【入門編】コンテナランタイムのセキュリティ設定(runc/crun) – インフラ・ネットワーク & クラウドセキュリティ防御ガイド

こんにちは！インフラやセキュリティの世界へようこそ。
新しい技術やサーバーを触るのって、ワクワクしますよね。Dockerやコンテナ技術を使った開発も、今やエンジニアの必須スキルになっています。

でも、「コンテナを使えば安全」って、実は大きな誤解なんです。今回は、コンテナの心臓部である「コンテナランタイム」のセキュリティと、ホストOSをガッチリ守るための要塞化（ハーデニング）について、身近な例えを交えながら一歩ずつ優しく紐解いていきましょう！

—

1. 家の鍵で例える「コンテナとホストOS」の関係

まず、コンテナってどんな仕組みなのか、イメージしてみましょう。

皆さんが住んでいるマンション（ホストOS）の中に、プライベートな個室（コンテナ）がたくさんある状態を思い浮かべてください。
コンテナ技術は、「外の部屋から自分の部屋の中が見えないようにする」ための優れたパーテーション（隔離機能）です。

しかし、昔のコンテナ技術や、設定をサボった状態のままだとどうなるでしょうか？
「自分の部屋のドアを開けたら、なぜかマンション全体のマスターキーが置いてあって、管理人室（ホストOS）に自由に出入りできちゃった！」……なんていう恐ろしい事態が起こり得ます。

これが、コンテナランタイムの脆弱性が狙われる瞬間です。

実際にあった恐怖の事件（CVE-2019-5736など）

数年前に大騒ぎになった CVE-2019-5736 という有名な脆弱性があります。これは、悪意あるコンテナの中身を誰かに乗っ取られたとき、コンテナを動かしている根本のプログラム（runc というランタイム）を騙して、ホストOS側を乗っ取ってしまうというものでした。

つまり、「コンテナの中だけが汚される」で済まず、マンション全体（ホストOS）が乗っ取られるレベルの重大なインシデントに繋がってしまうのです。だからこそ、ランタイムの最新化と適切な設定が絶対に欠かせないんですね。

—

2. コンテナランタイムってなに？（runc と crun の違い）

コンテナを動かす裏側には、いくつかの黒衣（黒幕ではなく、縁の下の力持ち！）がいます。それがコンテナランタイムです。

runc（ラン・シー）:

長年使われている最も標準的なコンテナランタイムです。信頼性が高い一方で、C言語で書かれており、歴史が長いため、時々セキュリティのバグが見つかることがあります。最新版に常にアップデートしておくことが命綱です。

crun（シー・ラン）:

C言語ではなく、よりメモリ安全性を意識して高速に動作するように作られた次世代のランタイムです。省リソースかつ高速であり、セキュリティ面でのモダンなアプローチとして最近とても注目されています。

どちらを使うにしても、重要なのは「古いバージョンを放置しないこと」と「ホストとの境界をきっちり閉じること」です。

—

3. 実践！コンテナランタイムとDockerの設定を強化しよう

それでは、実際にサーバーの設定ファイルを覗いて、セキュリティを一段引き上げてみましょう。
「難しそう……」と思うかもしれませんが、一つずつ意味を解説するので安心してくださいね。

① デーモン設定（/etc/docker/daemon.json）の最適化

Dockerなどのコンテナエンジンが動く設定ファイルを確認します。ここで、デフォルトの危険な挙動を抑え込みます。

{
  /* ライブリロード時のセキュリティリスクを減らすため実験的機能をオフにする */
  "experimental": false,

  /* デフォルトのログドライバーを制限し、ログからの情報漏洩を防ぐ */
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  },

  /* デフォルトでセキュアなネットワーク設定を強制 */
  "icc": false
}

② ランタイムのアップデートと確認

まずは、今お使いのサーバーで runc や containerd が古いままになっていないか確認しましょう。
UbuntuやDebian系のOSであれば、定期的なパッケージの更新が一番の防御になります。

# パッケージリストを最新化し、コンテナ関連のツールをアップデートする
sudo apt-get update
sudo apt-get --only-upgrade install containerd runc docker-ce

③ 権限の分離（Rootless モードの検討）

もし可能であれば、Dockerを「root（管理者）権限」で動かすのをやめる、「Rootless モード」の導入を検討してみてください。
これは例えるなら、「万が一、部屋に泥棒が入っても、財布（管理者権限）は別の金庫にしまってあるので奪われない状態」を作るテクニックです。

Dockerを一般ユーザー権限で動かす設定は、以下のコマンドでセットアップできます。

# Rootless用の依存パッケージをインストール
sudo apt-get install -y uidmap slirp4netns

# 現在のログインユーザーでRootlessデーモンを設定・インストール
dockerd-rootless-setuptool.sh install

—

4. セキュリティは「一度やったら終わり」ではない旅です

お疲れ様でした！ここまで、コンテナランタイムの役割や、ホストOSを守るための考え方を一緒に見てきました。

セキュリティ対策は、一度カギをかけたら一生安心、というものではありません。新しい脆弱性は毎日のように見つかりますし、それに対抗してエンジニアたちがパッチ（修正プログラム）を当てていく……いわば終わりのない鬼ごっこのようなものです。

でも、怖がる必要はありません。

「使っているツール（runcやOS）を古くしたままにしない」
「コンテナを過信せず、ホストOSへの逃げ道を断つ設定（Rootlessや最新ランタイムの採用）を心がける」

この2つを意識するだけで、あなたの作るインフラの安全性は劇的に跳ね上がります。
一歩ずつ、確実にセキュアなエンジニアへの階段を登っていきましょう！次回の解説もお楽しみに！