「基礎から学ぶコンテナセキュリティ」という書籍を書きました
# どういう書籍か コンテナの要素技術である Linux Namespaces などの Linux の機能について体験し、それらが機能していないコンテナではどういった脅威が生じ、どのような攻撃手法があるのかについて紹介した本です。 副題は「Dockerを通して理解するコンテナの攻撃例と対策」ですが、演習題材として Docker を使うという意味であり、Kubernetes などの環境では通用しないという意味ではありません。本書を通して得た知識は、Docker だけでなく、Kubernetes や Nomad などのコンテナ環境のセキュリティに適用できるように書いています。 # 他の書籍との違い コンテナとそのセキュリティに関する書籍はいくつかあります。有名どころだと次のようなものがあり、これらの中でセキュアなコンテナ運用について書かれています。 Docker/Kubernetes開発・運用
Dockerはなぜサイバー攻撃者に狙われやすいのか？
Check Point Software Technologiesはこのほど、「Docker Images: Why are Many Cyber Attacks Originating Here? - Check Point Blog」において、Dockerイメージの危険性について伝えた。Dockerイメージには構築と使用に特有の脆弱性があることから、攻撃者の格好の標的となってしまっている。同社は既知の脆弱性を含む基礎コンポーネントの使用、クラウド環境の動的な性質、簡単な配布方法によって、セキュリティインシデントが引き起こされていると指摘している。 Docker Images: Why are Many Cyber Attacks Originating Here? - Check Point Blog Dockerイメージは攻撃者にとって好ましいターゲットの一つとなっている。一般的にさ
Beyond Default Settings: Evaluating the Security of Kubernetes and Cloud Native Environments
Transcript Losio: In this session, we are going to be chatting about the security of a Kubernetes and cloud native environment. I would like to give a couple of words about today's topic, security of Kubernetes and cloud native environment. With the advent and rapid evolution of cloud-based solutions, Kubernetes, I think, is the dominant force at the moment in orchestrating containerized applicati
コンテナセキュリティ
「コンテナセキュリティ - Forkwell Library#26」の資料です。 https://forkwell.connpass.com/event/287259/
当社社員が翻訳協力した「ChatGPTのセキュリティへの影響」が公開されました | NTTデータ先端技術株式会社
一般社団法人 日本クラウドセキュリティアライアンス（以下：CSAジャパン）にて、「ChatGPTのセキュリティへの影響」が公開されました。 CSAジャパンは、Cloud Security Alliance（以下：CSA）の日本法人で、日本のクラウドセキュリティの向上を目的とし、クラウドのセキュリティに関する啓発・情報発信等の活動を行う任意団体です。 「ChatGPTのセキュリティへの影響」は、CSAが公開している「Security Implications of ChatGPT」の日本語訳で、ChatGPTのような大規模な言語モデルがサイバーセキュリティ産業の未来をどのように形作るかを包括的に理解することを目的としています。 原本である「Security Implications of ChatGPT」の日本語化において、当社サイバーセキュリティ事業本部 石井 英男が、翻訳メンバーの一員と
TerraformシークレットをGC SecretManagerに移行したら運用が楽になった話 - Qiita
これは何？ 今のプロジェクトでterraform運用を主導しているのですが、terraformで利用する秘匿情報（DBパスワード等）はBitwardenに格納していました。 これをGCP Secret Managerに移管したら結構良いことがあったという話です。 それまでの運用 シークレットは各環境別で分け、Bitwardenに格納 ローカルにsecret.variable.tfなどの名前でシークレットファイルを作成し、Bitwardenからコピペしてきて利用 シークレットファイルはgitignoreしてプッシュしないように運用 SecretManagerに移管した理由 Bitwardenのままだと、terraformを触るメンバーが増えた時に辛かったからです。 Bitwardenからコピペする作業が発生することによって メンバーが増えた時の説明（オンボーディング）がダルい Bitward
