🐢はじめに

みなさん、こんにちは！ Sysdigブログ第32回は鳥飼がお届けします。
Sysdig Secureの強みの一つは、オープンソースの脅威検知エンジンであるFalcoを活用したCWPP (Cloud Workload Protection Platform) です。コンテナやホスト環境の保護でご存知の方も多いかもしれませんが、「サーバーレスなワークロードも保護できるの？」というご質問をよくいただきます。
「サーバーレス」と一言で言っても、その形態は様々です。本記事では、サーバーレスワークロードを大きく以下の2種類に分類し、Sysdigがそれぞれをどのように保護するのかを解説します。

1. コンテナベースのサーバーレス： AWS Fargate, Google Cloud Run, Azure Container Apps のように、コンテナをサーバーレスで実行するサービス。
2. FaaS (Function-as-a-Service)： AWS Lambda, Google Cloud Functions, Azure Functions のように、コード（関数）をイベント駆動で実行するサービス。

🎯この記事のポイント

• サーバーレスには「コンテナベース」と「FaaS」の2種類があり、それぞれ保護のアプローチが異なることを解説します。
コンテナベース (AWS Fargateなど) は、エージェントをサイドカーで導入し、ランタイムの脅威を検知します。
• FaaS (AWS Lambdaなど) は、エージェントレスでクラウドの設定不備や不審なアクティビティを監視します。
• Sysdig Secureが、これらの異なるワークロードを単一プラットフォームでどのように保護できるかがわかります。

🐧「コンテナベースのサーバーレス」と「FaaS」の違い

この2つのアプローチは、どちらが優れているということではなく、用途に応じて使い分けられます。主な違いを下の表にまとめました。

🐳Sysdig Secureによるコンテナベースのサーバーレス保護

Sysdig Secureは、AWS Fargateのようなコンテナベースのサーバーレスワークロードに対し、エージェントベースの保護を提供します。

具体的には、お客様のアプリケーションコンテナに「Sysdig Serverless Agent」をサイドカーとしてデプロイします。このエージェントが、アプリケーションコンテナ内で実行されるプロセスの振る舞いをリアルタイムで監視し、ランタイムでの不審なアクティビティ（例: 不正なプロセスの起動、ファイルへの不審な書き込みなど）を検知します。

◇参考：[Sysdig documentation - Secure for Serverless]
(https://docs.sysdig.com/en/sysdig-secure/linux-on-serverless/)

補足：コンテナへの`exec`操作の検知

`ecs exec`などでコンテナにインタラクティブなシェルを起動する操作は、アプリケーションとは独立したプロセスです。このような操作は、Sysdigのエージェントレスな脅威検知機能が、クラウドプロバイダーの監査ログ（AWS CloudTrailなど）を監視することで検知します。

👾Sysdig SecureによるFaaSの保護

一方、AWS LambdaのようなFaaSに対しては、エージェントレスのアプローチで保護します。

FaaSは実行時間が非常に短く、攻撃者が侵入しても活動範囲を広げにくいという特性があります。また、実行基盤となるOSの脆弱性管理はクラウドプロバイダーの責任範囲です。これらの理由から、FaaSの保護には、クラウドの設定やアクティビティを監視するエージェントレス型のアプローチが適しています。

Sysdigは、以下のような脅威を検知します。

設定の不備：

Functionへの過剰な権限付与、外部から呼び出し可能な設定など。

不審なアクティビティ：

Functionの不正なコード変更、サポート切れランタイムでの関数作成など。

さらに、CIEM (Cloud Infrastructure Entitlement Management) 機能を用いて、Functionに割り当てられた権限が最小権限の原則に従っているかを評価し、過剰な権限を可視化することも、セキュリティ強化に非常に有効です。

◇参考：[クラウド検知・対応(CDR)とは?](https://sysdig.jp/learn-cloud-native/what-is-cloud-detection-and-response-cdr/)
◇参考：[クラウド基盤権限管理(CIEM)とは?](https://sysdig.jp/learn-cloud-native/what-is-cloud-infrastructure-entitlements-management-ciem/)

📝まとめ

同じ「サーバーレス」でも、そのアーキテクチャによってセキュリティのアプローチが異なることをご理解いただけたでしょうか。

コンテナベースのサーバーレス：

エージェントをサイドカーで導入し、ランタイムの脅威を検知。

FaaS：

エージェントレスでクラウドの設定やアクティビティを監視し、構成ミスや不正操作を検知。

このように、Sysdig Secureは、ワークロードの特性に応じた多層的な保護を単一のプラットフォームで提供します。
クラウドセキュリティプラットフォームをご検討中でしたら、ぜひお気軽に[こちら]( https://ite.scsk.jp/Sysdig_Inquiryform) よりご相談ください。

担当者紹介

担当者名

鳥飼

コメント

Sysdigを中心にコンテナ、Kubernetes、クラウド領域の業務に従事しています。

保有資格

Certified Kubernetes Administrator