Trend Vision One Container Securityでイメージのシークレットスキャンをしてみた

shima

2024.07.08

こんにちは、シマです。
皆さんはTrend Vision Oneを使っていますか？Trend Vision Oneには、Container Security(以降V1CS)という機能があり、名前の通りコンテナ環境に対するセキュリティ強化をご支援するソリューションです。先日そのV1CSの機能であるイメージスキャンで、シークレットスキャンができるようになるアップデートがありました。これにより、コンテナイメージ内に意図せずパスワードやAPIキーのような機密情報が混入してしまった場合でも、スキャン結果により気づくことができます。では、早速試していきます。

環境構築

環境構築方法についてはアップデート前と変化はないので、過去のブログをご確認ください。

試してみた

早速イメージスキャンを実行してみます。docker imagesとしては以下のような状態になっており、イメージにはテスト用に作成したAWSのシークレットキー、アクセスキーを含むファイルを配置しています。

$ docker images
REPOSITORY         TAG       IMAGE ID       CREATED          SIZE
test-20240708-01   latest    22cee2e931af   21 seconds ago   144MB

上記のイメージに対して、イメージスキャンを実行します。オプションで「secrets」指定することでシークレットスキャンを実施することができます。その他コマンドの詳細については、以下をご確認ください。

$ tmas scan secrets docker:test-20240708-01:latest -r ap-northeast-1
Scan Complete

{
  "secrets": {
    "totalFilesScanned": 3307,
    "unmitigatedFindingsCount": 7,
    "overriddenFindingsCount": 0,
    "findings": {
      "unmitigated": [
        {
          "ruleID": "aws-access-token",
          "description": "Identified a pattern that may indicate AWS credentials, risking unauthorized cloud resource access and data breaches on AWS platforms.",
          "secret": "XXXXXXXXXXXXXXXXXXXX",
          "location": {
            "layerID": "sha256:4ac688645f02a47a7c3a675f9eadxxxxxfcf8ee7af9aa4cfcc770d9ff839b61",
            "path": "/test/credentials",
            "startLine": 2,
            "endLine": 2,
            "startColumn": 22,
            "endColumn": 41
          }
        }
(以下略)