コンテナイメージの「鍵」をチェック！泥棒（脆弱性）からアプリケーションを守る自動監視術
皆さん、こんにちは！ サイバーセキュリティの世界へようこそ。突然ですが、皆さんの家には鍵がかかっていますか？ もちろん、かかっていますよね。泥棒に入られたら大変ですから！
実は、皆さんが日々開発しているアプリケーションも、この「家」と同じなんです。そして、そのアプリケーションが動く「コンテナイメージ」というものも、しっかり「鍵」をかけ、泥棒（脆弱性）から守ってあげなければなりません。
今日は、そんなコンテナイメージの「鍵」を自動でチェックしてくれる、とっても便利な「脆弱性スキャン」という技術と、それを開発の自動化プロセス（CI/CDパイプライン）に組み込んで、未然に危険を防ぐ方法について、皆さんの身近な例えを交えながら、分かりやすく解説していきますね。
コンテナイメージって、一体何？
まず、コンテナイメージについて、少しだけおさらいしましょう。
コンテナイメージは、アプリケーションとその実行に必要なすべてのもの（コード、ライブラリ、設定ファイルなど）をパッケージ化した「設計図」のようなものです。この設計図をもとに、いつでもどこでも同じようにアプリケーションを動かすことができるのがコンテナのすごいところなんです。
例えるなら、お弁当箱に詰める「おかず」と「ご飯」がセットになった「お弁当キット」のようなもの。このキットがあれば、いつでもどこでも同じ美味しいお弁当が作れる、というイメージですね。
泥棒（脆弱性）は、この「お弁当キット」にも忍び込む！
しかし、この「お弁当キット」の中身、つまりコンテナイメージも、知らないうちに「泥棒」に狙われることがあるんです。
「泥棒」というのは、ここでは「脆弱性（ぜいじゃくせい）」のこと。脆弱性とは、ソフトウェアの「弱点」や「セキュリティ上の欠陥」のことです。もし、この脆弱性を悪用されてしまうと、攻撃者は皆さんのアプリケーションに不正に侵入したり、データを盗んだり、サービスを停止させたりする可能性があります。
例えば、お弁当キットの中に入っている「調味料」に、賞味期限切れのものや、ちょっとした不純物が混ざっていたら…？ それをそのまま使ってお弁当を作ってしまったら、食中毒になっちゃうかもしれませんよね。コンテナイメージの脆弱性も、これと同じようなリスクがあるんです。
窓ガラスのひび割れ、ドアの隙間…「脆弱性」の見つけ方
では、どうやってこの「泥棒」（脆弱性）を見つけ出すのでしょうか？
家の防犯で考えると、まず窓ガラスにひび割れがないか、ドアに隙間がないか、などをチェックしますよね。
コンテナイメージの脆弱性スキャンも、これと似ています。イメージの中に含まれる、OSのパッケージやライブラリ、アプリケーションの依存関係などを、あらかじめ知られている脆弱性のリストと照らし合わせることで、「この部分に弱点がありますよ！」と教えてくれるんです。
頼れる「鍵屋」さん：TrivyとClair
ここで登場するのが、コンテナイメージの脆弱性を自動でスキャンしてくれる、頼れる「鍵屋」さんたちです！
今日は、特に人気のある「Trivy（トリヴィー）」と「Clair（クレア）」というツールをご紹介します。
1. Trivy（トリヴィー） – 素早く、簡単に、何でもスキャン！
Trivyは、とても使いやすく、素早くスキャンできるのが特徴です。
コンテナイメージだけでなく、設定ファイルやGitリポジトリなど、様々なものをスキャンできます。まるで、家の鍵だけでなく、窓の鍵、勝手口の鍵まで、まとめてチェックしてくれる便利屋さんですね！
Trivyを使ってみよう！
まずは、Trivyをインストールしてみましょう。（お使いのOSに合わせてインストール方法を選んでください。）
- Dockerイメージのスキャン:
# 例: nginxの最新イメージをスキャンするコマンド
trivy image nginx:latest
このコマンドを実行すると、nginx:latestというイメージに含まれる脆弱性が、深刻度（CRITICAL, HIGH, MEDIUM, LOWなど）とともにリストアップされます。
- スキャンの結果を分かりやすく表示する（例：JSON形式）:
trivy image –format json –output trivy-results.json nginx:latest
--format jsonでJSON形式で出力し、--outputでファイルに保存できます。このJSONファイルは、後で他のシステムと連携する際にも便利です。
2. Clair（クレア） – より詳細な分析で、安心をプラス！
Clairは、より詳細な脆弱性分析が得意なツールです。
コンテナイメージを構成する各レイヤーを細かく分析し、隠れた脆弱性も見つけ出してくれます。まるで、鍵屋さんが、ドアの鍵だけでなく、窓のサッシの歪みや、壁のちょっとしたひび割れまで、細かくチェックしてくれるようなイメージです。
Clairを使ってみよう！
Clairは、通常、サーバーとして起動し、API経由でスキャンを実行します。少し設定が必要ですが、その分、より深い分析が可能です。
- Clairの起動（Docker Composeを使うのが一般的です）:
GitHubなどからClairのDocker Composeファイルを入手し、起動します。（具体的な起動手順はClairの公式ドキュメントを参照してください。）
- Clairにイメージをスキャンさせる（例：curlコマンド）:
# ClairのAPIエンドポイントと、スキャンしたいイメージのURIを指定
curl –request POST \
–url http://localhost:6060/clair/v1/scan \
–header “Content-Type: application/json” \
–data ‘{
“images”: [
{
“os”: {
“name”: “ubuntu”,
“version”: “20.04”
},
“repositories”: [
{
“name”: “my-app”,
“metas”: [
{
“version”: “1.0.0”,
“layers”: [
