Security Center:イメージセキュリティスキャンの設定と実行

利用シーン

• スキャン可能なリポジトリ: ユーザーが作成した Container Registry Enterprise Edition イメージリポジトリ および Security Center に追加した Harbor、Quay、および GitLab イメージリポジトリ。

• スキャン範囲：デフォルトでは、イメージセキュリティスキャンはすべてのイメージリポジトリおよび確認項目を対象とします。特定のイメージリポジトリ、ベースライン確認項目、脆弱性ホワイトリスト、機密ファイルタイプホワイトリスト、リスクファイルホワイトリストなど、スキャン範囲を構成できます。詳細については、「ステップ 1：イメージセキュリティスキャン範囲の構成」をご参照ください。

• スキャン方法：即時イメージセキュリティスキャン (手動スキャン)および定期イメージセキュリティスキャン (定期スキャン)。

  手動スキャンおよび定期スキャンの両方で、構成済みのスキャン範囲が使用されます。

• クォータ消費：Security Center は、ダイジェストに基づいてイメージを識別します。イメージのダイジェストが変更されていない場合、初回スキャンで 1 つのクォータ権限付与を消費します。ダイジェストが変更されたイメージの後続スキャンでは、追加の権限付与を消費します。

  イメージセキュリティスキャンを実行する前に、十分な Container Image Scan 権限付与があることを確認してください。詳細については、「Container Image Scan サービスの有効化」をご参照ください。

• スキャン時間：スキャンタスクの安定性を確保するため、Security Center では各イメージスキャンタスクのタイムアウト期間を 4 時間に設定しています。この値は変更できません。スキャンタスクは 4 時間後にタイムアウトし、指定されたすべてのイメージリポジトリのスキャンが完了していなくても停止します。

  説明

  スキャン効率を向上させるには、スキャン前にターゲットのイメージリポジトリを指定してください。Harbor イメージリポジトリの場合は、Speed Limitも構成できます。詳細については、このトピックのイメージリポジトリの管理セクションをご参照ください。

ステップ 1：イメージスキャン範囲の構成

構成済みのスキャン範囲は、手動スキャンおよび定期スキャンの両方に適用されます。

1. Security Center コンソールにログインします。 ナビゲーションウィンドウで、保護設定 > コンテナ保護 > イメージセキュリティスキャン を選択します。コンソールの左上隅で、保護対象の資産が配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

2. Container Image Scan ページの右上隅で、スキャンの設定 をクリックします。

3. 機能タブをクリックして、イメージスキャンタスクのスキャン範囲を構成します。

   スキャンパラメーター

   パラメーター	説明
   Consumed Quota/Purchased Quota	コンテナイメージスキャンの使用済みおよび購入済みクォータを表示します。クォータが不足している場合は、スケールアウト をクリックして追加購入します。
   Scan Cycle	コンテナイメージスキャンの頻度を選択します。このパラメーターは定期スキャンにのみ適用されます。
   Scan Scope	スキャン対象のイメージリポジトリを指定します。次の手順を実行します。 Scan Scope の右側にある 管理 をクリックします。 Image Management ダイアログボックスで、スキャン対象のイメージリポジトリのチェックボックスをオンにします。 デフォルトでは、リポジトリリストの右上隅で Automatically Adds New Image Repositories for Scan が有効になっています。つまり、新しいイメージリポジトリが追加されると、定期スキャンのスキャン範囲に自動的に含まれます。この機能を無効にするには、スイッチ をクリックします。 確認する をクリックします。
   Scan Time Range	イメージ脆弱性スキャンの時間範囲を選択します。 重要 スキャン時間範囲は、イメージのローカル更新時間に基づいて決定されます。更新時間が利用できない場合は、イメージのローカル作成時間が使用されます。時間範囲により、イメージがスキャン対象となるかどうかが決まります。 たとえば、スキャン時間範囲を 過去 7 日間 に設定した場合、Security Center は過去 7 日間に更新されたイメージをスキャンします。 更新時間が利用可能だが、イメージの最終更新が 7 日以上前である場合、スキャンは成功しますが、スキャンされたイメージ数がゼロであるというレポートが生成されます。 更新時間が利用できず、イメージの作成が 7 日以上前である場合、そのイメージはスキャンされません。
   Vulnerability Retention Period	定期的な脆弱性スキャン結果の保持期間を指定します。Security Center は、保持期間を超えたスキャン結果を自動的に削除します。

   イメージリポジトリ

   Image Repository タブをクリックすると、スキャン可能な Container Registry Enterprise Edition インスタンス (リポジトリタイプ：acr) および接続済みのプライベートイメージリポジトリ (リポジトリタイプ：harbor、quay、gitlab など) のリストを表示できます。

