ブログ

HOME Developer Square ブログ【SCSK技術者によるブログ】ゼロトラスト文脈でのクラウドセキュリティ、そしてSysdig

2025

07月

10日

SCSK技術者ブログ Sysdig Secure コンテナ・セキュリティ

【SCSK技術者によるブログ】ゼロトラスト文脈でのクラウドセキュリティ、そしてSysdig

SCSK技術者によるブログ
第28回担当は大野です。今回は概念的なお話となります。

（※本ブログは2025年7月9日時点でのものです。ゼロトラストセキュリティおよびクラウドネイティブ技術の進化・変化により、ブログの内容を変更する可能性があります。）

近年、パンデミックによるリモートワークの民主化と、各種クラウドサービス利用増加により、企業のIT環境は大きく変貌を遂げています。従来の境界防御型のセキュリティでは対応しきれない新たな脅威に対し、「何も信頼しない、常に検証する」というゼロトラストセキュリティの原則と従来の境界防御型のセキュリティを組み合わせたハイブリッドなセキュリティ対策が必要になりました。

ゼロトラストの基軸はID管理・認証認可

ゼロトラストを実践するうえで、まず着手すべきはID管理の高度化と認証認可の徹底です。
誰が、いつ、どこから、どのようなリソースにアクセスしようとしているかを厳密に管理・検証することが、ゼロトラストの基礎となります。これにより、不正アクセスを未然に防ぎ、脅威の侵入ポイントを最小化できます。旧来のID管理方式ですとクラウドサービス利用に対応できなかったり、多要素認証未対応であったりという問題点をクリアにすることが大事です。
（例）Active Directory →EntraID, Okta, Keycloakの採用など

エンドポイントからワークロードへ

ゼロトラストでは、ID管理・認証認可の強化、MDMの採用などを実施したうえで、エンドポイントセキュリティの強化に着手するのが一般的な順序となります。
PCやモバイルデバイス、サーバーOS、クラウドインスタンスなど、多様なエンドポイントに対するセキュリティ強化は必須です。しかし、これらの一般的なエンドポイントと比較して、コンテナのセキュリティは極めて特殊です。

コンテナはとても軽量で速いのが特徴です。そのため、あっという間に立ち上がったり消えたりします。アプリケーションが動いている時間がすごく短いことが多いです。
従来のセキュリティツールだと、このめまぐるしい変化についていけなくて、セキュリティの穴が見過ごされてしまう危険性が多いです。コンテナ特有の脆弱性や、稼働中（ランタイム）の異常検知は、従来のセキュリティアプローチで不十分なのです。

コンテナ・Kubernetesを守る「Sysdig」「Falco」のすごいところ

そんな特殊なコンテナ・Kubernetesのセキュリティを、ゼロトラストの考え方に沿って守るのに最適なのが「Sysdig（シスディグ）」というツールです。 Sysdigは、コンテナが動いている（ランタイム）「まさにその時」の動きをしっかりと監視して、怪しい動きがないかを見つけてくれます。

このSysdigのすごいところは、「Falco（ファルコ）」というオープンソース（無料で誰でも使える公開されたソフトウェア）の技術を使っていることです。Falcoは、コンテナの中で「おかしいな？」という動き、例えば、「変なファイルが書き換えられた」「通常とは違うプログラムが動きだした」といったことを、稼働中（ランタイム）に、リアルタイムで警告（アラート）として教えてくれます。
別のツールでも「リアルタイム」を謳うものはありますが、「ランタイムセキュリティ」を技術的に可能にするのは、Falcoを利用しなければまず不可能だといっても過言ではありません。

Sysdigはモダンインフラのセキュリティになぜ最適なのか？

なぜSysdigが最適だと言えるのでしょうか。

Falcoの生みの親：
特筆すべきは、このFalcoを作った人がSysdigのCTO（最高技術責任者）であるロリス・デジオアンニさんなのです。そのため、SysdigはFalcoの機能を一番よく理解し、最大限に引き出すことができます。
情報がオープンで信頼できる：
Sysdigの技術は、Falcoのようなオープンソースの技術がさまざまに使われています。これは、情報が世の中に公開されていて、透明性が高く、信頼できるということです。特定の会社のルールに縛られずに（ノンプロプライエタリ）、常に最新のセキュリティ対策を取り入れ運用上の不安がありません。何らかの事象があった際に「これ以上はメーカー非公開情報となります」と、原因不明のまま終わってしまうことはありません。
ハイブリッド環境・マルチクラウド環境に対応：
Sysdigは、特定のクラウドサービスだけにしか使えない、なんてことはありません。ベアメタルとクラウドを利用したハイブリッド環境、AWS,Azure,GCP,OCIなどを複数利用するマルチクラウド環境でも一元的に管理できます。

Sysdigが収集するお客様の環境情報は、その関連企業のビジネス戦略に影響されることなく、純粋にセキュリティ強化のために利用されます。どこまでも中立的な立場でお客様のセキュリティ確保が最優先であることは、データのプライバシー・セキュリティを重視するお客様にとって、重要な選択基準となるでしょう。

コンテナやクラウドの利用がどんどん進む中で、Sysdigはゼロトラストセキュリティ実現のための、心強い味方となってくれるでしょう。