Trend Vision One Container SecurityをECS Fargate環境で構築してランタイム監視してみた

shima

2023.12.07

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、シマです。
皆さんはTrend Vision Oneを使っていますか？今回はTrend Vision Oneの中でも個人的に注目しているContainer Securityについてです。
Trend Vision One Container Security(以降V1CS)は、2023年9月にリリースされたコンテナ環境に対するセキュリティ強化ソリューションです。Cloud One Container Securityでは未対応だったECS Fargate環境にも、現時点では限定された機能ではありますが、対応しているという点からとても注目しています。

V1CSはECS Fargate環境で何ができるの？

コンテナのイメージスキャン、ランタイム監視(ログ出力のみ)、ランタイム脆弱性検索の3つのことができます。
コンテナのイメージスキャンは、コンテナデプロイ前のイメージをスキャンし、脆弱性や不正プログラム検出をします。ランタイム監視(ログ出力のみ)は、コンテナ内部での不信な挙動を監視し、ログの出力を行います。ランタイム脆弱性検索は、稼働中の各コンテナに含まれる脆弱性を可視化します。

ランタイム監視(ログ出力のみ)を見てみる

今回の構成はシンプルに以下のような構成にしています。

ECSやV1CSの詳細な構築手順については割愛しますが、ECS Fargate環境でのランタイム監視はサイドカーとしてV1CSモジュールを配置して監視するような仕組みになっています。

AWS CloudShellからECS Execによりアプリケーションが動作しているmainコンテナへログインします。

aws ecs execute-command \
>     --cluster cluster \
>     --task xxxxxxxxxxxxxxx \
>     --container main \
>     --interactive \
>     --command "/bin/bash"

The Session Manager plugin was installed successfully. Use the AWS CLI to start a session.

Starting session with SessionId: ecs-execute-command-xxxxxxxxx
bash-5.2#

毎度お世話になっているEICAR テストファイルをコンテナ内にダウンロードしてみます。

bash-5.2# wget https://secure.eicar.org/eicar.com

この状態でTrend Vision Oneコンソールを見てます。
Trend Vision Oneコンソールへログインし、左ペインの「CLOUD SECURITY OPERATIONS」から「Container Security」→「Container Protection」を選択します。

表示される画面から、「Events」→「ECS Runtime」を選択することで出力されたログを確認することができます。

今回のアクションはルール「Create Hidden Files or Directories」、「Launch Ingress Remote File Copy Tools in Container」にて検出することができました。ルール名からわかるようにファイルの取り込み自体がトリガーになっているようで、不正プログラム検出をしたわけではないようです。
※不正プログラム検出用のルールはなさそうです。

下図は一例ですがこの他にも多数のルールセットが用意されているので、必要に応じて追加をして対応することができます。