改竄して学ぶコンテナサプライチェーンセキュリティ ~コンテナイメージの完全性を目指して~

近年ソフトウェアサプライチェーンセキュリティへの関心が高まっており、それはコンテナの活用においても例外ではありません。 コンテナにおける代表的なサプライチェーンセキュリティ対策としては、認証済イメージや脆弱性スキャナの利用、コンテナイメージへの署名などが挙げられます。 また、最近ではソフトウェアの構成部品をリスト化したSBOMの活用にも注目が集まっています。 しかしサプライチェーンにおける攻撃範囲は多岐に渡り、上記のようなコンテナイメージそのものへの対策だけでは対応しきれない場合もあります。 例えばコンテナイメージのビルド、レジストリへのアップロード、Kubernetesへのデプロイという一般的なサプライチェーンにおいてビルドプロセスが侵害された場合、期待とは異なる改竄されたコンテナイメージが生成されてしまうことになります。 このようなコンテナイメージの改竄は脆弱性スキャナでは検知できないことが多く、さらには改竄されたコンテナイメージに署名を行い正規のものとして公開・デプロイしてしまうリスクに繋がります。 現実世界でもSolarWinds事件などビルドプロセスの侵害を狙った攻撃が発生しており、甚大な被害をもたらしたことが知られています。 本セッションではこのようなサプライチェーンにおけるビルドプロセス侵害のデモを通じて、in-totoやSLSAなどのフレームワークを交えながら、主にコンテナイメージの完全性に着目したセキュリティ対策について解説します。