クラウドネイティブスクエア

Sysdigは高精度な脅威検知で知られていますが、2024年3月にリリースされたKill Processは防御機能を強化する新機能です。Sysdigが脅威と判断したプロセスを強制終了するこの機能は、Linuxサーバー、Kubernetes、Docker、AWS FargateなどSysdigエージェントが導入可能な環境であればどこでも利用可能です。

ブログでは、「Terminal shell in container」というFalcoルールを用いて検証が行われました。このルールはコンテナ内へのシェル起動を検知し、不正アクセス検知に役立ちます。検証では、このルールを有効化しKill Processを有効にしたポリシーを作成。テストコンテナを作成し、docker execコマンドでコンテナに侵入を試みたところ、コマンド実行の暇もなくシェルから強制的に抜ける動作を確認しました。これはKill Processが即座に脅威プロセスを終了させたことを示しています。SysdigのGUI上でも、プロセスの強制終了と詳細情報が確認できました。

Kill Processは、攻撃を検知するだけでなく、即座にプロセスを強制終了することで被害を最小限に抑える強力な防御機能です。複雑な設定も不要で、既存のポリシーにも簡単に追加できます。コンテナセキュリティ対策を強化する上で、非常に有効な機能と言えるでしょう。

詳細はこちら