コンテナの「肥満」は脆弱性の苗床だ：マルチステージビルドで攻撃対象領域を極限まで絞り込む
多くの現場でDockerの `Dockerfile` を眺めていると、まるで「ゴミ屋敷」のようなイメージを見かける。開発者がビルドのためにインストールしたコンパイラ、デバッグ用ツール、そして過去の経緯で消し忘れたSSHキーや一時ファイル。これらがすべて本番環境のコンテナに含まれている現状は、セキュリティの観点から見れば「攻撃者に武器を貸している」のと同義だ。
本稿では、単なる「軽量化」という文脈を超え、攻撃者がコンテナの内部構造を解析する際に直面する絶望感（＝攻撃の難易度）を最大化する、マルチステージビルドのアーキテクチャ設計について論じる。
—
1. なぜ「実行環境」にコンパイラが必要なのか？
多くのエンジニアは「ビルドができればいい」と考えがちだが、セキュリティアーキテクトの視点では、実行環境に何が存在するかがすべてだ。
もしコンテナ内に `gcc` や `make`、`git` が存在すれば、攻撃者は侵入後にその環境で独自のエクスプロイトコードをコンパイルし、メモリ破壊攻撃や特権昇格を試みることができる。あるいは、設定ミスでWebシェルを実行された際、コンテナ内に存在するライブラリの脆弱性を突いて、外部へのリバースシェルを簡単に構築されてしまう。
マルチステージビルドは、この「実行環境からの不要ツールの排除」を強制する最も強力な防衛策だ。
実装例：防御を考慮したマルチステージビルド
以下の例では、最終イメージにソースコードやツールチェーンを一切残さない構成をとっている。
ステージ1: ビルド環境（ツールチェーンをフル装備）
FROM golang:1.21-alpine AS builder
ビルド時にのみ必要な開発用ライブラリをインストール
RUN apk add –no-cache git build-base
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
静的リンクでバイナリを生成し、外部ライブラリへの依存を排除する
RUN CGO_ENABLED=0 GOOS=linux go build -o /app/server .
ステージ2: 実行環境（最小限の特権と構成）
FROM scratch
scratchは空のイメージ。ここにはシェルすら存在しないため、
攻撃者が侵入してもコマンド実行が極めて困難になる。
ビルドステージからバイナリのみをコピー
COPY –from=builder /app/server /server
非特権ユーザーを作成して実行（コンテナ内のUID/GIDを固定する）
USER 10001:10001
実行可能なバイナリを直接指定
ENTRYPOINT [“/server”]
—
2. 攻撃対象領域を「無」にする：攻撃者の視点
上記の `FROM scratch` を採用したとき、攻撃者は何に絶望するか。
1. シェルの欠如: `sh` や `bash` がないため、典型的なWebシェルインジェクションが即座に失敗する。
2. ライブラリの欠如: 動的リンク（Shared Library）を使用しないことで、`LD_PRELOAD` を悪用した実行フローのハイジャックや、既知の脆弱性があるライブラリの利用を物理的に不可能にする。
3. パケット構造の解析回避: ネットワークスタックを最小化し、不要な通信をブロックすることで、侵入後のC2サーバーへのコールバックを難しくする。
—
3. 生成AI時代のガードレイル：ビルドパイプラインへの監査
昨今、生成AIがコード生成を担う機会が増えているが、これには「セキュアではないコードの混入」というリスクが伴う。ここで重要になるのが、ビルドパイプライン上での「ガードレイル」だ。
監査のポイント
- SBOM (Software Bill of Materials) の生成: `syft` 等を用いて、最終イメージに含まれる全コンポーネントを可視化せよ。依存関係にCVEが含まれていないか、自動監査を通すことが必須だ。
- イメージスキャン: `trivy` などのスキャナをCI/CDパイプラインに統合し、ベースイメージのOSレイヤに脆弱性がないか、ビルド直後に検知する。
CIパイプラインの監査ステップ（例：GitHub Actions）
- name: Scan the image for vulnerabilities
uses: aquasecurity/trivy-action@master
with:
image-ref: ‘my-app:latest’
format: ‘table’
exit-code: ‘1’ # 脆弱性が見つかればビルドを即座に停止する
severity: ‘CRITICAL,HIGH’
—
4. 最後に：セキュリティは「削ぎ落とす」ことから始まる
最高のセキュリティは、「そこにあるべきでないものを消し去ること」で実現する。
マルチステージビルドを導入することは、単なるイメージの軽量化や転送速度の向上ではない。それは、あなたのシステムに侵入しようとする攻撃者に対して、足場となるツールを一切与えないという、確固たる防衛戦略だ。
「便利だから」「とりあえず動くから」という理由で、本番環境のコンテナにデバッグツールを忍ばせていないか？ 今日、その `Dockerfile` をもう一度見直してほしい。攻撃者は、あなたが「不要だ」と判断したその1行のコマンドを、虎視眈々と狙っているのだから。
コメント