開発者向けSnyk・Dockerセキュリティガイドを公開

著者

2020年11月18日

4 分で読めます

コンテナの脆弱性スキャン結果を初めて目にした方もいるでしょう。すでにいくつか、あるいはかなり多くの問題が見つかっているかもしれません。イメージをスキャンして、数十件、数百件もの脆弱性が一覧に表示されたら、気が遠くなることもあるでしょう。ご安心ください！こうした問題に対処するための基盤づくりに役立つ、開発チーム向けコンテナセキュリティガイドを公開します。

Snyk Containerは、コンテナイメージに何が含まれているか、コンテナやOSのセキュリティ上の落とし穴に詳しくない開発者がどのように問題を修正できるか、そして数多く見つかる可能性のある脆弱性の中でどこに注力すべきかを明らかにします。

開発者のための実践的なガイド

セキュアなコンテナを構築するためのベストプラクティス集は数多くありますが、「コンテナの脆弱性をスキャンする」といった項目が一つあるだけ、ということも珍しくありません。考え方は正しいものの、脆弱性を把握した後に何をすればよいのでしょうか。実は、次に何をすべきかという問題はコンテナの脆弱性に限りません。これが、当社の社名がSnykである理由の一つです。「So Now You Know（これで分かった。では次は？）」！

コンテナの脆弱性ダッシュボード。重大度別の件数とスキャン結果、および本番環境でのコンテナ実行が許可されていないことを示す警告が表示されています。

コンテナに脆弱性があると分かったところで、どう対処すればよいのでしょうか？

当社の製品が技術面の課題の一部を解決すると考えていますが、人やプロセスに関わる教育的な側面は、製品に簡単に組み込めるものではありません。そこで、このガイドが役立ちます。コンテナイメージの構築やスキャンにどのツールを使う場合でも、コンテナの脆弱性に対処するためのプロセスを始める際の指針をご紹介します。

まず、コンテナセキュリティ全般を概説し、次にコンテナイメージのセキュリティについて詳しく解説します。そのうえで、コンテナの脆弱性に対処するプロセスと、他の組織が安全なイメージを共同で構築するために導入し、成果を上げているDevSecOpsワークフローの例をご紹介します。また、コンテナ内で自社コードを安全に保つ方法、Docker Officialイメージを使うべき理由、セキュリティの観点から最適なベースイメージを選ぶ方法も取り上げます。

ヒント：この点では、当社の製品が大いに役立ちます！

ご安心ください。プロセスの手引きだけではありません。豊富な事例とコードも掲載しています。

1$> docker build -t hello-python:slim . -f Dockerfile.slim
2[+] Building 0.4s (8/8) FINISHED
3 => [internal] load build definition from Dockerfile.slim                                                                                                               0.0s
4 => => transferring dockerfile: 78B                                                                                                                                     0.0s
5 => [internal] load .dockerignore                                                                                                                                       0.0s
6 => => transferring context: 2B                                                                                                                                         0.0s
7 => [internal] load metadata for docker.io/library/python:slim                                                                                                          0.3s
8 => [1/3] FROM docker.io/library/python:slim@sha256:9ab472fc54e9ed1064c97ff26baa16f3aad8009c03e9adf63d408f39ad3dc983                                                    0.0s
9 => [internal] load build context                                                                                                                                       0.0s
10 => => transferring context: 66B                                                                                                                                        0.0s
11 => CACHED [2/3] WORKDIR /app                                                                                                                                           0.0s
12 => CACHED [3/3] COPY hello.py /app                                                                                                                                     0.0s
13 => exporting to image                                                                                                                                                  0.0s
14 => => exporting layers                                                                                                                                                 0.0s
15 => => writing image sha256:259d236f493082154e71152881754ea50c5bf7b882413bba2b92c356af6bf83a                                                                            0.0s
16 => => naming to docker.io/library/hello-python:slim                                                                                                                    0.0s
17
18$> docker run --rm -it hello-python:slim
19Hello world!
20
21$> snyk container test hello-python:slim --file=Dockerfile.slim
22
23Testing hello-python:slim...
24...
25Package manager:   deb
26Target file:       Dockerfile.slim
27Project name:      docker-image|hello-python
28Docker image:      hello-python:slim
29Platform:          linux/arm64
30Base image:        python:slim
31Licenses:          enabled
32
33Tested 106 dependencies for known issues, found 48 issues.
34
35According to our scan, you are currently using the most secure version of the selected base image