後ろ（右）ではなく、要件定義、設計、実装といった早い段階（左）に移して行う考え方。欠陥は早く見つけるほど修正の費用が小さいことを根拠とし、DevOpsやDevSecOpsで重視される。