CyberGlossary

クラウドセキュリティ

コンテナセキュリティ

別称: Docker セキュリティ, OCI コンテナセキュリティ

定義

コンテナイメージ・レジストリ・オーケストレーター、およびコンテナが実行されるランタイムを保護する一連の実践。

コンテナセキュリティは、OCI 互換コンテナ(Docker、containerd、CRI-O)のライフサイクル全体を対象とします。ビルド時には、CVE や埋め込みシークレットを検出し、Sigstore/Cosign で署名し、最小限のベースイメージを強制します。配布段階では、レジストリを認証付きアクセスと署名検証で保護します。ランタイムでは、ホストのハードニング、Namespace/cgroup による分離、seccomp、AppArmor、読み取り専用ファイルシステムなどで攻撃面を縮小し、Admission Controller や eBPF ベースのセンサーでポリシー適用と異常検知を行います。代表的なリスクには、特権コンテナ、hostPath マウント、脆弱なベースレイヤー、漏洩した資格情報、カーネル脆弱性を悪用したコンテナエスケープなどがあります。

例

  • CI で Trivy や Grype を用いてイメージを検査し、Kyverno や OPA Gatekeeper で特権 Pod を拒否する。
  • Falco が本番コンテナ内で起動されたシェルを検出する。

関連用語