スッキリ、繋げて、コンテナセキュリティを得意分野に！ #3 コンテナのマルウェア対策の考え方

マルウェア混入タイミングと感染経路

マルウェアとは、悪意のあるソフトウェアや悪質なコードの総称で、ウイルス、ワーム、トロイの木馬などいくつかの種類があります。
ランサムウェアもそのひとつですが、コンテナ環境では、感染させた環境で不正に仮想通貨のマイニングを行うタイプのものが流行していました。
マルウェアは、実行ファイルを何等かのトリガーで起動することで実行されて、悪意のある行動が行われます。
このブログでは、ファイル実体を持たないファイルレスマルウェアの話も扱いますが、まずは従来型のファイル実体のあるマルウェアについて話をしていきます。

マルウェアの実行ファイルは、何等かの経路を辿って環境の中に混入します。
コンテナにおいて、マルウェアの混入タイミングと感染経路は次のようなことが考えられます。

①（デプロイ前）コンテナイメージにはじめから混入しているケース
感染経路：ベースイメージに混入、コンテナビルド（作成）時にビルド環境が侵害されて混入、使用するOSSやローカルファイルに紛れて混入など

②（デプロイ時）コンテナのデプロイ時に混入するケース
感染経路：DockerfileのENTRYPOINTで実行するスクリプトにマルウェアをダウンロードする命令が書かれているケースなど
（↑ コンテナイメージにマルウェア自体を含まず、コンテナ実行時に動作する挙動を悪用したケース）

③（デプロイ後）稼働中のコンテナのファイルシステム等に混入するケース
感染経路：脆弱性を突いて侵害後にダウンロードさせられるケース、アプリケーションのファイルアップロードで不正ファイル混入、悪意ある者にコンテナ操作をされる、コンテナに直接乗り込まれてファイルを置かれるケースなど

また、マルウェア混入タイミングや感染経路を考える上では、以下のように、コンテナを構成する各コンポーネントを思い浮かべるとよいでしょう。

そして、混入タイミングに違いがあるにせよ、共通していることとして、実際にマルウェアが活動をするのは稼働中のコンテナ環境であることです。
コンテナイメージ内に混入していても、コンテナとして動作しない限りはマルウェアも動き出さないということです。
上記のようなことを踏まえつつ、次にマルウェアの対策について見ていきましょう。

対策の種類と対策例の一覧

マルウェアの対策として直接的な対策と間接的な対策で分けてみます。
直接的な対策は、従来のマルウェア対策ソフトのように、マルウェアを検出して駆除するようなものとします。
一方、間接的な対策は、マルウェアそのものを検出するのではなく、マルウェアを配置・実行できなくしたり、マルウェア感染後の不審な挙動や最終目的の阻止をしたり、といった形で対策するようなものとします。

それぞれの対策で何ができるか、という点が大事になってきます。
例えば、マルウェアの検出はできるが駆除まではできない、異常を検知するがブロックはできない、従来の実行ファイル型のマルウェアはブロックできるがファイルレスマルウェアのブロックはできない、など。

また、別の観点では、対策を実施する場所やタイミングなども、対策によって異なります。
マルウェアが混入するタイミングとも関係しますが、コンテナイメージを事前にスキャンするなど、DevOpsの早い段階（シフトレフト）での対策も含まれます。

さらに、今回紹介するものの中には、ユーザの作り込みによる対策も多く含まれています。
コンテナにおいては、ユーザによるセキュリティの作り込みも重要な要素になっています。

興味深いことに、デプロイ後のコンテナを保護する対策も、対策自体を実装するタイミングは、設計段階やDevOpsの早い段階、デプロイ前の作り込みによるものがあるということです。
コンテナにおいては、シフトレフトでのセキュリティ実装が可能であり、そうすることで、リスクの早期発見、修正コストを最小限に抑えることなどにも繋がります。

感染タイミングや感染経路を鑑みると、マルウェア対策として重要なポイントは、デプロイ前で出来る限り対策しつつ、デプロイ後に混入するマルウェアのケアも大切という点です。

さて、ここで対策例の一覧を列挙します。このあとの章でそれぞれ詳細に触れることとします。

直接的な対策の例：
①コンテナイメージに対する静的スキャン
②コンテナイメージに対する動的スキャン
③稼働中のコンテナに対するリアルタイムスキャン
④その他ボリューム・ストレージに対するスキャン

間接的な対策の例：
①素性の知れないものをベースイメージや構成に含めない
②Distrolessの活用やマルチステージビルドで余計なものをイメージに含めない
③コンテナイメージの脆弱性スキャンを実施する
④ビルド環境をセキュアにする
⑤スキャン済イメージや信頼するイメージのみを利用することを確実にする
⑥Docker APIの公開設定の無効化やクラウドアカウントやオーケストレータ、ホストのアクセス制御
⑦コンテナをRead Onlyで動作
⑧稼働中コンテナの正規挙動以外を検出
⑨稼働中コンテナの不審な動作を検出
⑩コンテナの通信先を制限
⑪イメージに存在しないファイル実行の防止
⑫稼働中のコンテナに対する脆弱性を突いた攻撃を検出・ブロックする
⑬ネットワーク上で不審な通信を検出

