改竄して学ぶコンテナサプライチェーンセキュリティ ~コンテナイメージの完全性を目指して~ Tweet

Proposal: (エントリー済み)

近年ソフトウェアサプライチェーンセキュリティへの関心が高まっており、それはコンテナの活用においても例外ではありません。
コンテナにおける代表的なサプライチェーンセキュリティ対策としては、認証済イメージや脆弱性スキャナの利用、コンテナイメージへの署名などが挙げられます。
また、最近ではソフトウェアの構成部品をリスト化したSBOMの活用にも注目が集まっています。
しかしサプライチェーンにおける攻撃範囲は多岐に渡り、上記のようなコンテナイメージそのものへの対策だけでは対応しきれない場合もあります。
例えばコンテナイメージのビルド、レジストリへのアップロード、Kubernetesへのデプロイという一般的なサプライチェーンにおいてビルドプロセスが侵害された場合、期待とは異なる改竄されたコンテナイメージが生成されてしまうことになります。
このようなコンテナイメージの改竄は脆弱性スキャナでは検知できないことが多く、さらには改竄されたコンテナイメージに署名を行い正規のものとして公開・デプロイしてしまうリスクに繋がります。
現実世界でもSolarWinds事件などビルドプロセスの侵害を狙った攻撃が発生しており、甚大な被害をもたらしたことが知られています。
本セッションではこのようなサプライチェーンにおけるビルドプロセス侵害のデモを通じて、in-totoやSLSAなどのフレームワークを交えながら、主にコンテナイメージの完全性に着目したセキュリティ対策について解説します。