こんにちは！インフラやセキュリティの世界へようこそ。
日々の開発やサーバーの管理、本当にお疲れ様です！「コンテナ技術」って、アプリをパッキングしてどこでも動かせる魔法の箱みたいで便利ですよね。でも、便利なものには必ず「影」があるんです。
今回は、最近のインフラ現場で必須となっている「コンテナのログ監視と異常検知」について、お話ししていきますね。
「セキュリティの専門用語が多くて難しそう…」と感じる方もご安心ください。身近な「お家の防犯」に例えながら、一歩ずつ優しく紐解いていきましょう！
—
1. なぜコンテナには「おうちの防犯カメラ」が必要なの？
突然ですが、みなさんのお家を想像してみてください。
頑丈な玄関のドア（ファイアウォール）をつけて、窓には鍵（アクセス権限）をしっかりかけていますよね。これで泥棒は簡単に入れません。
しかし、もし「泥棒がすでに合鍵を使って部屋の中に侵入していたら？」どうでしょう。
リビングでくつろいでいる家族は、「まさか家の中に侵入者がいるなんて」思いもしませんよね。泥棒が勝手に冷蔵庫を開けて飲み物を飲んだり、タンスを漁ったりしても、玄関の鍵だけを気にしていては誰も気づきません。
これ、実は今のコンテナの世界でも全く同じことが起きているんです。
コンテナの世界で起きる「侵入」
Dockerなどのコンテナは、アプリを動かすのに非常に軽量で便利です。しかし、アプリのどこかに脆弱性（セキュリティの穴）があったり、雑に作られたプログラムが置かれていたりすると、攻撃者はその隙をついて「コンテナの内部」へと侵入してきます。
外側の壁（ホストOS）がどんなに安全でも、一度コンテナの内部に入られてしまえば、攻撃者はやりたい放題です。
- 勝手に怪しいプログラムをダウンロードする
- こっそりシェル（コマンドを入力する黒い画面）を起動して、サーバーの内部を探る
- 大切な設定ファイルを書き換えてしまう
だからこそ、「外側の鍵」だけでなく、「お部屋の中（コンテナの中）で、今誰がどんな不審な動きをしているか」をリアルタイムで見張る防犯カメラが必要になります。その防犯カメラの代表格が、今回ご紹介する Falco（ファルコ） なんです。
—
2. ランタイムセキュリティツール「Falco」とは？
Falcoは、クラウドネイティブ界隈（Kubernetesなど）でデファクトスタンダードとなっているオープンソースのセキュリティツールです。Sysdig社によって開発されました。
Falcoが何をしてくれるかと言うと、一言で言えば「コンテナの中の不審な行動を検知して、スマホやチャットにアラートを飛ばしてくれる警備員」です。
お家の防犯カメラと違って、Falcoは映像を見るわけではありません。コンテナが動いている下側（カーネルと呼ばれるOSの根っこ部分）を監視し、次のような「普段は絶対に起きない不審なイベント」を秒速で見つけ出します。
- 「あれ？このコンテナ、中でいきなり
bashやshなどのシェル（コマンド画面）が起動したぞ？」 - 「Webアプリ用のコンテナなのに、なぜか勝手に
/etc/passwd（ユーザー情報）ファイルの中身を読み込んでいるぞ？」 - 「
/bin以外の場所に、見慣れない実行ファイルが新しく作られたぞ？」
こうした「怪しい動き」を検知した瞬間、FalcoはすかさずSlackやメールなどに「おい、変なことが起きてるぞ！」と知らせてくれます。
—
3. 実際にFalcoを動かしてみよう（設定とルールの書き方）
百聞は一見に如かず。実際にFalcoがどのように動くのか、設定の流れを見ていきましょう！
難しく考えず、「こういうルールで監視するんだな」という雰囲気だけ掴んでもらえればバッチリです。
ステップ1: Falcoのルールファイルを書く
Falcoは、あらかじめ用意されたルール（検知の基準）に基づいて動きます。例えば、「コンテナの中でシェルが実行されたら警告する」というカスタムルールを作ってみましょう。
Falcoの設定ファイル（通常は /etc/falco/falco_rules.local.yaml など）に、以下のように記述します。