対策例の詳細解説（直接的な対策）

対策例として、マルウェアを検出する直接的な対策をそれぞれ見てみます。

①コンテナイメージに対する静的スキャン

②コンテナイメージに対する動的スキャン

③稼働中のコンテナに対するリアルタイムスキャン

④その他ボリューム・ストレージに対するスキャン

対策例の詳細解説（間接的な対策）

続いて、マルウェア検出でない間接的な対策について見ていきます。
間接的な対策では特に、ユーザの作り込みに依存するものやコンテナ技術と関連する部分が多いため、周辺技術とともに見ていくことになります。

①素性の知れないものをベースイメージや構成に含めない

②Distrolessの活用やマルチステージビルドで余計なものをイメージに含めない

＜関連用語＞
Distroless：Linuxディストリビューション（ディストロ）で備えているシェルやパッケージマネージャなど、アプリケーション実行のみに不要なものを除いた、軽量なイメージ。
脆弱性を考慮する対象を減らす効果やマルウェア感染後などの挙動の制限などが期待できる。

マルチステージビルド：ビルド時に必要なものと最終的なコンテナ実行時（成果物）に必要なものが違うことに着目し、ビルド時のみ必要だったパッケージ管理ツールや中間ファイルを排除した、最小限のバイナリファイルと依存関係のみを含んだ軽量なイメージを作成するビルド手法。

③コンテナイメージの脆弱性スキャンを実施する

④ビルド環境をセキュアにする

⑤スキャン済イメージや信頼するイメージのみを利用することを確実にする

⑥Docker APIの公開設定の無効化やクラウドアカウントやオーケストレータ、ホストのアクセス制御

⑦コンテナをRead Onlyで動作

＜関連用語＞
Read Only：コンテナのファイルシステムを読み取り専用で動作させる。
これにより、悪意のある者によってファイルシステムに不正な書き込みがされることを防止。
コンテナでは不変性を維持することを良しとするため（イミュータブル）、永続的なデータはコンテナ外に保持することが望まれ、コンテナファイルシステム自体には基本的に書き込みしない。

⑧稼働中コンテナの正規挙動以外を検出

※正規挙動として登録しておくものの例：使用するシステムコールや起動プロセス、通信先など

⑨稼働中コンテナの不審な動作を検出

※不審な挙動って？：マルウェア感染や侵害行為の各フェイズごとに行われる攻撃と思われる挙動（MITRE＆ATTCK等も参照のこと）

⑩コンテナの通信先を制限

⑪イメージに存在しないファイル実行の防止

⑫稼働中のコンテナに対する脆弱性を突いた攻撃を検出・ブロックする

⑬ネットワーク上で不審な通信を検出

おまけ：ファイルレスマルウェアの対策

上記でも何度か出てきたファイルレスマルウェアについて、補足として説明していきます。
ファイルレスマルウェアは、ファイル実体を持たずにメモリ上で展開、悪意のある行為が実施されるマルウェアです。
これまで、Windowsのpowershellなどを隠れ蓑に、正規のプロセスに紛れて実行されてきました。
最近では、Linuxにおいてもファイルレスマルウェアが確認され、コンテナでも検出が見られています。

Linuxにおける主な流れは、脆弱性の悪用によりプロセスにインジェクションしてメモリ上にファイル作成⇒実行というものになります。
ファイル実体がないため、前までの章で紹介した対策例が有効打にならないことも多いです。
例えば、ファイル実体のあるマルウェア対策ではReadOnlyモードでの運用は非常に強力ですが、ファイルレスマルウェアは動作してしまうため、別の対策が求められます。

ファイルレスマルウェアの対策としては、以下のようなものが考えられます。
（上記の対策例の一部を含む）
対策例：
・ファイルレスマルウェア感染を実現可能な脆弱性をチェックするイメージスキャンの実施
・コンテナイメージにファイルレスマルウェアに感染させるような挙動が無いかをサンドボックス環境などで事前に確認
・メモリ上のファイルレスマルウェア感染に関連するイベント検知の仕組みの導入
・ファイルレスマルウェア感染経路としてのコンテナ間や外部との通信先の絞り込み
・ファイルレスマルウェア感染後の最終目的達成を阻止する出口対策としての不審な通信の検知・ブロック

まとめ

ここまでご覧いただき、ありがとうございます。いかがでしたでしょうか。
分量がだいぶ多くなってしまいましたが、全体感を捉えていただくためにひとつの記事として扱いました。
従来の対策としては単純なイメージのあるマルウェア対策ですが、コンテナにおいては多くの考慮ポイントがあったかと思います。

今回挙げているマルウェア対策はあくまでも例であり、特に間接的な対策についてはこの限りではないです。
列挙したすべての対策をするというよりも、どこを重点的にカバーするか、穴をどれだけ塞ぐことができるか等を意識して、多層防御でコンテナに対するマルウェア対策を検討いただければと思います。
重要なポイントは、デプロイ前で出来る限り対策しつつ、デプロイ後に混入するマルウェアのケアも大切という点です。
対策の具体的な方法については、今回の記事では扱っていないので、気になるものはWeb等でさらに調べてみてください。

また、これらの対策は対マルウェアだけでなく、他にもメリットをもたらすものとなります。
今後の記事においても上記で挙げた対策が再び登場することでしょう。
それぞれの対策について、他にどのようなメリットがあるか、ご自身でも考えを巡らせてみてくださいー！

コンテナにおけるマルウェア対策として、弊社Cloud Oneシリーズでは複数の製品で、こちらで扱った複数の対策を多層的に実施が可能です。