クラウドに潜むコンテナの危険性

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

レポートにより、パブリッククラウド環境でKubernetesダッシュボードに制限なくアクセスできるほか、その他の重要インフラストラクチャの認証情報が平文で保存されていることが判明しました。

たいていの人は、少なくとも留守にするときはドアに鍵をかけます。帰宅したら、見知らぬ誰かがソファでくつろぎながらNetflixを見ていて、自分なら絶対に見ないジャンルを視聴したせいで、「おすすめリスト」の表示を決めるアルゴリズムがすっかり狂っていた、などという事態は誰も望まないでしょう。想像するだけでも恐ろしい話です。

そのため、次の事実には驚かれるかもしれません。犯罪統計によると空き巣の約30%は、開いている、または施錠されていない窓やドアから侵入しています。

テクノロジーに目を向けると、RedLock CSIチームの最新レポートでも、同様の「開いたままの窓やドア」が見つかります。RedLockは、クラウド環境を可視化する、クラウドベースでAPI対応のインフラストラクチャセキュリティ監視プラットフォームです。いわば、クラウド版のADTです。この最新レポートは、顧客環境の分析に基づいています。12 PBのネットワークトラフィックを処理する100万以上のリソースが評価されました。セキュリティ上避けるべき問題が数多く見つかりましたが、特に目を引いたのは次の点です。

残念ながら、平文の認証情報が見つかったことは驚くべきことではありません。2016年初頭に「新たな内部脅威：自動化フレームワーク」でこの問題を取り上げたことを覚えている方もいるでしょう。残念ながら、玄関を開け放したままにしているような状況では、コンテナ環境全体のアクティビティを認可するために平文の認証情報を使用することは、内部脅威であると同時に、同程度の外部脅威にもなり得ます。

さて、こうした無防備なダッシュボードは重要なものではなく、おそらく本番環境ですらなかった、と主張することもできるでしょう。単なるテスト環境や開発環境だったのではないか。後でアプリをコンテナ化するためのPOCで、単に忘れ去られたか、脅威とは見なされていなかったのかもしれません。しかし、このようなクラウド上の管理されていない環境は、クラウドの無秩序な拡大を招きます。その結果、予算が少しずつ圧迫されるだけでなく、ボタンを1回クリックするだけで無数のシステムを立ち上げられるシステムに、何の制限もなくアクセスできるというリスク以外にも、さまざまなリスクが生じます。

同じレポートでは、「ユーザーアカウントの14%は、認証情報が有効であるにもかかわらず、過去90日間にログインがなく、休眠状態にある」ことも明らかになりました。これは、クラウド上の相当数のリソースが管理されないまま放置され、アクティビティも監視されていない可能性が高いことを、さらに裏付けているようです。

ドアや窓の鍵を1か所でもかけ忘れると、リスクが高まります。物理的なセキュリティでは一般に、悪意のある人物がドアの状態を確認するには、実際に現場で確かめなければなりません。そのためには時間と労力がかかります。しかし、デジタルの世界ではその必要がありません。スクリプトでシステムをスキャンすれば、稼働中でアクセス可能なシステムをすべて検出し、その詳細を数秒でメッセージとして受け取ることができます。デジタル窃盗は実行のハードルが低いため、たった1つでもドアを開けたままにしておくことは、さらに危険です。

クラウドベース環境への緩やかではあるものの着実な移行は、ITのさまざまな側面に影響を及ぼしてきました。その中で、ほとんど言及されていないのが管理です。しかし、特に現在では、その多くがWebベースのインターフェースを介して提供され、探している人なら誰でもポート80に簡単にアクセスできるため、管理についても考慮すべきです。つまり、管理コンソールとダッシュボードのセキュリティは優先事項として考慮しなければなりません。これらのシステムは標準的なWebコンポーネントで構築されており、その多くはユーザー向けシステムと同じセキュリティ上の欠陥に対して脆弱です。クロスサイトスクリプティングやSQLi、デフォルトパスワード、バックドアからの侵入など、どのような問題であっても、アプリのデプロイに使用するシステムと環境の管理側をテストして保護するために、時間と予算を割かなければなりません（RFCでいう「MUST」に相当する必須要件です）。

ここで取り上げているのは「新しい」セキュリティパラダイムではありません。必要なのは、Webアプリの基本的なセキュリティ対策です。Webアプリへのアクセス制限は、20年近くにわたって実施されてきました。十分に確立された対策であり、開発環境やテスト環境だからというだけで安易に無視すべきではありません。

デジタルか現実世界かを問わず、侵入者は開いている扉が1つあるだけで、家全体に侵入できます。デジタルの場合、接続されたシステムは容易にスキャン、侵入、アクセスできるため、テクノロジーによって被害はさらに広範囲へ、より速く拡大します。

十分にご注意ください。管理コンソールやシステムのセキュリティを軽視してはいけません。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事