コンテナの「死」を捉える：Kubernetesメモリフォレンジックの最前線
インシデントレスポンスの現場において、「コンテナは生き物ではない」という言葉をよく耳にする。だが、実態はもっと残酷だ。コンテナは「ゾンビ」のように振る舞い、事象が発生した瞬間にその形を消す。Kubernetes環境でPodが削除されれば、そのメモリ空間も、一時的に書き込まれたファイルも、攻撃者が仕掛けたバックドアの痕跡も、すべてクラウドの彼方へ霧散する。
本稿では、教科書的な「ログを転送せよ」といった生ぬるい話はしない。コンテナという揮発性の極致において、いかにして「真実」をキャプチャするか、その泥臭い技術論を展開する。
1. 揮発性との戦い：コンテナの「静止画」をどう切り取るか
コンテナのメモリフォレンジックにおける最大の難関は、ホストOSとコンテナ間の分離（Namespaces）にある。従来のメモリダンプツールをホスト側で走らせても、コンテナ内のプロセスがマッピングされたメモリセグメントを正しく解釈できるとは限らない。
攻撃者は往々にして、memfd_create を利用してファイルシステム上に実体を残さないファイルレス攻撃を仕掛けてくる。これを追跡するには、ノードレベルでの kprobe や eBPF を活用した「動的なフック」が必須だ。
実践：CRI-O/containerd 環境でのメモリキャプチャ
コンテナが削除される前に、その名前空間を維持したままメモリを抽出する手法として、gcore や LiME をコンテナのPIDに対して直接叩く手法があるが、本番環境ではノードの安定性を損なうリスクがある。現代のアーキテクトが採るべきは、サイドカーではなく、ノードレベルでの特権コンテナによる checkpoint/restore の活用だ。
# KubernetesのCheckpoint APIを利用したPodの瞬間凍結
# APIサーバーから直接Podのメモリと状態をイメージとしてエクスポートする
curl -X POST -k -H "Content-Type: application/json" \
https://<KUBE_API_SERVER>/pods/<NAMESPACE>/<POD_NAME>/checkpoint \
-d '{"path": "/var/lib/kubelet/checkpoints/dump.tar"}'
# これにより、プロセス状態を含むイメージが生成され、
# 後からオフライン環境で解析が可能になる。2. ログ収集の盲点：プロトコルスタックの深層を見る
多くのSOCアナリストが「ログ」と呼んでいるものは、アプリケーションが出力した標準出力に過ぎない。しかし、攻撃者はカーネルレベルのソケット操作や、LD_PRELOAD を使った共有ライブラリのハイジャックを行う。
監査の観点で重視すべきは、seccomp プロファイルによるシステムコール制限と、それを逸脱した際の通知だ。例えば、攻撃者がコンテナ内で execve を試行し、reverse shell を確立する際、通信プロトコル層ではどのようなパケット構造になるか。
eBPFによるネットワーク可視化のコード例
以下のコード（簡易的な bpftrace スクリプト）は、コンテナ内からの不審な connect システムコールを捕捉し、プロセス名と宛先IPを抽出する。
# コンテナ内の不審なプロセスによる通信をリアルタイム監視
bpftrace -e '
tracepoint:syscalls:sys_enter_connect {
$task = (struct task_struct *)curtask;
printf("PID: %d, Comm: %s, Destination: %s\n",
pid, comm, str(args->uservaddr));
}
'
# このログをSIEMへ流し込み、正規のマイクロサービス間通信と
# 逸脱した通信（外部C2への接続など）を自動選別するガードレイルを築く。3. 次世代の脅威：プロンプトインジェクションとメモリの交差点
生成AIを組み込んだコンテナアプリケーションが増加する中、新たな脅威として「LLMに対するプロンプトインジェクションを通じたメモリ汚染」が浮上している。攻撃者は、アプリケーションのコンテキスト（RAGのキャッシュなど）をメモリ上で改ざんし、後続のユーザーセッションを汚染する。
これに対する防衛層には、以下のアーキテクチャが求められる。
1. メモリ隔離の強化: gVisor や Kata Containers を採用し、カーネル境界での分離を物理的に強固にする。
2. ガードレイルの埋め込み: 入出力のプロンプトを検証するプロキシ層で、シグネチャベースの検知ではなく、意味論的（Semantic）な異常検知を行う。
結論：防衛の深さは「見えないもの」を定義する力にある
コンテナフォレンジックの極意は、調査を始める前に「何を失うか」を定義しておくことにある。Ephemeral（一時的）なコンテナであっても、その実行基盤であるノードのカーネル構造、通信のコネクション状態、そしてメモリ内のヒープ領域は、インシデント発生時に確実な証拠となる。
「ログがあるから大丈夫」という甘えは捨てよ。メモリの生のダンプ、システムコールのトレース、そしてコンテナランタイムの checkpoint。これら低レイヤの技術を使いこなして初めて、高度化する攻撃者の背中が見えてくる。
次のインシデントでPodを強制終了させる前に、一呼吸置いてほしい。その「死」の瞬間に、何がメモリに残されているのか。それを保存する仕組みこそが、真のセキュリティアーキテクトの腕の見せ所なのだから。
コメント