単純にエージェントvsエージェントレスで比較してはいけない理由 #aqua #コンテナ #セキュリティ

本ブログは「Aqua Security」社の技術ブログで2022年2月3日に公開された「 Why Agent vs Agentless is a False Choice 」の日本語翻訳です。

単純にエージェントvsエージェントレスで比較してはいけない理由

---

クラウドネイティブセキュリティ戦略を導入するためには、はじめの可視化から予防と対応の自動化までの全行程において、重要な決断を迫られることになります。

このブログでは、APIベースのシームレスな可視化から、より深い可視性と保護機能を備えたエージェントまで、その道筋における実装の決定について説明します。チームごとにスタート地点は異なり、重要なのは、リスク許容度に関する意識的な決定に基づいて、自分たちのやり方を確立することです。

すばやく容易に工程を始める

クラウドネイティブセキュリティを始めたばかりのチームからよく聞かれるのが、「あなたのソリューションにはエージェントが必要ですか」という質問です。ほとんどの運用保守担当者は、導入の容易さとスピードから、ある種のエージェントレス実装から始めます。

例えば、クラウドネイティブセキュリティの典型的なスタートとして、運用保守担当者はシフトレフトのセキュリティテストと予防的コントロールを採用します。Infrastructure as Code のスキャンは、この段階で行われることの一例であり、単純なエージェントレス Helm チャートのインストールとバイナリのダウンロードによって実行できます。

以下は、エージェントレス実装を始めるための迅速で簡単な方法のいくつかの例です。

セキュリティと実装の容易さのトレードオフの理解

しかし、その工程は「一長一短」なのです。チームごとに、機密性やセキュリティの意味合いが異なるアプリケーションを保有しています。例えば、HIPAA や PCI-DSS のようなコンプライアンス規制によって管理される機密データを扱うビジネスクリティカルなアプリケーションは、より厳しいセキュリティ要件を持っています。一般に、セキュリティ管理の強度が増すと、実装方法の全体的な関与の度合いも増します。

図1：ワークロードに応じた速度と保護の最適化

そしてもちろん、視認性とアクティブレスポンスには、さまざまなバリエーションがあります。例えば、可視化の種類は、すべて同じではありません。eBPF を使ったカーネルレベルの可視化のような、より深いレベルの実装には大きな労力が必要です。また、ワークロードが実行される前に動作する Kubernetes Admission Controller のように、より侵入性の低いレスポンス手法もあります。

セキュリティ性能と導入のしやすさのトレードオフの影響を無視した結果

運用保守担当者が失敗しがちなのは、セキュリティ要件より実装方法に主眼を置いてセキュリティ対策を決定する場合です。典型的な例として、運用保守担当者は、重要なデータを扱うアプリケーションなのにも関わらず、すぐに運用を開始することを重視し、軽度のエージェントレス可視性しか使用しないという誤りを犯します。そして、これはあまり一般的ではありませんが、やはり同様の問題は、運用保守担当者がアプリケーションのセキュリティリスクに見合わない実装方法を使用する場合です。アプリケーションによっては、重要な機能を実行しないこともあり、そういった時はチームは重い実装に時間と労力を費やす必要のない場合があります。このようなチームは、貴重なリソースを浪費する危険性があります。ビジネスクリティカルなアプリケーションは、詳細で積極的な制御と、消極的でエージェントレスな可視性の両方を持つことも可能です。

いずれにせよ、同じプラットフォームから両方を見ることができれば、一貫性とノイズの低減に役立ちます。

クラウドネイティブにおけるエージェントvsエージェントレス

クラウドネイティブでは、エージェントベースの保護により、ビジネスクリティカルなアプリケーションに必要な積極的な保護を提供できます。しかし、クラウドネイティブの文脈では、「エージェント」という言葉に少し語弊があることを考慮することは重要です。

これまで「エージェント」は、ホスト侵入防御システム(HIPS)、エンドポイント保護プラットフォーム(EPP)、エンドポイント検出、応答(EDR)ソリューションなどで使用されてきました。これらの従来のソリューションでは、エージェントはエンドポイントにインストールされ、オペレーティングシステムの設定を変更します。クラウドネイティブでは、アクティブコントロールのオプションとエージェントは、オペレーティングシステムの設定を変更することはありません。

クラウドネイティブにおける導入手法	目的
サイドカーコンテナ	Fargateのようなホストへのアクセスが制限されている環境のセキュリティ
Lambdaレイヤーとしてデプロイされたコードスニペット	ランニングファンクションのセキュリティ
コンテナ	コンテナ環境向けの深いランタイム機能(実行可能ファイルのブロックなど)のセキュリティ
eBPF プログラム	Linuxランタイムイベントをカーネルレベルで詳細に可視化
カーネルモジュール	実行時にカーネルの機能を拡張