Trivy

「JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 今知りたいコンテナセキュリティ」でLTしてきました。

「Trivy」を使用して、AWS CDKレイヤーでコンテナイメージのスキャンを行うConstructライブラリをConstruct Hubに公開しました。

はじめに 実際に作ったもの ここから先が長すぎて面倒だという方向け なぜVMのスキャンが必要なのか？ 全体像 Trivyの脆弱性検知について 開発する上での課題 アーキテクチャ Storage層 EBS Storage Virtual Machine Image層 Disk Partition層 Logical Volume層 Filesystem層 & File層 苦労したこと&学び 処理が重すぎる問題 仕様書の英語が読めない とにかく人に頼る 巨大なバイナリファイルを読むのが辛い 感謝の念（一番大事） 最後に はじめに 2022年11月にOSSのコンテナ脆弱性検知ツール Trivy に 仮…

はじめに 背景 ライブ環境のセキュリティ対策 AWS Security Hub Kubescape 運用方法 現状の運用課題 シフトレフト（Shift-left）によるセキュリティ対策 おわりに はじめに こんにちは。技術戦略室SREチームの koizumi です。 弊社では、今年からインフラ環境をはじめ、コンテナイメージやアプリケーションコードのセキュリティ対策をはじめています。 現在、その中でもAWS / Kubernetes環境のセキュリティ対策を実際に運用しており、今回はその内容を中心にお話しできればと思います。 背景 近年、様々なサービスで不正アクセスや情報漏洩といった事象が頻発して…

DockerやKubernetesが当たり前に使われるようになって、ただこれらのコンテナーツールを便利に使うだけでなく、 安全に使うための工夫が必要になってきています。 コンテナーでアプリケーションを使う上で、コンテナーイメージは重要なパーツの一つです。 コンテナーイメージとはコンテナープラットフォームの上でアプリケーションを動かすための環境を提供するものを指します。 コンテナーではなくネイティブな環境とコンテナーでアプリケーションを実行した場合の関係性を図にしてみると次のようになります。 カーネルと実行ファイル、ライブラリーの上でアプリケーションが実行されているのは共通ですが、コンテナーの場…

はじめに GitHub Actions / Trivy / Dependabot について Dependabot の設定 Trivyの設定 コンテナイメージのスキャン リポジトリのスキャン IaC(Dockerfile, Kubernetes Manifest)のスキャン 終わりに はじめに あけましておめでとうございます。2022年1発目の記事です。 GitHub Actionsを使用して、以前適当に作成したGo製テストサーバーに対して脆弱性チェックと行いました。 GitHub Actions / Trivy / Dependabot について GitHub Actionsとは、Github…

こんにちは。NFLabs. 事業推進部の齋藤です。この記事は NFLabs. アドベントカレンダー 14 日目の記事です。 普段は Blue Team の中で利用するシステムの開発をしています。 私は今のチームで DevSecOps の仕組みやツールを色々と試して導入を進めている最中なのですが、その内でも Trivy というコンテナイメージのスキャン機能を持ったツールについて紹介したいと思います。 github.com Trivy の概要 Trivy はアプリケーションの依存ライブラリの脆弱性スキャン機能と IaC の設定ファイルのセキュリティ不備の検出機能を備えたセキュリティスキャンツールで…

はじめに newmoではGoogle Cloud等のリソース管理にTerraformを使っています。また、newmoではMonorepoを使って開発しています。 Monorepoについてここでは詳しく説明しませんが、バックエンドのGoのコードもフロントエンドのTypeScriptのコードもTerraformのコードもすべて同じGitHubのレポジトリで管理し開発を行っています。 TerraformのコードをMonorepoで管理することで、以下の要素を統一的に制御できるようになりました CICDパイプライン TerraformとProviderのバージョン セキュリティポリシー Lintルール…

本記事はAP Tech Blog Week Vol.5のものになります。 はじめに 本記事の対象読者 開発プラットフォームにおけるセキュリティ対策の必要性 Microsoft Defender for Cloud DevOps security について そもそも Microsoft Defender for Cloud DevOps security とは？ Microsoft Security DevOps GitHub Actionとは？ Microsoft Security DevOps GitHub Action を使ってみる GitHub Organization を Micros…

aws-dev-live-show.connpass.com こちらのイベントに参加してきたので、会の様子と感想を書いていこうと思います。 会の概要 会の様子 IaCとは 環境分離 自動化 最小権限の原則 会全体を通した感想 会の概要 以下、イベントページから引用です。 クラウドを上手に活用していくうえで、セキュリティを考慮したインフラの構成や設定がより重要になります。Infrastructure as Code (IaC) は、クラウドリソースの設定をデプロイ前にチェックしたり、データの機密性に応じて環境を分離したりを容易にすることで、セキュリティの運用を楽にできます。 一方、IaC そのも…