セキュリティ診断ツール "Dastardly" を WSL2 上で実行してみた - Qiita
LIFULL に新卒入社し、もうすぐ4年目になるヒラノです。 普段はセキュリティエンジニアとして、セキュリティ/テスト自動化に関する推進、支援などを中心に取り組んでいます。 15日目の記事 では Dastardly を GitHub 上で動かしていましたが、今回はローカル（WSL2）上で動かしてみようと思います。 What is Dastardly? Dastardly は、無料で利用できる CI/CD パイプライン用の Web アプリケーションセキュリティ診断ツールです。 開発元は Burp Suite でおなじみの PortSwigger で、重要な7つの脆弱性に関して10分以内で見つけることができます。 Cross-site scripting (XSS) (reflected) Cross-origin resource sharing (CORS) issues Vulnerab
Kubernetes クラスタの PodSecurityPolicy を Gatekeeper に移行しました - Preferred Networks Research & Development
はじめに PFN では、計算クラスタ MN-2 と MN-3 の運用に Kubernetes を採用しており、3, 4 ヶ月に一度のペースで Kubernetes をアップグレードしています。直近のアップグレードは 2023 年 1 月で、Kubernetes 1.24 から 1.25 に更新しました。 Kubernetes 1.25 ではいくつかの API が削除されましたが、とりわけ影響が大きかったのは PodSecurityPolicy (PSP) の削除でした。PSP は、pod が満たすべきセキュリティポリシを定義し、Pod リソースの定義をそれに適合するよう変更したり、適合しない pod の作成を拒否したりする機能です。しかし、PSP はユーザビリティに大きな問題を抱えており、互換性を保ったままそれを解決するのも難しいという理由から、Kubernetes 1.21 から非推奨に
コラム - ウェブ・セキュリティ学習のため徳丸本を読んでみた | 第3回 M1/M2 Mac に対応！Docker 環境で実習環境を構築しよう｜CTC教育サービス 研修/トレーニング
[IT研修]注目キーワード Python UiPath(RPA) 最新技術動向 Microsoft Azure Docker Kubernetes 第3回 M1/M2 Mac に対応！Docker 環境で実習環境を構築しよう (三雲 勇二) 2023年1月 みなさん、こんにちは。 エンジニアをしております、三雲と申します。 普段は初心者エンジニアに Web セキュリティについて教えることがあります。 ウェブセキュリティの分野は徳丸本（安全なWebアプリケーションの作り方 第2版）をオススメしております。 今回も初心者の気持ちで徳丸本を読んで、気になった部分について確認していきたいと思います。 第1回で実習環境を準備したのですが、M1/M2 Mac では実習環境が構築できないという点がありました。 ですが、なんと徳丸先生から M1/M2 Mac 対応 Docker 版の実習環境公開のアナウン
Terraformセキュリティベストプラクティス
本文の内容は、2023年3月21にNIGEL DOUGLAS が投稿したブログ（https://sysdig.com/blog/terraform-security-best-practices）を元に日本語に翻訳・再構成した内容となっております。 コードとしてのインフラストラクチャ ー(IaC) を使用する場合、Terraform はデファクトのツールです。 リソース プロバイダーに関係なく、組織はそれらすべてを同時に操作できます。 コンフィギュレーションエラーがインフラストラクチャー全体に影響を与える可能性があるため、疑いの余地のない側面の 1 つは Terraform のセキュリティです。 この記事では、Terraformを使用するメリットを説明し、いくつかのセキュリティベストプラクティスを参照しながら、Terraformを安全な方法で使用するためのガイダンスを提供したいと思います。
Terraform Security Best Practices
Terraform is the de facto tool if you work with infrastructure as code (IaC). Regardless of the resource provider, it allows your organization to work with all of them simultaneously. One unquestionable aspect is Terraform security, since any configuration error can affect the entire infrastructure. In this article we want to explain the benefits of using Terraform, and provide guidance for using
[Terraform]機密情報を扱う際の注意点 - Qiita
