Kubernetes ランタイム セキュリティとは何ですか?
Kubernetes ランタイム セキュリティは、 Kubernetes上で実行中のコンテナ ワークロードを保護する一連のツール、プラクティス、およびテクノロジです。
言い換えれば、Kubernetes ランタイム セキュリティは、ワークロード保護とコンテナ セキュリティのサブカテゴリです。 Kubernetes ランタイム セキュリティは、コンテナのインスタンス化から終了までのセキュリティを扱います。 つまり、ランタイムセキュリティには、コンテナがルートとして実行されるかどうか(実行すべきではない)などが含まれますが、コンテナイメージのスキャンなどのトピックは対象としていません。
Kubernetes ランタイムのセキュリティの課題とリスク
現在、K8 上では非常に多くの種類のアプリケーションが実行されているため、コンテナや Kubernetes のランタイム セキュリティ リスクに対応する万能のセットはありません。 ただし、ほとんどの企業に共通する Kubernetes ランタイム セキュリティの一連の課題があります。
Kubernetes 上のランタイム コンテナのセキュリティに関連する 4 つの一般的なセキュリティ リスクを次に示します。
- 権限昇格:攻撃者が K8s 環境にアクセスし、より高い特権を持つユーザー (root など) に昇格することは、教科書的な Kubernetes ランタイム セキュリティの脅威です。
- K8 とコンテナの脆弱性: コンテナ自体に悪意がない場合でも、既知のエクスプロイトを備えた CVE に対して脆弱であることがよくあります。
ネイティブ Kubernetes ランタイム セキュリティ ツール
Kubernetes は、実行時のリスクを制限できる限られたネイティブ ツールとコントロールのセットを提供します。 これらには以下が含まれます:
- シークレット: K8s シークレットは、API キーやパスワードなどの情報を保存するデータ オブジェクトです。 Secretsを使用すると、企業は機密データをイメージやPodの仕様から遠ざけることができます。
- アドミッション コントローラー: K8s アドミッション コントローラーを使用すると、企業は Kubernetes API エンドポイントの変更 (読み取りではなく) を制限できます。
- ネットワーク ポリシー: Kubernetes ネットワーク ポリシーは、ネットワーク層とトランスポート層でポリシーを強制する従来の ALLOW および BLOCK ファイアウォール ルールに似ています。
- 監査ログ: 監査ログは、クラスターで発生したアクションの詳細を提供します。 たとえば、API アクティビティを監査できます。 これらのログにより、悪意のある動作の分析と検出が可能になります。
- RBAC : ロールベースのアクセス制御 (RBAC) を使用すると、管理者はエンティティのロールに基づいて K8s API アクセスを制限できます。
ネイティブの Kubernetes ランタイム セキュリティ ツールは、リアルタイムの脅威検出などのユースケースに直接対応していないため、多くの企業は、より堅牢なワークロード保護ツールに依存しています。
CloudGuard Workload保護による Kubernetes ランタイム セキュリティ
CloudGuard Workload Protection は、企業が Kubernetes コンテナーとサーバーレス機能に必要とする集中管理によるエンドツーエンドの保護を提供するプラットフォームです。
CloudGuard Workload Protection の利点は次のとおりです。
- アプリ全体のゼロトラスト セキュリティ: Kubernetes コンテナ、API、サーバーレス機能の保護。
- セキュリティ構成の自動展開:セキュリティ ポリシーを自動的に定義して展開し、人的エラーや構成ミスのリスクを軽減します。
- マルチクラウドおよびハイブリッド クラウドのサポート:クラウドとオンプレミス全体でセキュリティを確保します。
- コンテナイメージのスキャン: 脆弱なコンテナや悪意のあるコンテナをインスタンス化される前に検出します。
- リアルタイムのインシデント検出: 悪意のある動作をインテリジェントに検出することで、脅威が被害を受ける前に阻止できます。
- サーバーレス機能の動作防御:サーバーレス セキュリティにはコンテキストが必要であり、動作防御はサーバーレス機能の悪意のある使用をインテリジェントに検出できます。
CloudGuard Workload Protection の詳細については、今すぐコンテナ セキュリティ デモにサインアップしてください。 デモでは、IaC スキャン、自動化されたランタイム保護、すべてのクラウドにわたるセキュリティなど、主要なコンテナ セキュリティの概念について学びます。
Feedback