omuronの備忘録

個人的な備忘録

「JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 今知りたいコンテナセキュリティ」 #jawsug_ct_chiba 受講メモ

AWS 勉強会

JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 今知りたいコンテナセキュリティ

jawsug-container.connpass.com

セッション

コンテナ × セキュリティ × AWS

スリーシェイク 水元 さん

  • コンテナとセキュリティに分解して2つの観点で考える
  • コンテナとホスト間の分離の強化
  • コンテナ固有のセキュリティはあまりない
  • セキュリティの観点は従来どおり
  • リスクの大きさと対策コストから費用対効果を考える

リスクと対策コストのバランス考えるのは大事ですね。

アプリケーションエンジニアのための、コンテナセキュリティの全体像

AWS Ryota Yamada さん

speakerdeck.com

  • コンテナセキュリティの全体像 (NIST Special Publication 800-190)
    • イメージ、レジストリ、オーケストラ、コンテナ、ホストOS
  • アプリエンジニアはイメージ作成に特に注意
    • コンテナスキャン
    • ベースイメージは信頼のある軽量なイメージを使用
      • 実行時にパッケージをインストールしない
    • マルチステージビルドを利用する
    • hadolint を利用してベストプラクティスに基づくようにする
    • マルウェアスキャン
    • 平分で秘密情報を入れない
      • Dockle を使用して混入してないかチェックする
    • イメージの署名を検証
      • イメージタグではなくイメージダイジェストを使用する

hodolint と Dockle は後で調べる。

ECS on Fargate のセキュリティ対策は何をやるべき？ 開発者目線で考える

クラスメソッド 佐藤 さん

  • Fargate では何をすべきか？
    • Amazon Inspector 使ってスキャンする
      • 脆弱性 DB が更新時にチェックしてくれる
      • SecurityHub も利用
    • CI/CD にイメージスキャン組み込む
    • 読み取り専用のルートファイルシステムを使用

LT1 コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと

千葉支部運営 山口 さん

speakerdeck.com

  • すべての場所でスキャンしている
    • ローカル、GitHub、ECR、EKS/ECS、ホスト基盤(EC2)
    • ツール利用しないと無理
      • Snyk を利用、ホスト基盤以外できる
      • AWSなら、ローカル(CodeWhisperer)、ECR(Inspector)、ホスト(GuardDuty)はできる

エレベータピッチで LT 内容を説明しているのが素晴らしかった。

LT2 Lizさんに届け！AWS Jr.ChampionとTop Engineerが書籍コンテナセキュリティを読んで感じたこと

DWS 廣原さん、佐藤さん

2名で登壇予定が廣原さんはインフルエンザで欠席。お大事に。

LT3：FargateのPID namespace sharingを試してみた

釜田康平 さん

speakerdeck.com

  • PID namespace を共有することでサイドカーコンテナのプロセス監視、システムコールの監視が可能になる
    • ECS on EC2 は可能だったが、Faragte は不可だったが可能になった
    • Fargate のタスク定義で "pidMode": "task" として指定すると有効化できる
    • プロセスだけじゃなくてファイルシステムも共有できるので注意

セキュリティ的に有利な理由は、穴を開けなくてもコンテナ間でやり取りできるからということかな？

LT4：AWS CDKでコンテナイメージスキャンを行う〜ECRとその他の方法〜

k.goto さん

speakerdeck.com

  • CDK で簡単にコンテナイメージのビルドからプッシュまでできる
    • ビルド後にスキャンして、脆弱性があればプッシュしたくない
    • CDK 標準ではこの挙動ができないから作る
      • Construct Hub で公開
      • image-scanner-with-triby, image-scanner-with-dockle
      • 同期的な自作コンストラクト作成した

無ければ作ればいいって強すぎ。

所感

コンテナだとその範囲だけでしか被害を受けないからセキュリティ的にはちょっと強いかなと思ったりするのですが、一つのサーバーとしてちゃんと見てあげる必要がありますね。
ホストまで面倒見たくないし、やっぱり Fargate は良い。