   説明

   • Security Center は、お客様の Alibaba Cloud アカウント配下の Container Registry Enterprise Edition インスタンスを自動的にイメージリポジトリリストに同期します。Container Registry Enterprise Edition インスタンスをリストから削除することはできません。

   • イメージセキュリティスキャン ページの右上隅にある タスク管理 をクリックし、Container Asset Synchronization タブおよび Synchronize Image Asset タブに移動して、資産同期の進行状況およびステータスを確認できます。

   • リストにないプライベートイメージリポジトリをスキャンするには、Add Image Repository をクリックして、プライベートイメージリポジトリを接続します。詳細については、「イメージリポジトリの接続」をご参照ください。

   • スキャンリストからプライベートイメージリポジトリを削除するには、そのリポジトリの Actions 列で Remove をクリックし、確認メッセージで 確認する をクリックします。

     説明

     リスト内の 2 つのデフォルトイメージリポジトリ (リポジトリタイプ：acr および defaultAcr) は削除できません。

   • harbor イメージリポジトリの場合、Actions 列で Edit をクリックして、イメージスキャンの Speed Limit を構成し、スキャン効率を向上させることができます。スロットリングにより、1 時間にスキャンできるイメージ数が指定されます。デフォルト値は 10 です。

     たとえば、harbor イメージリポジトリに 200 のイメージが含まれている場合、デフォルトのスロットリング設定を使用すると、スキャン完了までに 20 時間かかります。ただし、各スキャンタスクのグローバルタイムアウト期間は 4 時間であるため、すべてのイメージをスキャンできない可能性があります。スロットリング値を 200 に設定すると、スキャンはわずか 1 時間で完了します。ビジネス要件およびネットワーク状況に基づいて、このパラメーターを構成できます。

   イメージベースラインスキャン

   イメージ脆弱性スキャンを設定する際に、イメージベースラインスキャンの確認項目を構成できます。

   1. スキャンの設定 パネルで、Baseline Configuration Management タブをクリックします。

   2. Scan Scope の右側にある 管理 をクリックします。

   3. Baseline Check Scope パネルで、チェック対象のベースラインを選択し、OK をクリックします。

      重要

      Baseline Check Scope パネル内の 平文で保存された AccessKey および パスワード漏洩 ベースラインチェックは、それぞれ AccessKey 漏洩検出 および パスワード漏洩検出 に対応しています。ベースラインチェック範囲 パネルで 平文で保存された AccessKey および パスワード漏洩 ベースラインを選択すると、ベースライン構成管理 下の AccessKey 漏洩検出 および パスワード漏洩検出 のスイッチが自動的に有効になります。再度設定する必要はありません。AccessKey 漏洩検出 および パスワード漏洩検出 の横にあるスイッチを使用して、これらの 2 つのベースラインを迅速に有効化または無効化することもできます。

   構成が完了すると、Security Center は 今すぐスキャン 操作またはスケジュールされた定期スキャン中に、お客様のイメージのベースライン構成をチェックします。

   ランタイムイメージスキャン

   コンテナランタイムイメージスキャン機能を使用すると、コンテナランタイム環境のセキュリティリスクを検出できます。

   重要

   コンテナランタイムイメージスキャン機能は、定期スキャンではなく、手動スキャンのみをサポートしています。

   1. Security Center コンソールにログインします。 ナビゲーションウィンドウで、保護設定 > コンテナ保護 > イメージセキュリティスキャン を選択します。コンソールの左上隅で、保護対象の資産が配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

   2. ページの右上隅で、スキャンの設定 をクリックします。

   3. スキャンの設定 パネルで、Container Runtime Image Scan タブをクリックします。

   4. Configure Scan Scope をクリックします。表示されるダイアログボックスで、スキャン対象のクラスターおよびアプリケーションを選択し、確認する をクリックします。

   5. 今すぐスキャン をクリックします。

   スキャンの進行状況は、Tasks パネルの Container Runtime Image Scan タブで確認できます。スキャンが完了したら、Container Image Scan ページの イメージの脆弱性リスク タブで検出された脆弱性を確認できます。

   機密ファイルスキャン

   イメージの機密ファイルスキャン機能を使用すると、一般的なファイルタイプおよびカスタムファイルタイプを含む、イメージファイル内の機密データを検出できます。機密データの例としては、アプリケーション構成、汎用証明書およびキー、認証情報、クラウド サービス プロバイダー (CSP) 認証情報などがあります。検出された機密データを速やかに処置することで、イメージ実行環境のセキュリティを向上させることができます。

