コンテナの境界は砂上の楼閣か：ホストカーネルを「要塞」に変えるsysctlの深淵
多くのエンジニアがコンテナ技術を「隔離された安全な箱」と信じている。だが、セキュリティの最前線に立つ我々から見れば、コンテナとは単にカーネルという同一の巨大な共有メモリ空間で動く「隔離されたプロセスグループ」に過ぎない。
カーネルが脆弱であれば、コンテナの境界など一瞬で崩壊する。CVE-2022-0492（cgroup v2の脆弱性）のような特権昇格が現実のものとなる中で、アプリケーション層のセキュリティに固執するのは無意味だ。我々が守るべきは、ホストOSの心臓部、すなわちカーネルパラメータそのものである。
1. ネットワークスタックの「穴」を塞ぐ：IPフォワーディングとソースルーティング
コンテナ環境において、ホストOSがルーターのように振る舞うことは、攻撃者にとって格好の踏み台となる。特に、コンテナ間通信の制御をKubernetes（CNI）に任せきりにして、ホストOSレベルのIPフォワーディングを無防備に開放している設計は自殺行為に近い。
# /etc/sysctl.d/99-hardening.conf
# IPフォワーディングを無効化（CNIが動的に管理する場合を除き、静的なルーティングは拒否する）
net.ipv4.ip_forward = 0
net.ipv6.conf.all.forwarding = 0
# ソースルーティングパケットを破棄（中間者攻撃の初手となるため）
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
# ICMPリダイレクトを禁止（ルーティングテーブルの改ざんを防ぐ）
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0攻撃者は、巧妙に細工したIPヘッダを用いて、論理的な境界を無視したパケットを送出する。上記設定は、OSが「余計な気を利かせてパケットを転送する」ことを封じるための最小防衛線だ。
2. メモリとカーネルダンプ：フォレンジックか、セキュリティリスクか
本番環境でカーネルダンプ（vmcore）を有効にしているシステムが多いが、これは「機密情報の宝庫」をディスクに書き出しているに等しい。カーネルパニック時のメモリイメージには、平文の暗号鍵、セッションID、実行中のプロセスデータがそのまま残存する。
セキュリティの観点から言えば、障害調査はリモートのテレメトリ収集に集約し、ローカルへのメモリダンプは厳格に無効化すべきだ。
# カーネルダンプを完全に無効化し、メモリリーク時の情報漏洩リスクを低減
kernel.core_uses_pid = 1
kernel.sysrq = 0 # SysRqキーによるデバッグ・操作を無効化（物理アクセス時の攻撃防止）
# 任意コード実行を防ぐためのメモリ配置のランダム化（ASLR）を強化
kernel.randomize_va_space = 2特に kernel.sysrq を 0 に設定することは、物理的にサーバーにアクセスできる悪意ある人物や、コンソール経由での不正操作を防止する上で極めて有効だ。
3. パススルー攻撃への対抗：BPFと非特権アクセス
昨今、eBPFを用いた監視や防御がトレンドだが、これは諸刃の剣である。非特権ユーザーが bpf() システムコールを呼び出せる状態は、カーネルメモリのリークや、さらなる特権昇格のトリガーとなり得る。
# 非特権BPFの禁止（CVE-2020-8835等の対策）
kernel.unprivileged_bpf_disabled = 1
# dmesgへのアクセス制限（カーネルポインタの露出を防ぐ）
kernel.dmesg_restrict = 1
# Kptr（カーネルポインタ）の保護
kernel.kptr_restrict = 2kernel.dmesg_restrict と kernel.kptr_restrict を設定することで、仮にプロセスがハングアップしても、攻撃者はカーネル内のメモリアドレスを特定できなくなる。これは、Exploitコードの作成難易度を劇的に引き上げる「対量子暗号」ならぬ「対Exploit」のアーキテクチャだ。
最後に：アーキテクトへの提言
多くのエンジニアは「動けば良い」というバイアスに囚われ、デフォルトのカーネルパラメータを放置する。しかし、我々が守るべきは「システムが正常に動いている間」だけでなく、「攻撃者が内部に侵入した後の絶望的な状況」である。
これらの sysctl 設定は、単なるテキストの羅列ではない。ホストOSとコンテナという境界線上の「ゲートキーパー」だ。
インフラを構築する際は、まずコンテナランタイムをインストールする前に、ホストOSをこのように「鋼鉄」にする必要がある。そして、その設定がCI/CDパイプラインやInfrastructure as Code（Terraform/Ansible）によって、すべてのノードで強制・監査されていること。それこそが、最高峰の防衛アーキテクチャへの第一歩である。
セキュリティとは、技術の積み重ねによる「不信感の具現化」だ。OSを信じるな、カーネルを信じるな。ただ、設定したパラメータの整合性だけを信じろ。
コメント