ような政府機関がこの重要な技術を安全にする方法についてガイダンスを提供することは喜ばしいことです。このブログ記事では、ガイダンスの中で最も重要なポイントに着目し、それらをどのように実装するかについても解説します。環境に適用でき、価値のある内容となっています。運用している方や構築を計画している方は、このガイダンスを参考にして、攻撃に強い環境を構築してください。環境のセキュリティを確保するためのニュアンスをすべて把握している方はほとんどいません。多くのコンポーネントを悪用されやすい状態にあります。デプロイメントを堅牢化して、本番環境での安全性を確保することの利点と重要性を概説しています。環境のコントロールを幅広くカバーしています。ネットワークの分離や認証などの予防的な制御と、ロギングやモニタリングなどの攻撃の検知と対応に使用する検知的な制御をカバーしています。攻撃対象を減らしつつ、脅威が環境に侵入した際迅速に対応するためには、両者のタイプのコントロールを使用することが重要です。以下本ガイダンスの項目を掻い摘んで、説明していきます。(ネットワーク分離)これは、複数のアプリケーションをホストするクラスターにとって重要な制御です。ごとに、インバウンドとアウトバウンドのトラフィックを制限するためのデフォルトポリシーのガイダンスが含まれています。deny」ポリシーのアプローチは、必要なネットワークトラフィックのみをクラスター内で許可するための貴重な方法です。実装するには新しいクラスターを対象にするのが最も容易で、アプリケーションを設計する際には、ポリシーを後付けせずにネットワークフローを分析して、必要なネットワークポリシーを理解する必要があります。本番環境での使用には適していないため、外部の認証サービスを使用することの重要性が指摘されています。この項目で注目すべきもう1つの制御は、攻撃者によるクラスターリソースへの不正アクセスのリスクを軽減するために、クラスターから匿名認証を削除する必要があることです。Loggingこのガイダンスでは、ロギングとモニタリングについて、クラスター管理者がコンテナ環境を設計する際に考慮すべきいくつかの重要な領域を取り上げています。コンテナのロギングについては、ログを集中管理して安全に保管し、分析することの重要性が指摘されています。クラスターのトラフィックを分析して、攻撃を示唆するような異常がないかどうかを確認することも重要です。監査機能を有効にすることを推奨しています。介して行われたすべての活動を確認できます。監査ポリシーのサンプルは、大量のトラフィックを生成する可能性があるため、注意が必要です。いくつかのチューニングが必要になるでしょう。構築・導入する際には、コントロールプレーンを正しく設定して脆弱性を防ぐと同時に、クラスターにデプロイされたワークロードが適切に保護されていることを確認するためのコントロールを導入することが重要です。環境を標的とした脅威をどのように捉えているかを知る良い機会です。以下のような脅威に注意することを推奨しています。(サプライチェーン攻撃)このような攻撃では、システムを構成するあらゆる要素を危険にさらそうとします。クラスターの構築や管理に使用されるサードパーティ製ソフトウェアやベンダーが含まれます。システムやそれをサポートするコンポーネント、またはシステムがサポートするアプリケーションの脆弱性を利用して、通常は遠隔地からシステムを侵害することを目的とした、より伝統的な攻撃者です。悪意のある攻撃者は、金銭的な利益を得るためや損害を与えるため、あるいは敵対する国家を代表してシステムを攻撃することがあります。(内部の脅威)従業員やその他関係者は、しばしばシステムへの特権的なアクセス権を持っています。悪意のある関係者は、そのアクセス権限や特別な知識などを悪用して、個人的な利益のためにシステムを危険にさらします。気をつけたいことこれらのガイダンスは、コンテナセキュリティに関する他の多くのガイドラインと同様に、最新の開発状況を把握することの難しさを示しています。バージョンが明記されていないため、推奨事項がいつ古くなったのかを判断するのは難しく、実際、すでに古くなっているものもあります。関連するいくつかの推奨事項が含まれていますが、これはすでに非推奨となっています。Standards(PSS)を使用する方が、利用可能なオプションの多くをカバーしています。使用する必要があります。ガイダンスでは、コントローラマネージャーとスケジューラーのポートの古い安全でないバージョンについて言及しています。堅牢化推奨事項を支援する、あるいは完全に満たすことができる多くの機能が含まれています。機能により、以下のことが可能になります。ランタイム保護とワークロードセキュリティ機能により、以下のことが可能になります。ネットワークの分離を徹底し、侵入の際に攻撃者の到達範囲を狭める不要なネットワーク接続を制限するネットワーク通信が適切に暗号化されていることまとめ強力なセキュリティ要件がこれほど重要視されている時代はありません。ガイダンスは適切なタイミングで提供されています。環境に対する幅広い制御の利点を検証しています。ネットワークの分離や認証などの予防的な制御と、攻撃の検知と対応に使用できるロギングやモニタリングなどの検知的な制御の両方をカバーしています。環境のセキュリティを確保するための貴重な指針となりますが、完璧なものではありません。バージョンについて言及されていません。これは、推奨事項が特定のバージョンにのみ適用される可能性があるため、重要なポイントです。Production」をご覧ください。LABの情報を逃さずチェックしよう!メールアドレスを登録すると記事が投稿されるとメールで通知します。※登録後メールに記載しているリンクをクリックして認証してください。CNAPP:開発からクラウドへ、そして逆方向へ。LABの情報を逃さずチェックしよう!メールアドレスを登録すると記事が投稿されるとメールで通知します。※登録後メールに記載しているリンクをクリックして認証してください。