   重要

   この機能は、ランタイム検出ではなく、静的イメージスキャンのみをサポートしています。

   1. スキャンの設定 パネルで、機密ファイルのスキャン設定 タブをクリックします。

   2. Scope の右側にある 管理 をクリックします。

   3. 機密ファイルのスキャン設定 パネルで、スキャン対象の確認項目を選択します。

   4. 機密ファイル検出スイッチをオンまたはオフにします。

      この機能を有効にすると、今すぐスキャン 操作またはスケジュールされた定期スキャン中に、機密ファイルスキャンも実行されます。

   リスクファイルホワイトリスト

   機密イメージファイル、イメージビルド命令、悪意のあるイメージサンプルに関連するリスクのアラートを受け取りたくない場合は、対応するアラートタイプをホワイトリストに追加できます。ホワイトリストに登録されたリスクは検出されません。

   説明

   • リスクファイルホワイトリストには、悪意のあるイメージサンプル、イメージの機密ファイル、および Image Build Command Risks リストからホワイトリストに追加されたアラートタイプおよびイメージリポジトリが表示されます。詳細については、「イメージスキャンリスクの修復」をご参照ください。

   • リスクファイルホワイトリストを構成する前に、少なくとも 1 回はスキャンを実行する必要があります。

   1. スキャンの設定 パネルで、Configure Whitelist for At-risk Files タブをクリックします。

   2. リスクファイルホワイトリストを構成します。

      • ホワイトリストルールの編集：Sensitive File、Container Build、または Malicious Sample タブで、対象のアラートタイプを見つけ、Actions 列の 編集 をクリックし、ルールの適用範囲を選択します：All Image Repositories または Current Image Repository Only (ホワイトリストに追加するイメージリポジトリを選択)。

      • ホワイトリストルールの削除：Sensitive File、Container Build、または Malicious Sample タブで、対象のアラートタイプを見つけ、Actions 列の Delete をクリックしてルールを削除します。ホワイトリストからルールが削除されると、Security Center は関連リスクの検出およびアラートの生成を再開します。

   イメージ修正

   Security Center は、Container Registry Enterprise Edition のイメージリポジトリ内のシステム脆弱性の自動修正をサポートしています。自動修正を有効化し、修正期間や範囲などのパラメーターを構成できます。

   1. スキャンの設定 パネルで、Image Risk Fixing Configuration タブをクリックします。

   2. Fixing Configuration スイッチをクリックして、自動修正を有効化または無効化します。

   3. この機能を有効化した場合、Fixing Period、Fixing Scope (Container Registry Enterprise Edition のイメージリポジトリ)、および Time Range (指定された時間範囲内に更新されたイメージが修正対象) を構成できます。

      重要

      修正時間範囲は、イメージの更新時間に基づいて決定されます。更新時間が利用できない場合は、イメージの作成時間が使用されます。時間範囲により、イメージが修正対象となるかどうかが決まります。たとえば、時間範囲を 過去 7 日間 に設定した場合、Security Center は過去 7 日間に更新されたイメージを修正します。7 日以上前に更新されたイメージは修正されません。

      今すぐスキャン 操作を実行するか、構成済みの定期スキャンが実行されると、対象イメージ内のシステム脆弱性が、設定した修復サイクルに基づいて定期的に識別および修正されます。

      Container Image Scan ページの右上隅にある タスク管理 をクリックし、タスク管理 パネルの Image Risk Fixing タブに移動して、イメージ内のシステム脆弱性の修正ステータスを確認できます。

   脆弱性ホワイトリスト

   特定のイメージ脆弱性をスキャンする必要がない場合は、その脆弱性をホワイトリストに追加できます。ホワイトリストに登録された脆弱性は検出されません。

   1. スキャンの設定 パネルで、脆弱性ホワイトリストの設定 タブをクリックします。

   2. 脆弱性ホワイトリストを構成します。

      • ルールの作成：ルールを新しく追加する をクリックして、異なる脆弱性タイプごとにカスタムホワイトリストルールを追加します。

      • ルールの編集：編集対象のルールを見つけ、Actions 列の 編集 をクリックし、ルールの Applied Assets、Select Image、および 説明 を変更します。

      • ルールの削除：削除対象のルールを見つけ、Actions 列の Delete をクリックします。ルールが削除されると、Security Center は対応する脆弱性の検出およびアラートの生成を再開します。

4. パネルの右上隅にある閉じるアイコン をクリックして、スキャンの設定 パネルを閉じます。

ステップ 2：コンテナイメージスキャンの実行

スキャン範囲を構成すると、手動スキャンおよび定期スキャンの両方が スキャンの設定 パネルの設定に基づいて実行されます。

ステップ 3：イメージスキャンの進行状況およびステータスの確認

1. Container Image Scan ページの右上隅で、タスク管理 をクリックします。

2. タスク管理 パネルで、Image Scan タブをクリックします。

3. Actions 列の Details をクリックして、タスクの実行ログを確認します。

   たとえば、失敗したタスクの場合、問題が発生したイメージおよび失敗の原因を特定できます。

付録