EKSのようなコンテナ技術を活用する環境におけるセキュリティの側面を明確に理解し、潜在的な脅威を識別する方法を理解するために申し込み、当該ワークショップを通じてEKSおよびコンテナにおける脅威の検出方法を理解するために参加しました。セッションの概要紹介AWSが管理するコンテナサービス、コンテナセキュリティ、脅威検知/モニタリングサービス、マルチアカウントアーキテクチャについての簡単な説明とHands-onを行ったセッションです。2028年までにグローバル組織の95%がコンテナ化されたアプリケーションを実行すると予測されています。(EKS)を重点的に取り上げました。このセッションでは、コンテナのセキュリティに関するいくつかの重要なベストプラクティスを紹介します。マルチアカウントアーキテクチャーを導入し、複数の環境と事業部のワークロードを分離し、最小権限の原則を適用することが強調され、コンプライアンスとセキュリティを強化するための重要なステップとして言及されました。自動化の重要性が強調され、特に大規模システムでは、多数のAWSアカウントを効果的に管理するために自動化を積極的に活用する必要があり、中央集権的なロギングアカウントを設定し、変更不可能な場所にログを保管することでセキュリティと監査を強化する方法も強調されました。セキュリティを強化するためにすべての層に深層防御を適用することが重要であると強調され、これにより様々なセキュリティ作業を効率的に行うことができると説明します。GardDutyとIAMを活用してPodスキャンと適切なIDとアクセス管理を実装し、検知制御とセキュリティハブを活用してセキュリティ脅威に対応する方法について説明します。Hubの基本的な概念を説明しました。Configルールを有効にします。Configリソースのセクションでリソースのタイプを選択し、EKSを入力して関連するすべてのEKSリソースのタイプを確認します。Configを使用すると、管理者と監査人は、時間の経過に伴う構成変更を確認することができます。Configルールを使用して、コンプライアンス違反の構成に対してトリガーすることができます。Secretを暗号化するように構成されていることを確認する)の3つのルールを作成します。このモジュールでは、事前に構築されたエンドツーエンドのアーキテクチャを使用してkubescape(オープンソースの脆弱性スキャンツール)をインポートします。Hubにスキャンします。Hubをガラス窓として分析できるように結果が自動的にアップロードされます。HubにマッピングするためにLambda関数を配布し、この結果を保存するためにS3バケットを生成しました。Hubからその結果を取得するように構成します。Hub>Findingsで確認すると、Kubescapeで取得した結果を確認することができます。Hubを使用してEKSコンプライアンスをモニタリングする。Hubは、AWSリソースに対して自動化された継続的なセキュリティベストプラクティス検査を実行するクラウドセキュリティ状態管理サービス(CSPM)です。Hubは、さまざまなAWSサービスやパートナー製品からのセキュリティアラートを標準化された形式で集約することで、より簡単に対策を講じることができます。Hubを他のAWSサービスの結果(GuardDuty、Inspector、Configなど)を集約するツールとして使用しました。Hubが有効になっていることを確認します。Configを有効にする必要があります。Benchmarkなどが基本的に有効になっていることを確認することができます。すべてのコントロールで構成して表示し、失敗の原因となるリソースを確認することができます。Inspectorは、AWSワークロードのソフトウェア脆弱性と意図しないネットワーク露出を継続的に検査する脆弱性管理サービスです。Lambda関数を自動的にスキャンし、既知の脆弱性の評価を即座に開始します。Registry(ECR)に保存されているコンテナイメージからソフトウェアの脆弱性をスキャンし、パッケージの脆弱性結果を生成します。ECRの高度なスキャンを有効にします。Inspectorが提供する拡張スキャンを有効にして、レジストリレベルでオペレーティングシステムとプログラミング言語パッケージの両方の脆弱性スキャンを行います。ECRコンソールで拡張スキャンを使用して見つかった結果を確認できます。Hubを使用してInspectorの結果を確認することができます。特定された脆弱性は、詳細を確認して対策を進めることができることを確認することができます。CodePipelineを使用してDevSecOpsパイプラインを構築します。ECRにPushされたコンテナイメージに対する自動化された脆弱性検索サービスと通知サービスを提供します。Inspectorを使って脆弱性検索や通知サービスを確認してみました。SNSを使って承認リクエストを送信し、接続されたLambda関数は応答に必要な情報を保存します。