【実務・中級編】 CWPPを用いたコンテナランタイムの脅威検知と隔離プロセス – ガバナンス・リスク管理 & 生成AIセキュリティ防御ガイド

現場のエンジニア諸君、お疲れ様。セキュリティチームのチーフだ。

今日は「コンテナは魔法の箱ではない」という話をしよう。DockerやKubernetesでデプロイすれば安全だと思っているなら、今すぐその認識を捨ててほしい。コンテナはホストOSのカーネルを共有している。つまり、コンテナを突破された瞬間、ホスト側の権限奪取やクラウド環境全体への横展開（Lateral Movement）が始まる。

今回は、業界標準の脅威検知エンジン「Falco」を用いて、コンテナ内での不審な振る舞いを検知し、即座に隔離するアーキテクチャについて語る。

なぜ「静的なセキュリティ」だけでは不十分なのか

脆弱性スキャン（Trivyなど）は重要だが、あれは「扉の鍵」を確認しているに過ぎない。現実の攻撃者は、ゼロデイ脆弱性や設定ミスを突いて「鍵の掛かっていない窓」から侵入してくる。

攻撃者は、侵入後に以下のようなアクションをとる。
1. whoami や uname -a で環境を偵察。
2. /etc/shadow やクラウドのメタデータAPI（169.254.169.254）へアクセスを試みる。
3. curl や wget を使って、外部から悪意あるスクリプトをダウンロードし実行する。

これらを防ぐには、「実行時（Runtime）」の異常行動を瞬時に検知し、攻撃者が操作する前にコンテナを隔離するという動的な防衛が不可欠だ。

—

Falcoを用いた実戦的な検知・自動隔離アーキテクチャ

Falcoはシステムコールを監視し、あらかじめ定義したルールに違反した際にアラートを飛ばす。これをKubernetesのAdmission Controllerや、サーバーレス関数（AWS Lambda等）と連携させることで、脅威を検知した瞬間にコンテナを kill または network policy で隔離する。

1. Falcoの検知ルール（falco_rules.local.yaml）

まず、コンテナ内で「予期せぬシェル実行」や「機密ファイルへのアクセス」を検知する設定を記述する。

# コンテナ内でシェルが実行されたら検知する設定例
- rule: Shell in container
  desc: コンテナ内でシェルが実行されたことを検知
  condition: >
    spawned_process and container and
    proc.name in (sh, bash, zsh, dash) and
    container.id != host
  output: "不審なシェル実行を検知: %user.name (proc=%proc.name container=%container.id)"
  priority: WARNING

2. 自動隔離をトリガーするPythonスクリプト例

FalcoのアラートをWebhookで受け取り、該当コンテナを即座に削除・隔離する簡易的なハンドラー（Flaskベース）だ。

from flask import Flask, request
import subprocess

app = Flask(__name__)

@app.route('/webhook', methods=['POST'])
def handle_falco_alert():
    data = request.json
    # Falcoからのアラート内容からコンテナIDを取得
    container_id = data.get('output_fields', {}).get('container.id')
    
    if container_id:
        print(f"脅威を検知: コンテナ {container_id} を隔離します")
        # Kubernetes環境であれば kubectl delete pod などを実行
        # ここでは単純なコンテナ停止コマンドを模倣
        subprocess.run(["docker", "stop", container_id])
        return "Container Isolated", 200
    
    return "No action taken", 200

if __name__ == '__main__':
    app.run(port=5000)

—

現場でエンジニアが陥る「盲点」

よくあるミスは、「コンテナを特権モード（--privileged）で起動する」ことだ。これを行うと、Falcoで監視していても、攻撃者はホスト側のデバイスファイルに直接アクセスできるようになり、コンテナ隔離が効かなくなる可能性がある。

また、アプリケーションコード側で「ディレクトリトラバーサル」の脆弱性を放置していると、Falcoが気づく前に攻撃者が機密情報を抜き出す可能性がある。以下のコード例を見てくれ。

セキュアなファイル読み込み実装（PHP）

外部入力をそのまま file_get_contents() に渡すのは自殺行為だ。必ずホワイトリストで検証すること。

<?php
// 安全なファイルアクセスの実装例
$allowed_files = ['policy.txt', 'readme.txt'];
$filename = $_GET['file'];

// 入力が許可リストにあるか厳格にチェック
if (!in_array($filename, $allowed_files)) {
    die("不正なアクセスを検知しました。");
}

// 許可されたファイルのみ読み込む
$content = file_get_contents('/var/www/data/' . $filename);
echo htmlspecialchars($content, ENT_QUOTES, 'UTF-8');
?>

—

まとめ：セキュリティは「多層防御」に尽きる

1. 最小権限の原則: コンテナはRootではなく必ず一般ユーザー権限で動かせ。
2. Runtime Security: Falcoを導入し、異常なシステムコールを即座に検知せよ。
3. 自動隔離: 運用が追いつかないなら、検知と自動遮断をセットで自動化せよ。

サイバー攻撃は「いかに侵入するか」ではなく「いかに早く気づいて被害を最小化するか」の勝負だ。設定ファイルをコピペするだけで安心せず、必ずステージング環境で bash を実行して、自分の環境でアラートが飛び、自動隔離が機能するかテストすること。

自分のシステムは、自分の手で守る。それがプロフェッショナルのエンジニアだ。健闘を祈る。