# 独自の検知ルールを定義するセクション
- rule: コンテナ内での不審なシェル実行検知
desc: セキュリティ侵害の兆候として、コンテナ内でシェル（bash/sh）が起動された場合に警告します。
condition: >
container.id != host and
evt.type = execve and
evt.dir=< and
(proc.name = bash or proc.name = sh)
output: "【警告】コンテナ内で不審なシェルが起動されました！ (ユーザー=%user.name コマンド=%proc.cmdline コンテナID=%container.id)"
priority: WARNINGちょっとコードの解説！
container.id != host: ホストOSではなく、「コンテナの中」で起きた出来事だけに絞っています。evt.type = execve: Linuxカーネルのシステムコール（OSへの命令）のうち、「プログラムを実行する瞬間」をキャッチしています。proc.name = bash or proc.name = sh: その実行されたプログラムの名前がbashやsh（つまりシェル）だったらヒットします。output: 検知したときに、どんなメッセージを通知するかの設定です。
このルールを仕込んでおけば、もし攻撃者がコンテナ内に侵入して bash を叩いた瞬間、即座にログやSlackに「【警告】コンテナ内で不審なシェルが起動されました！」と通知が飛ぶようになります。
—
4. 現場のインシデント対応：アラートが鳴ったらどうする？
さて、実際に運用を始めると、ある日突然、SlackにFalcoからのアラートが飛んできます。
【警告】コンテナ内で不審なシェルが起動されました！ (ユーザー=root コマンド=sh コンテナID=a1b2c3d4e5f6)新人のIT担当者や開発者なら、「うわっ、ハッキングされた！？どうしよう！」とパニックになってしまうかもしれません。でも、深呼吸してください。ここからがプロの腕の見せ所、インシデントハンドリング（事故対応）の始まりです。
現場のフローとしては、以下のステップで冷静に対応します。
1. まずは誤検知（False Positive）か確認する
- 実は、開発メンバーがデバッグ（動作確認）のために、わざわざ
docker exec -it <コンテナ名> bashでコンテナ内に入った、というケースもよくあります。「あ、さっき先輩がテストしてたやつだ！」と分かれば一安心です。
2. 本当に不正アクセスなら、即座にコンテナを隔離・停止する
- もし心当たりがないアクセスの場合は、ためらわずにそのコンテナを停止（
docker stopやKubernetesならポッドを削除）します。
3. 被害範囲の特定とフォレンジック（証拠保全）
- コンテナのログやFalcoの記録をさかのぼり、「いつ、どこから、どんなコマンドが打たれたか」を調査します。コンテナ自体は使い捨てなので消えても問題ありませんが、「なぜ侵入されたのか（アプリの脆弱性など）」の原因を突き止め、再発防止につなげます。
—
5. まとめと、明日からの一歩
いかがでしたでしょうか？
「コンテナのログ監視と異常検知（Falcoの活用）」というと何やら難解な宇宙技術のように聞こえますが、本質は「お家の中に防犯カメラを置いて、知らない人がウロウロしたらすぐに教えてもらう仕組み」にすぎません。
- 外側の鍵（ファイアウォール）だけでは、中に入られたときに気づけない。
- だからこそ、Falcoのようなランタイムセキュリティツールを使って、内側の動きをリアルタイムで見張る。
- 怪しい動きがあったら、ルールに従って通知を受け取り、迅速に対処する。
セキュリティは、最初から完璧を目指す必要はありません。「まずは動いているコンテナに目配せをする仕組み（防犯カメラ）を入れる」という意識を持つだけで、あなたの作るシステムの安全性はグッと跳ね上がります。
一歩ずつ、確実に、安全なインフラを作っていきましょう！それでは、また次の記事でお会いしましょう！
コメント