Sysdig

AWS CodePipelineおよびAWS CodeBuildにおけるインラインイメージスキャニング

2019

11月

28日

AWS Docker NIST Sysdig Secure イメージスキャンコンテナ・セキュリティ

Google Cloudとコンテナの継続的なセキュリティ

本文の内容は、2019年11月26日にSysdigのFede Barcelonaが投稿したブログ(https://sysdig.com/blog/image-scanning-aws-codepipeline-codebuild/)を元に日本語に翻訳・再構成した内容となっております。

このブログ投稿では、Sysdig Secure DevOps Platformを使用して、AWS CodePipelineとAWS CodeBuildのイメージ脆弱性スキャンを設定する方法を学びます。

AWSは、DevOpsチームへバージョン管理用のCodeCommit、コードのビルドとテスト用のCodeBuild、自動コードデプロイメント用のCodeDeployツールを提供しています。これらすべてのツールの一番上のブロックはCodePipelineで、これらのさまざまなステージを視覚化および自動化できます。

AWS CodePipelineのイメージスキャンにより、DevOpsチームがデプロイメントにおけるセキュリティに自信を持ち、既知の脆弱性を検出し、パイプラインの早い段階でコンテナビルド構成を検証します。これらの問題を検出してから、イメージをコンテナーレジストリへ公開したり、運用環境にデプロイメントすることで、修正プログラムをより迅速に適用し、運用環境へのデリバリーを改善していく事ができます。

Sysdigを用いてイメージをスキャンするプロセスには以下が含まれます。

Dockerfileおよびイメージメタデータを分析して、次のようなセキュリティセンシティブな構成を検出します。

USERコマンドなしで、特権（root）ユーザーとして実行。
完全なトレーサビリティを持つ特定のバージョンではなく、最新としてタグ付けされたイメージを使用
安全でないポートを公開
HEALTHCHECKの仕組みを使用していない
その他多くの構成可能なDockerfileチェック

既知の脆弱性データベースに対するソフトウェアパッケージの確認：

OSパッケージ
Python pip、Ruby gem、Node npm、Java jarなど、アプリケーションが使用するサードパーティライブラリ

また、次のようなすべてのイメージを確認するユーザー定義のポリシーまたはコンプライアンス要件：

ソフトウェアパッケージのブラックリスト
基本イメージのホワイトリスト
NIST 800-190またはPCIコンプライアンスリストと一致するイメージスキャンパラメータ

Sysdigのローカルスキャニングを使用すると、イメージをバックエンドに送信したり、ステージングリポジトリに公開したりする必要がないため、イメージを管理できなくなる事はありません。イメージがビルドされると、パイプラインを実行するノードと同じノードでスキャンされ、スキャン結果のみがSaaSまたはセルフホストインスタンスに関係なく、Sysdig Secureバックエンドに送信されます。

脆弱性スキャンにおけるAWS CodePipelineとCodeBuildの計画

AWSは、選択したイベントが発生したときに自動的に実行されるパイプラインを作成できるCI/CD DevOpsプラットフォームを提供しています。パイプラインのトリガーに使用される最も一般的なイベントは、コードリポジトリにプッシュする新規コミットとなっています。

この記事におけるAWS CodePipelineは、コミットがGitHubリポジトリにプッシュされた後に呼び出されます。Pipelineは、AWS CodeBuildを使用してリポジトリコードをイメージにビルドし、イメージをレジストリ（Amazon Elastic Container Registryなど）にプッシュして、Kubernetesにデプロイできます。

AWS CodePipelineおよびCodeBuildインフラストラクチャを構築する

シンプルさ実現するために、この例に必要なすべてのインフラストラクチャはコードとして定義され、inline-scan-aws-infraリポジトリで利用可能なTerraformマニフェストを使用して再作成できます。

Terraformマニフェストは、後でイメージを構築およびスキャンするために設定する1つのAWS CodeBuildプロジェクトを定義しています。

また、次のように設定するAWS CodePipelineを1つ定義します。

GitHubからコードを取得し、AWS S3バケットに保存します
AWS CodeBuildプロジェクトの実行を呼び出します

そして最後に、イメージレジストリの認証情報とSysdig Secure APIトークンをAWS Parameter Storeに保存します。これは、漏洩を防ぐためにシークレットを処理するための推奨される方法です。

