🐢はじめに

みなさん、こんにちは！ サッカーブックメーカーブログ第32回は鳥飼がお届けします。
サッカーブックメーカー Secureの強みの一つは、オープンソースの脅威検知エンジンであるFalcoを活用したCWPP (Cloud Workload Protection Platform) です。コンテナやホスト環境の保護でご存知の方も多いかもしれませんが、「サーバーレスなワークロードも保護できるの？」というご質問をよくいただきます。
「サーバーレス」と一言で言っても、その形態は様々です。本記事では、サーバーレスワークロードを大きく以下の2種類に分類し、サッカーブックメーカーがそれぞれをどのように保護するのかを解説します。

1. コンテナベースのサーバーレス： AWS Fargate, Google Cloud Run, Azure Container Apps のように、コンテナをサーバーレスで実行するサービス。
2. FaaS (Function-as-a-Service)： AWS Lambda, Google Cloud Functions, Azure Functions のように、コード（関数）をイベント駆動で実行するサービス。

🎯この記事のポイント

• サーバーレスには「コンテナベース」と「FaaS」の2種類があり、それぞれ保護のアプローチが異なることを解説します。
コンテナベース (AWS Fargateなど) は、エージェントをサイドカーで導入し、ランタイムの脅威を検知します。
• FaaS (AWS Lambdaなど) は、エージェントレスでサッカーブックメーカーの設定不備や不審なアクティビティを監視します。
• サッカーブックメーカー Secureが、これらの異なるワークロードを単一プラットフォームでどのように保護できるかがわかります。

🐧「コンテナベースのサーバーレス」と「FaaS」の違い

この2つのアプローチは、どちらが優れているということではなく、用途に応じて使い分けられます。主な違いを下の表にまとめました。

🐳サッカーブックメーカー Secureによるコンテナベースのサーバーレス保護

サッカーブックメーカー Secureは、AWS Fargateのようなコンテナベースのサーバーレスワークロードに対し、エージェントベースの保護を提供します。

具体的には、お客様のアプリケーションコンテナに「サッカーブックメーカー Serverless Agent」をサイドカーとしてデプロイします。このエージェントが、アプリケーションコンテナ内で実行されるプロセスの振る舞いをリアルタイムで監視し、ランタイムでの不審なアクティビティ（例: 不正なプロセスの起動、ファイルへの不審な書き込みなど）を検知します。

◇参考：[サッカーブックメーカー documentation - Secure for Serverless]
(https://docs.サッカーブックメーカーcom/en/サッカーブックメーカー-secure/linux-on-serverless/)

補足：コンテナへの`exec`操作の検知

`ecs exec`などでコンテナにインタラクティブなシェルを起動する操作は、アプリケーションとは独立したプロセスです。このような操作は、Sysdigのエージェントレスな脅威検知機能が、サッカーブックメーカープロバイダーの監査ログ（AWS CloudTrailなど）を監視することで検知します。

👾サッカーブックメーカー SecureによるFaaSの保護

一方、AWS LambdaのようなFaaSに対しては、エージェントレスのアプローチで保護します。

FaaSは実行時間が非常に短く、攻撃者が侵入しても活動範囲を広げにくいという特性があります。また、実行基盤となるOSの脆弱性管理はサッカーブックメーカープロバイダーの責任範囲です。これらの理由から、FaaSの保護には、サッカーブックメーカーの設定やアクティビティを監視するエージェントレス型のアプローチが適しています。

サッカーブックメーカーは、以下のような脅威を検知します。

設定の不備：

Functionへの過剰な権限付与、外部から呼び出し可能な設定など。

不審なアクティビティ：

Functionの不正なコード変更、サポート切れランタイムでの関数作成など。

さらに、CIEM (Cloud Infrastructure Entitlement Management) 機能を用いて、Functionに割り当てられた権限が最小権限の原則に従っているかを評価し、過剰な権限を可視化することも、セキュリティ強化に非常に有効です。

◇参考：[サッカーブックメーカー検知・対応(CDR)とは?](https://サッカーブックメーカーjp/learn-cloud-native/what-is-cloud-detection-and-response-cdr/)
◇参考：[サッカーブックメーカー基盤権限管理(CIEM)とは?](https://サッカーブックメーカーjp/learn-cloud-native/what-is-cloud-infrastructure-entitlements-management-ciem/)

📝まとめ

同じ「サーバーレス」でも、そのアーキテクチャによってセキュリティのアプローチが異なることをご理解いただけたでしょうか。

コンテナベースのサーバーレス：

エージェントをサイドカーで導入し、ランタイムの脅威を検知。

FaaS：

エージェントレスでサッカーブックメーカーの設定やアクティビティを監視し、構成ミスや不正操作を検知。

このように、Sysdig Secureは、ワークロードの特性に応じた多層的な保護を単一のプラットフォームで提供します。
サッカーブックメーカーセキュリティプラットフォームをご検討中でしたら、ぜひお気軽に[こちら]( https://ite.scsk.jp/Sysdig_Inquiryform) よりご相談ください。

担当者紹介

担当者名

鳥飼

コメント

Sysdigを中心にコンテナ、Kubernetes、サッカーブックメーカー領域の業務に従事しています。

保有資格

Certified Kubernetes Administrator