【入門編】コンテナランタイムのセキュリティ：Seccompプロファイルによるシステムコール制限 – アプリケーションセキュリティ & 安全な開発防御ガイド

「穴の空いた金庫」を守るために：コンテナセキュリティとSeccompの正体

こんにちは！セキュリティの世界へようこそ。
今日は、皆さんが普段何気なく使っている「コンテナ（DockerやKubernetes）」のセキュリティについて、少しだけ深掘りしてみましょう。

「コンテナって隔離されてるから安全なんでしょ？」と思っているとしたら、それは少しだけ注意が必要です。実は、コンテナはホストOSという一つの大きな「家」をみんなでシェアしている状態なんです。

今日は、そんなコンテナという部屋に「泥棒（攻撃者）」が入ってこないようにするための、Seccomp（セコンプ）という強力な防犯カメラと鍵について、一緒に学んでいきましょう。

—

1. コンテナの「システムコール」ってなに？

私たちのプログラムがOS（Linux）の機能を使いたいとき、必ず「お願い（システムコール）」をします。
例えば、「ファイルを読み込みたい」「ネットワークを繋ぎたい」といったリクエストです。

本来、アプリに必要な「お願い」は決まっています。しかし、もし悪意のある攻撃者がアプリの脆弱性（XSSなど）を突き、「許可されていない危険なお願い」をOSに直接送ったらどうなるでしょうか？

例：アプリは「計算」だけすればいいのに、攻撃者が「OSのシステム設定を書き換える」というお願いを勝手に実行させる。

これが、いわゆる「カーネルエクスプロイト」の入り口です。コンテナという部屋の鍵を壊して、家主（ホストOS）に直接命令を下すようなものですね。

—

2. Seccomp：最強の「入館制限リスト」

ここで登場するのがSeccomp (Secure Computing mode)です。
これは、コンテナがOSに対して「何をしてもいいか」「何をしたらダメか」を細かく決めておく「ブラックリスト（またはホワイトリスト）」のようなものです。

防犯に例えるなら、「この部屋の人は、窓を開けるのはいいけど、裏口から出るのは禁止！」と、事前にルールを厳格に書き込んでおくイメージです。これさえあれば、たとえアプリが乗っ取られても、攻撃者が「OSを乗っ取るための危険なコマンド」を打とうとした瞬間に、Seccompが「その行動は許可されていません！」とブロックしてくれるんです。

—

3. 実践！Seccompプロファイルを作ってみよう

Dockerでは、デフォルトでもそれなりに強力な制限がかかっていますが、本番環境では「最小権限の原則」に従い、さらに絞り込むのがプロの流儀です。

以下は、chmod（権限変更）などの危険な操作を禁止する、非常にシンプルなSeccompプロファイルの例です。

{
“defaultAction”: “SCMP_ACT_ALLOW”, // 基本的には許可する
“syscalls”: [
{
“name”: “chmod”, // 権限変更は危ないので禁止！
“action”: “SCMP_ACT_ERRNO” // 拒否してエラーを返す
},
{
“name”: “fchmod”,
“action”: “SCMP_ACT_ERRNO”
}
]
}

この設定を適用する方法

Dockerを起動する際に、このJSONファイルを読み込ませるだけです。

–security-opt オプションでプロファイルを指定します
docker run –security-opt seccomp=my-profile.json my-app:latest

これだけで、コンテナ内で誰かが「chmod」を使おうとした瞬間に、OSが「そんなコマンドは知らないよ（エラー）」と跳ね返してくれます。攻撃者は「あれ？おかしいな？」と戸惑うこと間違いなしです。

—

4. XSSとコンテナセキュリティの意外な関係

さて、ここで少し話を広げましょう。皆さんがよく耳にする「XSS（クロスサイトスクリプティング）」という攻撃。
「ブラウザ上の問題でしょ？」と思うかもしれませんが、もしWebアプリがXSSで乗っ取られ、そこからバックエンドのコンテナ内部で勝手にコマンドを実行されたら？

1. XSSで管理者権限を奪取
2. シェルを起動し、コンテナ内で悪意あるスクリプトをダウンロード
3. コンテナからホストOSを攻撃しようと試みる

このとき、Seccompで「ネットワーク通信」や「ファイル実行」のシステムコールを適切に制限していれば、攻撃者は2の段階で身動きが取れなくなります。

「一つの防壁だけでなく、何重もの防壁を作る」。これがセキュリティの鉄則です。XSS対策（入力バリデーションやセキュリティヘッダー）と、コンテナのランタイム制限（Seccomp）は、いわば「玄関の鍵」と「室内の防犯アラーム」の関係なのです。

—

一歩ずつ、強固な開発を

最初は難しいと感じるかもしれませんが、まずは「自分のアプリがどんなシステムコールを使っているか？」を知ることから始めてみてください。Dockerには、使っているシステムコールを自動で検知してプロファイルを作ってくれるツールもあります。

セキュリティは「一度やって終わり」の作業ではありません。でも、こうして仕組みを一つずつ理解していくことで、皆さんが作るアプリケーションは、世界中の泥棒が手を出せない「最強の金庫」になっていきます。

次は、Kubernetesでこれをどう展開するか、一緒に見ていきましょうね。
一歩ずつ、焦らず、着実に積み上げていきましょう！応援していますよ！