はじめに Terraformは、現在もっとも人気のあるIaCツールの１つとして、インフラストラクチャの構築と管理を容易にしてくれています。一方、機密情報をいかに適切に管理するかも問題となっています。 本記事では、Terraformで機密情報を扱う際の注意点やベストプラクティスについて、AWSを中心に事例を交えてご紹介します。ぜひ参考にしていただければ幸いです。 以下のバージョンで動作確認をしています。 Terraform v1.3.5 hashicorp/aws v4.59.0 hashicorp/random v3.4.3 hashicorp/null v3.2.1 機密情報の記述 クレデンシャル情報を扱うリソースを作成する際に、tfファイルやtfvarsファイル上でのハードコーディングは避けましょう。代わりに、環境変数、ランダムなパスワード、外部データストア＆動的クレデンシャルなどを使
![[Terraform]機密情報を扱う際の注意点 - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/050f32ebb61439080157dd6d7c2a6bba6f7055ef/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-9f5428127621718a910c8b63951390ad.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTkxNiZoPTMzNiZ0eHQ9JTVCVGVycmFmb3JtJTVEJUU2JUE5JTlGJUU1JUFGJTg2JUU2JTgzJTg1JUU1JUEwJUIxJUUzJTgyJTkyJUU2JTg5JUIxJUUzJTgxJTg2JUU5JTlBJTlCJUUzJTgxJUFFJUU2JUIzJUE4JUU2JTg0JThGJUU3JTgyJUI5JnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9NTYmdHh0LWNsaXA9ZWxsaXBzaXMmdHh0LWFsaWduPWxlZnQlMkN0b3Amcz02YTE4OTJjMjk5NTQ2MzUwNjc3NDA2ZmNmZDlmYzNlOQ%26mark-x%3D142%26mark-y%3D112%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZ3PTcxNiZ0eHQ9JTQwdG8tZm1hayUyMGluJTIwTlRUJUUzJTgzJTg3JUUzJTgzJUJDJUUzJTgyJUJGJUU1JTg1JTg4JUU3JUFCJUFGJUU2JThBJTgwJUU4JUExJTkzJnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9MzImdHh0LWFsaWduPWxlZnQlMkN0b3Amcz01ZDRlY2IzYmZmN2NlNzEyN2FiYjc0NmQ0NDdiODI0Yw%26blend-x%3D142%26blend-y%3D491%26blend-mode%3Dnormal%26s%3D861003db198db6e9f805f3cdbe775ddb)
AWSでアクセスキーが漏洩した時に検知・削除する仕組みを実装する - Qiita
初めに IAMのアクセスキーが漏洩してしまった際に、漏洩を検知して対象のIAMアクセスキーを削除する仕組みを作る必要があったのでその内容について記載します。 構成 Trusted Adviserのルールを利用してEventBridegeで検知し、SNSを利用して通知し、Step FunctionsとLambdaで検知したIAMアクセスキーを削除します。 構成としては以下のようになります。 ※この構成はTrusted Adviserがバージニア北部リージョンでしか情報を取得できない関係で、バージニア北部リージョンで作成する必要があります。 今回は以下のTrusted Advisor toolsを参考にしました。 Trusted Adviser Trusted Adviserでは有効化しておけば特に設定しておくことはないです。 「漏洩したアクセスキー」のルールを使用してIAMアクセスキーの漏洩
Vault 1.13 adds Kubernetes Operator, MFA improvements, and more
TerraformInfrastructure as code provisioning
サーバーレスを “安全・安心” に使う / Serverless Security Pattern
サーバーレスを使っているとインフラをAWSが管理してくれるので、開発者・運用者目線からは、すでに “安全・安心” が得られていると言えなくもないですが、そんな中でいろんなサービス運用者やプロダクト開発者と会話してきた経験談を基に さらなる “安全・安心” を目指すお話しをさせて頂きます。
[書評]クラウドに限らないセキュリティの原理原則を学びすぐに組織に適用できる本「AWSではじめるクラウドセキュリティ」 #AWS #クラウドセキュリティ #AWSではじめるクラウドセキュリティ | DevelopersIO