{
“cloned”: “true”,
“content”: “sha256:…”, # イメージレイヤーのハッシュ値を指定
“name”: “layer1.tar.gz”
},
{
“cloned”: “true”,
“content”: “sha256:…”, # イメージレイヤーのハッシュ値を指定
“name”: “layer2.tar.gz”
}
]
}
]
}
]
}
]
}’
※上記はあくまで概念的な例です。実際のAPIリクエストは、Clairのバージョンや設定によって異なります。
Clairは、より詳細な情報が必要な場合や、自動化のパイプラインで複雑な連携をしたい場合に強力な味方になってくれます。
開発の「自動ドア」に「関所」を作る！ CI/CDパイプラインへの統合
さて、せっかく便利なツールがあっても、毎回手動でスキャンするのは大変ですよね。
そこで、皆さんの開発プロセスを自動化してくれる「CI/CDパイプライン」に、この脆弱性スキャンを組み込んでしまいましょう！
CI/CDパイプラインは、コードの変更があったときに、自動でテストを行い、アプリケーションをビルド・デプロイしてくれる仕組みです。例えるなら、皆さんの開発作業がスムーズに進むように、自動で荷物を運んでくれる「配達システム」のようなものです。
この「配達システム」の中に、「関所」を設けるイメージで、脆弱性スキャンを組み込みます。
「関所」の役割：重大な脆弱性があったら、配達ストップ！
この「関所」の役割は、「もし、コンテナイメージに重大な脆弱性が見つかったら、次の工程（デプロイなど）に進むのをストップさせる！」 ことです。
お弁当キットの例で言えば、もし「調味料」が賞味期限切れだったら、お弁当を作る工程に進む前に「ストップ！」をかけるイメージですね。
パイプラインへの組み込み例（GitHub Actionsの場合）
ここでは、GitHub Actionsを使った簡単な例を見てみましょう。
皆さんのリポジトリに、.github/workflows/scan.yml のようなファイルを作成し、以下のような内容を記述します。
name: Container Scan
on:
push:
branches: [ main ] # mainブランチにpushがあったら実行
pull_request:
branches: [ main ] # mainブランチへのプルリクエストがあったら実行
jobs:
scan:
runs-on: ubuntu-latest
steps:
- name: Checkout code # コードをチェックアウトする
uses: actions/checkout@v2
- name: Set up Docker Buildx # Dockerイメージをビルドするための設定
uses: docker/setup-buildx-action@v1
- name: Build and scan Docker image # Dockerイメージをビルドし、Trivyでスキャンする
id: trivy # このステップにIDを付ける
uses: aquasecurity/trivy-action@master
with:
image-ref: ‘your-dockerhub-username/your-app-name:latest’ # スキャンしたいイメージ名を指定
format: ‘table’ # 結果の表示形式をテーブルに
ignore-unfixed: true # 未修正の脆弱性は無視しない（重要！）
severity: ‘CRITICAL,HIGH’ # CRITICALとHIGHの脆弱性があれば失敗させる（重要！）
# output: ‘trivy-results.txt’ # 結果をファイルに保存したい場合
# Trivyアクションで重大な脆弱性が見つかった場合、’fail-on’で指定したseverity以上のものが
# 存在すると、このジョブは自動的に失敗します。
# そのため、明示的に失敗させるステップは不要な場合が多いですが、
# より細かく制御したい場合は、後続のステップでTrivyの実行結果をチェックすることも可能です。
この設定のポイント：
uses: aquasecurity/trivy-action@master：Trivyスキャンを簡単に行えるGitHub Actionsのテンプレートを使っています。image-ref: スキャンしたいコンテナイメージの名前を指定します。severity: 'CRITICAL,HIGH': ここが重要です！ 「CRITICAL」または「HIGH」の重大な脆弱性が見つかったら、このスキャン処理を「失敗」として扱います。- もしスキャンが失敗すると、GitHub Actionsの実行結果が赤くなります。これにより、重大な脆弱性を含むイメージが、次のデプロイ工程に進むのを未然に防ぐことができるんです。まさに、開発の「自動ドア」に設けた「関所」ですね！
まとめ：安心・安全なアプリケーション開発のために
今日は、コンテナイメージの脆弱性スキャンについて、TrivyやClairといったツール、そしてCI/CDパイプラインへの統合方法を解説しました。
- コンテナイメージはアプリケーションの「設計図」であり、脆弱性という「泥棒」に狙われる可能性がある。
- TrivyやClairのようなツールで、イメージの弱点（脆弱性）を自動で発見できる。
- CI/CDパイプラインに脆弱性スキャンを組み込むことで、重大な脆弱性を含むイメージのデプロイを自動で阻止できる。
最初は少し難しく感じるかもしれませんが、一歩ずつ対策を学んでいくことで、皆さんのアプリケーションはどんどん安全になっていきます。
今日ご紹介した内容は、あくまで基本の「き」です。
ここからさらに、スキャン結果の管理方法を工夫したり、より詳細な設定を学んだりすることで、さらに強固なセキュリティ体制を築くことができます。
皆さんの日々の開発が、より安全で安心なものになることを願っています！
もし分からないことがあれば、いつでも質問してくださいね。一緒に、サイバーセキュリティの世界を楽しく学んでいきましょう！
コメント