Agentを使ってみる1公開日2016年10月31日この記事の内容は公開されてから1年以上が経過しております。情報が古い可能性がありますので、ご注意ください。SecurityをDocker環境で使えますか?」というご質問を頂くことが多くなりました。Securityの利用を検討頂いたり、実際にご利用頂いているケースも出てきました。Securityをどのように使えるかをお伝えします。前提に記載しています。Securityをご利用頂くための条件をあらためて確認しておきます。Securityは利用することができません。これらEC2以外のサービスに対してのセキュリティ対策については改めて書きたいと思います。Securityのすべての機能を利用することが可能です。Agentは、EC2インスタンスを防御するホスト型のセキュリティソフトウェア(コンポーネント)となります。そのため、他のIaaSサービスやオンプレミスの環境でも同様に利用することができます。(ライセンスもサービス毎に変わりはありません。当然のことながら、DockerホストをDSAの機能で保護をすることはできます。9.6では制約があります。Securityの関係を見て頂くと分かる通り、DSAはDockerホスト上のアプリケーションとしてインストールされ、OSのカーネルと連携をしてファイルI/Oのフック、ネットワークドライバ経由の通信のキャプチャを行います。そのため、Dockerエンジン上で稼動する各コンテナの内部の挙動を直接ハンドリングすることができません。セキュリティログ監視Dockerホスト上での不正プログラム対策、ファイアウォール機能についてはサポートしておりません。(完全に動作しないわけではありませんが、製品動作上の不具合、設定上の問題が発生する可能性があります。Dockerホスト上のOS、アプリケーション、Dockerコンテナ上のアプリケーションに対する通信について、インバウンド/アウトバウンド双方の通信について防御が可能です。以下の点については留意が必要です。ホスト上でDockerを起動すると、コンテナとの通信を確保するためにiptablesが有効となりNAT機能(IPマスカレード機能)が有効化されます。DSAをLinuxホストにインストールして、侵入防御機能をONにする際にはデフォルトではDSAがiptablesを無効化する挙動を行いますので、DSAインストール前にiptablesを無効化させないオプションを実行しておく。DSAはDockerホスト上で稼動するため、Dockerコンテナ内のアプリケーションなどを含めた推奨設定の検索は利用できない。ついては、いくつかの監視手法のみが利用できます。ついては監視することはできません。Securityの変更監視機能の仕様については以下をご参照ください。http://esupport.trendmicro.com/solution/ja-jp/1310032.aspxセキュリティログ監視セキュリティログ監視については、コンテナ上のアプリケーションログをDockerホスト上のディレクトリに出力するように設定されている場合に限り利用できます。Security9.6では、いくつかの制約はありますが、Dockerを稼動させているホストに対する保護を行うことが可能です。USサイトにも関連記事がありますので、ご覧ください。https://help.deepsecurity.trendmicro.com/using-deep-security-with-docker.htmlトレンドマイクロとしてもDocker環境に対する更なるセキュリティ強化については検討しております。Securityを導入する際の手順や留意事項、仕組みについてご紹介したいと思います。reserved.sXpIBdPeKzI9PC2p0SWMpUSM2NSxWzPyXTMLlbXmYa0R20xk。