以下を実行して作成します：

terraform apply

リポジトリのドキュメントで設定の詳細を確認してください。

Sysdig Secureを使用したインラインスキャン用のAWS CodeBuild YAML定義

インフラストラクチャが作成されたら、構築プロセスのセットアップを開始できます。ビルドの手順は次のとおりです。

Dockerをインストールして実行します
DockerHubにログインして、インラインスキャン用にSysdigのイメージを取得します
ダウンロードしたコードからイメージをビルドします
新しいイメージをスキャンし、結果をSysdig Secureに送信します
スキャンにパスした場合、イメージをレジストリに公開します

AWS CodeBuildは、コードリポジトリのルートパス内のbuildspec.ymlファイルで定義されている手順を実行します。

version: 0.2
env:
variables:
   IMAGE_NAME: "sysdiglabs/dummy-vuln-app:latest"
   SCAN_IMAGE_NAME: "sysdiglabs/secure_inline_scan:latest"
parameter-store:
   DOCKER_LOGIN_USER: dockerLoginUser
   DOCKER_LOGIN_PASSWORD: dockerLoginPassword
   SYSDIG_SECURE_TOKEN: sysdigApiToken
phases:
install:
   runtime-versions:
     docker: 18
   commands:
   - nohup /usr/local/bin/dockerd --host=unix:///var/run/docker.sock --host=tcp://127.0.0.1:2375 --storage-driver=overlay2&
   - timeout 15 sh -c "until docker info; do echo .; sleep 1; done"     
pre_build:
   commands:
   - docker login -u $DOCKER_LOGIN_USER -p $DOCKER_LOGIN_PASSWORD
   - docker pull $SCAN_IMAGE_NAME
build:
   commands:
   - docker build . -t $IMAGE_NAME
post_build:
   commands:
   - docker run --rm -v /var/run/docker.sock:/var/run/docker.sock $SCAN_IMAGE_NAME /bin/inline_scan analyze -s https://secure.sysdig.com -k $SYSDIG_SECURE_TOKEN $IMAGE_NAME

   - docker push $IMAGE_NAME

詳細を見て行きましょう。

env:
variables:
   IMAGE_NAME: "sysdiglabs/dummy-vuln-app:latest"
   SCAN_IMAGE_NAME: "sysdiglabs/secure_inline_scan:latest"
parameter-store:
   DOCKER_LOGIN_USER: dockerLoginUser
   DOCKER_LOGIN_PASSWORD: dockerLoginPassword

   SYSDIG_SECURE_TOKEN: sysdigApiToken

最初に、パイプラインの環境変数を定義します。

IMAGE_NAME：ビルドおよびスキャンするイメージの名前
SCAN_IMAGE_NAME：インラインスキャンスクリプトを含むイメージの名前
DOCKER_LOGIN_USERおよびDOCKER_LOGIN_PASSWORD：イメージをリポジトリにプッシュするために必要なDockerHub認証情報。これらの認証情報は一般公開されてはならないため、AWS Parameter Storeに保存します。これらのパラメーターは、前のセクションでTerraformによって作成されます
SYSDIG_SECURE_TOKEN：Sysdig Secureのトークン。これにより、スキャンの結果を送信できます。このトークンも認証情報として保存する必要があり、パラメーターストアから参照されます。パラメーターはTerraformマニフェストを使用して作成されます

Terraformマニフェストを使用して、AWS Systems Manager> Parameter Storeに機密情報を保存します。

ここで、実際のビルド、新しいコミットがあるときに実行する手順を定義します。

install:
   runtime-versions:
     docker: 18
   commands:
   - nohup /usr/local/bin/dockerd --host=unix:///var/run/docker.sock --host=tcp://127.0.0.1:2375 --storage-driver=overlay2&

   - timeout 15 sh -c "until docker info; do echo .; sleep 1; done"

パイプラインにより、ランナーにDocker18がインストールされます。ランナーはDockerをデーモンとして起動し、実行されるまで待機します。

pre_build:
   commands:
   - docker login -u $DOCKER_LOGIN_USER -p $DOCKER_LOGIN_PASSWORD

   - docker pull $SCAN_IMAGE_NAME

イメージをビルドする前に、Dockerレジストリにログインし、インラインスキャンスクリプトを使用してイメージをプルします。

build:
   commands:

   - docker build . -t $IMAGE_NAME

次に、ランナーはgitリポジトリのDockerfileを使用して1つのイメージをビルドします。

post_build:
   commands:
   - docker run --rm -v /var/run/docker.sock:/var/run/docker.sock $SCAN_IMAGE_NAME /bin/inline_scan analyze -s https://secure.sysdig.com -k $SYSDIG_SECURE_TOKEN $IMAGE_NAME