こんにちは、臼田です。 みなさん、セキュリティを学んで適用してますか？(挨拶 「セキュリティ対策やらなきゃ、でも何からやれば？」とお悩みのみなさんが読むべき本がリリースされました。「AWSではじめるクラウドセキュリティ」を紹介します。 まずは私の思いを聞いてくれ まずは書籍を読み終わって興奮しているテンションの私の話を聞いてください。 みなさんは自分たちのIT環境のセキュリティ対策でどんなことをやっていますか？ やっていることは説明できると思います。AWSであれば、「EC2へのネットワークアクセスをSecurity Groupで絞っています」とか「「CloudTrailでAWSの操作ログを保存しています」とか「Amazon GuardDutyを有効化しています」、いろいろありますよね。 では、そのセキュリティ対策はなぜ、やっていますか？ この「なぜ」を説明できない方は多いのではないでしょう
![[書評]クラウドに限らないセキュリティの原理原則を学びすぐに組織に適用できる本「AWSではじめるクラウドセキュリティ」 #AWS #クラウドセキュリティ #AWSではじめるクラウドセキュリティ | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/e3ec12e6c565701e40964dd4548325af904a7465/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2023%2F02%2F000_start_cloud_security_with_aws.png)
10年間は生き続ける考え方が凝縮された良書「AWSではじめるクラウドセキュリティ」 | DevelopersIO
まずはお詫び タイトルパクりました。ゴメンナサイm(__)m はじめに 立て続けに神本が発売されて、2023年はいい年になりそうと思っているAWS認定トレーニング講師の平野@おんせん県おおいたです。 ところでみなさん、「セキュリティ」と聞いてどんな印象お持ちですか？ たとえばこんな感じじゃないですか なんか大事なのは分かる なんか難しそうなので、できれば関わりたくない セキュリティ担当者がいい感じにやってくれるはず 時々セキュリティ事故のニュースを見るが、うちは関係ない まあ、僕も以前はそうでした。 AWSをはじめて、セキュリティには興味を持ったのですが、専門用語をググってもよく分からずに、心折れながら勉強してきました。 そんな中で、先日発売されたのが今回ご紹介する本です。全人類に読んでもらいたいと思ってます。 誰に読んでもらいたいか 全人類といいたいところですが、実際にはこんな方々になり
Dockerコンテナを本番環境で使うためのセキュリティ設定 - Qiita
はじめに Dockerを開発環境で使うことが多くなってきてますね。 使い捨てできる環境は本当に便利なので、本番環境にも使いたいなーと思って、本番運用で注意すべきセキュリティ周りを調べてみました。 基本的な考え方 基本的な考え方は以下になります。 コンテナ内部に入られるな 権限は最小限にせよ 監視を怠るな DockerといえどVPSやオンプレのセキュリティ設定と考え方は同じですね。 ここではDockerにまつわる話を書いていきます。 コンテナ内部に入られるな 信頼できるイメージを使う 多くの場合、ベースとなるピュアなOSイメージはDockerHub上のイメージを使いますが、元となるイメージがセキュアであるかどうかを確認して使うようにしましょう。 既知の脆弱性を含んでいる場合や、最悪の場合、悪意のあるスクリプトが仕込まれている場合があります。 既知の脆弱性が含まれているかどうかはDocker
Dockerは危険という誤解と、本当に注意すべき点 - paiza times
こんにちは、吉岡(@yoshiokatsuneo)です。 Dockerは、シンプルで使い易い軽量仮想環境という特徴を生かして急速に発展しており弊社でも利用しています。 しかし、独自の概念を持つことや、機能が次々追加されていることから、誤解を生じることもあります。 特にセキュリティについては感情的になりやすいので正確な情報を把握することが大切です。ここでは、Dockerコンテナのセキュリティについてよくある誤解と注意点を紹介します。 ◆Dockerコンテナのセキュリティに関する誤解 コンテナを単に実行するだけで、ホストや他のコンテナがのっとられる コンテナは隔離環境で実行されますので、単純に(オプションを明示せずに)一般的なコンテナを実行するだけで、ホストや他のコンテナがのっとられることは現状はありません(知られてはいません)。 ホストのディレクトリ・ファイルを共有すれば、ホストのファイルに
Docker のセキュリティ — Docker-docs-ja 24.0 ドキュメント
Docker のセキュリティを考えてみる上では、主要な観点が 4 つあります。 カーネルに元からあるセキュリティと名前空間や cgroup のサポート。 Docker デーモンそのものの攻撃領域。 コンテナ設定プロファイルにおける抜け穴。デフォルトの場合だけでなくユーザーによるカスタマイズ時も含む。 セキュリティ強化されたカーネル機能とそれがコンテナとやり取りする方法。 カーネルの名前空間¶ Docker コンテナは LXC コンテナによく似ています。 どちらも同じようなセキュリティ機能を持っています。 docker run によってコンテナを起動させると Docker の内部処理では、コンテナが利用する名前空間やコントロールグループが生成されます。 名前空間とは、初めて提供された最もストレートな形の分離技術のことです。 コンテナ内部にて起動されるプロセスからは、他のコンテナ内部やホストシ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
