こんにちは！インフラやセキュリティの世界へようこそ。
初めてサーバーやコンテナ技術に触れるとき、聞き慣れない専門用語がたくさん出てきて、少し身構えてしまいますよね。でも、安心してください。セキュリティの基本は、私たちが普段の生活で何気なくやっている「戸締まり」や「お隣さんとのプライバシーを守る工夫」と全く同じなんです。
今回は、現代の開発現場で欠かせない「コンテナ」の技術、その中でもちょっとディープな「PID名前空間（PID Namespace）の分離とプロセス監視」について、身近な例えを交えながら一歩ずつ優しく紐解いていきたいと思います。
一緒に、安全で強いシステムを作るための第一歩を踏み出していきましょう！
—
1. 家の鍵とマンションの部屋：コンテナってそもそもなんだろう？
まずは、「コンテナ」がどんな仕組みなのかイメージしてみましょう。
皆さんは、アパートやマンションに住んだことはありますか？大きな建物（ホストOS）の中に、たくさんの部屋（コンテナ）が並んでいますよね。
普通のコンテナの初期状態は、ちょっと変わったアパートに似ています。玄関のドアを開けると、なんと廊下にいる住人全員の顔が見えてしまうし、隣の部屋で誰が何をしているのかが丸見えな状態なんです。
技術的な言葉で言うと、ホスト（親となるサーバー）とコンテナ（子となる環境）の間で、「PID（Process ID＝プロセスID）」という住民票の管理簿が共有されてしまっている状態を指します。
攻撃者はここをどう狙う？（プロセスの隠蔽と干渉）
もし、あなたがアパートの廊下で、他の部屋の合鍵をこっそり持っている変質者（攻撃者）だと想像してみてください。
「隣の部屋の人が今、どんな家電を使っているか」「どの部屋の住人が留守にしているか」が丸見えだったら、簡単に悪さ（プロセスの乗っ取りや、ホストへの攻撃）ができてしまいますよね。
セキュリティの世界でも全く同じことが起き得ます。
もしコンテナの中に入り込んだ攻撃者が、ホスト側のプロセス（サーバーの根幹を支える大切なプログラム）を見つけられてしまったらどうなるでしょう？
- コンテナの中からホストの重要なプロセスめがけて攻撃を仕掛け、サーバー全体を乗っ取る
- 自分の悪意あるプログラム（バックドアなど）を、あたかも普通のシステムプロセスのフリをして隠す
こうした危険を防ぐために、「自分の部屋の中だけが見えるように、しっかりとした壁とプライバシーの鍵をかける」必要があります。それが、今回学ぶ「PID名前空間の分離」なんです。
—
2. PID名前空間の分離とは？（プライバシーを守る壁）
PID名前空間の分離を簡単に言うと、「コンテナの中からは、そのコンテナの中の出来事だけが見えるようにする（外の景色は見えないようにする）」という機能です。
これを設定すると、コンテナの中で「今動いているプログラムの一覧（psコマンドなど）」を見ても、見えるのはそのコンテナの中のプログラムだけになります。ホストOSの裏側で何が動いているのかは一切見えなくなります。例えるなら、外が見えないマジックミラーのカーテンを窓にぴっちり閉めた状態ですね。
これにより、攻撃者がコンテナの隙をついて侵入してきても、「ここから外のサーバー全体を覗き見して攻撃のチャンスを伺う」という手口を完全に封じ込めることができます。
—
3. 実践！DockerでPID名前空間を分離する設定
それでは、実際にどうやって設定するのかを見ていきましょう。
普段私たちがよく使うDockerを例に、安全なコンテナを起動する設定をコードで確認します。
Dockerでコンテナを動かすとき、特別な指定をしないと、先ほどお話した「外が丸見えの状態」になることがあります。これを防ぐために、--pid オプションを使って名前空間をきれいに分離してあげましょう。
以下は、Docker Composeを使った設定のサンプルです。
version: '3.8'
services:
secure-web-app:
image: nginx:latest
container_name: my_secure_container
# 【重要】ホストとPID名前空間を共有せず、コンテナ専用の空間に分離します
# これにより、コンテナ内からホストのプロセスが見えなくなります
pid: "private"
ports:
- "8080:80"
# その他のセキュリティを強固にする設定（おまけのベストプラクティス）
read_only: true # ファイルシステムを読み取り専用にして改ざんを防ぐ
security_opt:
- no-new-privileges:true # 権限が勝手に昇格するのを防ぐこの設定のポイント
pid: "private"という一行が、まさにホストとコンテナの間の「見えない壁」を作る魔法の呪文です。- これを設定するだけで、コンテナ内で万が一セキュリティ事故が起きたときでも、被害がそのコンテナの狭い部屋の中にしっかり閉じ込められます。
—
4. 現場での監視：おかしな動きをいち早く察知する
壁を作って安心……ではありません。セキュリティのプロは、「壁を作った上で、中をこっそり覗き見されている変な奴がいないか見張る」という二重の備え（多層防御）をします。
コンテナの中やホスト側で、不審なプロセスが動いていないかを監視するための基本的なアプローチをいくつかご紹介します。
① ホスト側からのプロセス確認
セキュリティ担当者として、ホストOS側から「コンテナが暴走していないか」「変なプロセスが紐づいていないか」を定期的にチェックすることが大切です。
# ホスト上で、特定のコンテナIDに関連づくプロセスをあぶり出す例
# （PID名前空間が分離されていれば、ホスト側からはコンテナ内の全容が見えますが、
# コンテナ側からはホストが見えないという片方向の安全性が保たれます）
docker top my_secure_container② リアルタイムの振る舞い検知ツール（Falcoなどの活用）
人間がずっと目視で監視するのは不可能ですよね。そこで、現場では Falco（ファルコ）のようなオープンソースのセキュリティツールを導入することが多いです。
Falcoは、いわば「サーバー全体の防犯カメラ」のようなものです。
「本来のWebサーバーのプログラム（Nginxなど）が、なぜか急に裏で不審なコマンドを実行した！」というような、「普段とは違う怪しい動き（振る舞い）」を検知して、管理者にSlackやメールでアラートを飛ばしてくれます。
—
5. まとめ：一歩ずつ、安全なインフラを作っていこう
お疲れ様でした！今回は少し専門的な「PID名前空間の分離」について、おうちの防犯にたとえて解説しました。
今回のポイントを振り返ってみましょう：
1. 初期状態のコンテナは、外の様子（ホストのプロセス）が丸見えで危険な場合がある。
2. pid: "private" などの設定を使って、コンテナごとにPID名前空間をしっかり分離する（プライバシーの壁を作る）。
3. 設定して終わりではなく、不審なプロセスの動きを防犯カメラ（監視ツール）でしっかり見守る。
セキュリティの対策は、一度にすべて完璧にやろうとすると息が詰まってしまいます。でも、今日知った「コンテナのプロセス分離」という知識を、明日の開発やインフラ設定の片隅にちょっと意識してもらうだけで、あなたの作るシステムは劇的に安全になります。
一歩ずつ、確実に、安全なエンジニアリングのスキルを一緒に積み上げていきましょうね！
コメント