コンテナ、API、セキュリティ：ルール2

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

もう#LockTheDoorしよう

これまでの経験からすれば、セキュリティに関して驚くことなどもう何もないと思われるかもしれません。

驚いたというより、むしろ失望したのかもしれません。

ごく基本的なセキュリティ原則すら守られていないことに失望しています。たとえば、ドアに鍵をかけるといったことです。

最近のLaceworkのレポートは、セキュリティにおける一般的な基本原則の1つを改めて確認する必要性を浮き彫りにしました。

管理コンソールを開放したままにしてはならない

インターネットをスキャンしたこのレポートでは、「21,000を超えるコンテナオーケストレーションおよびAPI管理システム」がアクセス可能な状態にあることが判明しました。

その95%がAWS上で稼働していたことを考えれば、それ自体は懸念すべきことではありません。パブリッククラウドにコンテナやAPIゲートウェイをデプロイする場合、それらを管理できる必要があります。その管理には、何らかの運用コンソールを使用するのが一般的です。

懸念すべきなのは、そのうち300を超えるダッシュボードが、認証情報なしでアクセスできる状態だったことです。

この存続に関わるリスクを指摘しているのは、Laceworkのレポートだけではありません。2017年5月には、RedLock Cloud Security Reportが、認証情報を必要とせずにインターネット経由でアクセスできるKubernetes管理コンソールが数百件存在するとの調査結果を公表しています。

つまり、これは新しい問題ではありませんが、普及がさらに加速する前に先手を打つ必要があります。攻撃者は、こうした公開コンソールを利用して独自のコンテナを起動し、ビットコインのマイニングやボットの実行など、さまざまな不正行為を行うことがあります。必ずしもデータを狙っているわけではなく、無料で使えるコンピューティングリソースと、インターネット上の拒否リストでまだブロックされていない新たなIPアドレス群を求めているのです。

さらに攻撃者は、こうした環境であまりにも頻繁に見られる、制限のないアウトバウンドアクセスも狙っています。RedLockの最新レポートによると、「セキュリティグループに関連付けられたリソースの85%では、アウトバウンドトラフィックがまったく制限されていません。これは、1年前の80%から増加しています」。アウトバウンドトラフィックが制限されていないため、RedLockチームが監視するAmazon上のホストの約39%で、「インスタンスの侵害または攻撃者による偵察に関連するアクティビティパターン」が確認されたことも不思議ではありません。

WebまたはAPIベースのコンソールを運用している場合は、その種類を問わず、厳重に保護する必要があります。少なくとも、認証情報の入力を必須にしてください。

組織には、圧倒されるほど多くのセキュリティルールやチェックリストがあります。しかし、そのほとんどは、次の3つの基本的なセキュリティルールに集約できます。

1. ユーザー入力を信頼してはならない。 決して。

2. 認証情報をハードコードしてはならない。決して。

3. 管理コンソールを開放したままにしてはならない。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事