Inspectorのスキャン結果を受け取り、配布を許可するかどうかを判断し、結果をパイプラインに提出します。ECSクラスターにデプロイしてパイプラインを成功で完了し、拒否された場合、失敗に設定されます。意図的な脆弱性があるドッカーファイルの基本イメージを編集して他の公開イメージでnode.jsをビルドした後、コードを配布しました。数分後、このコンテナイメージの確認された脆弱性により、コンテナの脆弱性評価に失敗した失敗段階が表示されることを確認しました。失敗したステップの詳細を確認すると、画像の詳細と重要な脆弱性閾値である0を超えたことを示すコメントが表示され、どのような重要な脆弱性が発見されたかを特定する必要があります。コンテナイメージの初期ビルドから現在(最新)までの記録と結果がどう落ちたかを確認することができます。Function環境変数に定義されたしきい値を超えてApproval段階が拒否されたことが確認できます。公開Repoから脆弱なイメージを取得した後、コンテナイメージを更新するためDockerファイルを更新します。Repo)でドッカーファイルを開き、先ほどと同じようにファイルを更新します。その後、リポジトリに更新をコミットします。パイプラインが実行されることを確認し、コンテナの脆弱性評価段階を確認します。Clusterにデプロイされることが確認できました。その後、Inspectorなどを確認して脆弱性を確認し、対策することができます。Service(プレビュー)に保存されているデータを保護するために、悪意のあるアクティビティや不正行為を継続的に監視する脅威検出サービスです。EKSクラスターを保護するのに役立つ脅威検知範囲を提供します。EKS保護には、EKS監査ログモニタリングとEKSランタイムモニタリングが含まれます。APIを使用するアプリケーション、およびコントロールプレーンの時系列のアクティビティをキャプチャします。EKSノードとコンテナから潜在的な脅威を検出するのに役立ちます。Monitoringが有効になっていることを確認します。GuardDutyエージェントをEKSクラスターに自動配布できるように設定を更新します。探して活性化を進めます。GuardDutyエージェントのインストールをEKSクラスターに自動でPushします。RuntimeメニューでEKSランタイムモニタリング保護のために正常な状態であることを確認することができます。上の図のようにGuardDutyで潜在的な脅威として検出されたEKSに対する結果が生成されることが確認できます。GuardDutyランタイムエージェントを有効化しました。EKSの追加機能を使って配布されます。機能を使って配布されます。GuardDutyセキュリティエージェントは、システムイベントタイプを収集し、脅威の検出と分析のためにGuardDutyバックグラウンドでGuardDutyバックエンドに送信し、脅威の検出と分析を行います。GuardDutyはこれらのイベントにはアクセスできません。GuardDutyが潜在的な脅威を検出し、EKSランタイムモニタリング結果を生成すると、その結果の詳細を見ることができます。その結果の詳細を見ることができます。今回のモジュールでは、ポッドに仮想通貨実行ファイルをインストールして実行し、一つのEKSランタイム脅威をシミュレートします。シミュレーションし、これにより、様々な脅威となる結果が発見されます。上記の内容を見ると、実行した仮想通貨マイニングコマンドによってトリガーされる2種類のCryptoCurrencyの結果があることが確認できます。詳細にImpact:Runtime/CryptoMinerExecutedの結果やインスタンスに関する情報などの結果を確認して分析することができます。Detectiveの紹介も行いました。Detectiveは、AWSリソースからログデータを自動的に収集し、セキュリティの結果や疑わしいアクティビティの根本原因を分析、調査、迅速に特定するのに役立ちます。グラフ理論を使用して、より迅速かつ効率的なセキュリティ調査を行うのに役立つ可視化を生成し、事前に構築されたデータ集計、要約、およびコンテキストは、考えられるセキュリティ問題の性質と範囲を迅速に分析および決定するのに役立ちます。EKSのユーザー、アプリケーション、コントロールプレーンから時系列のAPIアクティビティをキャプチャします。VPCフローログを使用するネットワークアクティビティを自動的に相関させます。Clusterの結果を詳細に確認することができます。Detective」により、Detectiveで詳細な調査が可能です。ATT&CKを確認することができ、様々な脆弱性の確認と管理に役立ちます。Hub、Inspector、GuardDuty、Detectiveを活用した戦略的なアプローチが重要だと判断され、効果的に組み合わせて自動化すれば、強力な侵害事故対応体系を構築できると思います。