2021.06.29

Aquaを使うならこんなふうに第6回 AquaのDTAについて #aqua #container #security #コンテナ #セキュリティ

この記事は1年以上前に投稿されました。情報が古い可能性がありますので、ご注意ください。

AquaのDTAについて

前回は、AquaのImage Assurance Policy について説明しました。今回は、コンテナイメージスキャンにおけるAquaの独自機能、DTA(Dynamic Threat Analysis)について説明します。

DTAとは

DTA(Dynamic Threat Analysis)は、Aquaのイメージスキャンのアドオン機能です。

通常のイメージスキャンは、イメージ内に含まれるパッケージの脆弱性やマルウェアを検知します。しかし、それではコンテナ実行時にのみ不正な動作を開始するタイプのマルウェアなどには対応できません。DTAは、Aquaが提供するサンドボックス環境内で対象イメージを動作させ、その行動を監視します。悪意ある振る舞い、ネットワーク通信などの行動パターン、サイバー攻撃の痕跡を示す情報である IoC(Indicators of Compromise)を監視することで、イメージに脅威が含まれていないことを確認します。

例えば、以下の脅威を検知できます。

コンテナエスケープ(コンテナからコンテナホストを操作する)
マルウェア
クリプトマイナー(暗号通貨の採掘)
コードインジェクションによるバックドア
その他

DTAを使用する理由は、通常のイメージスキャンに加え、以下を検知できるためです。

実行中のコンテナに、動的にダウンロードされたマルウェアの発見
APT（Advanced Persistent Threats）やマルチステージ攻撃への対応
既知のシグネチャを持たないマルウェアやゼロデイ攻撃の検出

DTAはイメージスキャンを置き換えるのではなく、検知可能な脅威を増やし補完するものです。

サンドボックスへのアップロード

DTAでイメージスキャンする場合には、対象イメージをAqua社が提供するサンドボックスへアップロードします。Aqua社はこのイメージに含まれるデータと秘密については破棄します。このサンドボックス環境は、他の顧客やユーザに使用されません。また、スキャン終了後、アップロードしたイメージはAqua社のサーバから削除されます。

DTAの操作

DTAを使用するには、DTA用のライセンス登録が必要です。これはDTAがイメージスキャンのアドオン機能であるためです。

ライセンスの登録

Aqua社から取得したライセンスを登録するには、Setting＞Dynamic Threat Analysisを選択します。ここで、「Enable Dynamic Threat Analysis Scanning」のチェックを入れ、「Tokens」欄にライセンスをペーストします。「Check License」を押してライセンスを確認し、「Save」でこの設定を保存します。

DTA license