AWS Fargateに最適な最新のコンテナセキュリティとは

あなたがセキュリティを兼任する事業部門のAWSインフラ担当の場合、セキュリティサービスの最初の選択肢は、AWSネイティブサービスがよいでしょう。AWSネイティブのセキュリティサービスは、検知機能が主であるものの、費用や範囲、有効化の容易さから、小さな組織のセキュリティ担当者にメリットを提供します。

そのため、最初のステップとして、まずはAmazon GuardDutyで包括的かつ簡便なベースラインを確保しましょう。コンテナイメージに含まれる脆弱性監視と、オーケストレータに対する不正な操作に対する監視、コンテナに関わる不正通信の監視は、Amazon GuardDutyですぐにでも対策できるため、ぜひ活用ください。

次に、Trend Vision One – Container Securityによるマルウェア対策・リアルタイムのランタイムセキュリティをお勧めします。GuardDutyを補完して、より高度なセキュリティ機能を提供します。イメージや関連アーティファクトへのマルウェア対策、Fargate環境で稼働中のコンテナで発生する不審活動に対して、MITRE ATT&CKベースのルールによるリアルタイムな監視をTrend Vision One – Container Securityは提供します。あなたが、AWS MarketplaceでTrend Cloud Oneを購入して運用している場合、同じAWS Marketplaceで同じTrend Microの製品を購入して運用することは、オンボーディング体験をより一層簡便かつ効果的にします。

今後の動向として注目いただきたいことは、起動タイプFargateにおける稼働中コンテナのマルウェア対策です。2023/11時点では、Fargate環境の技術的な制約上、従来の対策通りに「マルウェア」の検知駆除は難しい状況です。ただし、現在Trend Vision One – Container Securityは、マルウェアかどうかは判定できないものの、コンテナ上の実行ファイルに対する監視を行うこと、およびマルウェア感染後の不審な挙動を検知することは可能です。例えば、デプロイ時には想定していなかった、不審な実行ファイルへの権限付与や実行と、それに伴うコンテナ内でのクレデンシャルファイルの捜索活動を検知することができます。今後この領域への機能改善は、多くのFargateユーザにとって待望のものであると考えております。Trend Microもお客様からのリクエストにお応えできるよう、検討を進めていければと思います。

注：図表には参考として、AWS Fargateでは考慮する必要のないホストも保護対象として記載しています。Trend Vision One – Container Securityは、起動タイプEC2もFargateも両方をサポートいたします。Trend Cloud One - Workload Security™ はコンテナ稼働ホストにマルウェア対策を提供します。
注：コンテナアプリへの不正通信を検知ではなく、防御したい場合にはTrend Cloud One - Network Security™ をご検討ください。