🗒 今日の学び 引き続き The Cloud Runを読んだ。今日は4章最後まで。 techbookfest.org ここまで読み終えたところで、ネットワーク周りの話がよくわからなくなってきたので、もう一回3章に戻って読み返す。 読み終えることが目的なのではなく、理解することが大事なのです(by Cloud Next Tokyoで出会ったGooglerのおねえさん) 話が戻って、4章はセキュリティ周りの話だったんですが、Trivy, Dockle, Haolintとかが出てきた。 この中でHadolintは知らなかったので勉強になった。おもしろそうなので週末に触ってZennに記事出してみようか…

こんにちは。コーポレート本部 サイバーセキュリティ推進部の耿です。 2024/6に Amazon Inspector が GitHub Actions でのコンテナイメージスキャンをサポートしたとのアナウンスがありました。コンテナイメージの脆弱性スキャンに既にTrivyを利用している方も多いと思いますが、別の選択肢として Inspector によるスキャンを試してみました。 また、実はコンテナイメージのスキャンだけではなく、言語パッケージのバージョンファイルやDockerfileを静的解析することも可能のため、それもやってみました。 仕組み アクションを紐解く リポジトリ内のファイルをスキャン…

自己紹介 エンジニアとしての経験は約25年になります。最初の10年ほどはSIer業界でWindows系や.NET系の開発を専門にしておりましたが、最近15年ほどはWeb業界の自社開発企業界隈でLinux系のバックエンド開発およびクラウドインフラ周りの設計/構築業務に携わっております。 ここ数年はクラウドのインフラエンジニアとしてサービスの新規開発フェーズやインフラのリプレイスフェーズに参画させていただくことが多いです。最近の業務経験に関しては下記のレジュメにまとめておりますのでご参照いただければと思います。 github.com エンジニアとしての抽象的な強みは下記になります。 幅広い知見と経…

はじめに PlaTT Software Templateの紹介 ベーステンプレートのアーキテクチャ構成 Kubernetes フロント・アプリ シークレット・証明書 Azure構成 (Terraform) GitHub Actions PlaTT Software Template について Templateの利用から自動デプロイまで Templateから払い出した開発環境を見てみよう おわりに はじめに こんにちは。ACS事業部の安藤、青木です。 Platform Engineering KAIGI 2024 の弊社ブースにて、先日リリースしたPlaTTのコンテンツの一つとしてPlaTT S…

KubeClarity とは KubeClarityとはKubernetes環境におけるセキュリティ管理を支援するオープンソースツールです。 具体的にはKubernetes上に存在するコンテナイメージのSBOMを生成し、SBOMを元に脆弱性スキャンを行います。 そしてスキャン結果をWeb UI上で見ることができます。 SBOMの生成にはデフォルトではSyftが使用され、SBOMに対しての脆弱性スキャンにはGrypeがデフォルトで使用されます。 SBOMの生成には他にもCyclonedx-gomod、Trivyが選択可能で、SBOMに対しての脆弱性スキャンは他にもDependency-Track…

はじめに VMwareによって開発されたOSSのプライベートコンテナレジストリのHarborを構築する。 環境 Ubuntu 22.04 kubernetes v1.28.3 crio v1.28.2 helm 3.13.2 Harbor3.13.2 問題、課題 秘密情報やNDA契約などにより、プライベートレジストリにコンテナを格納したい。現状、Kubernetesを構築しているのでそれと親和性の高いプライベートレジストリとしてHarborを選択、構築を行った。 Harborについて VMwareによって開発されたOSSのプライベートコンテナレジストリがHaborである。特徴として以下がある。…

リンク NIST SP 800-190 Application Container Security Guide コンテナセキュリティの国際的なガイダンス コンテナに関するセキュリティ上の考慮ポイントが網羅されている csrc.nist.gov CIS Docker Benchmark www.cisecurity.org ツール Trivy Aqua Security Software社が提供する脆弱性ツール コンテナOSパッケージやプログラムの各言語に関連した依存関係などをスキャンしてくれる github.com aquasecurity.github.io Hadolint Docker…

Spring Boot 3.3でSBOMがサポートされたと聞いたので、どんなもんなのかを試していたのでメモ (SBOMについて詳しく書いてある記事ではないので、そういった記事が見たい場合はブラウザバック推奨) spring.io SBOMについては経産省の資料を見るのが良さそうだった www.meti.go.jp で、この辺り全く詳しくなくて今回から何がどうサポートされたのかが全くわからなかったので、手を動かしながら試していた感じ 対象の gradle plugin を入れれば bootJar のタスク実行時に JAR の META-INF/sbom/bom.json ( json かは指定に…