※写真左より今村氏、安齋氏

導入ハイライト

• セキュリティの専門家以外でもマルウェア混入等のリスクを検知・防御可能に
• ログ連携機能を活用し担当者と共にセキュリティインテリジェンスの体制を確立
• クリエーションラインの「伴走」型支援によりスムーズな導入や運用を実現

サービス拡大に伴いコンテナに特化したセキュリティ対策の強化が急務に

同社内で“ビズリーチ”等のサービスに関わるインフラ領域からサービスの安定稼働、さらに開発で必要となる基盤の整備などを担当するのが、リクルーティングプロダクト本部 プラット
フォーム開発部 SREグループだ。サービスの継続的な成長に向け、信頼性・可用性の向上、自動化、そして効率化などに取り組む同グループにとって、セキュリティ対策は常に最重要
課題となっている。

SREグループの安齋久美子氏は、新たなテーマとして浮上したセキュリティ対策領域について、「弊社ではコンテナ技術を採用していますが、今後のサービス拡大を踏まえて、コンテナに特化したセキュリティ対策の強化が急務となりました」と話す。ビズリーチでは、AWSでのCaaS（Containers-as-a-Service）環境としてAWS Fargateを使用しているが、安齋氏は、「外部からの攻撃に対しては、AWSのセキュリティ系サービスを適切に設定することで合理的なリスク対策が実現できますが、アプリケーションの実行環境であるFargateコンテナの内部からの脅威については、新たな施策を打つ必要があると考えました」と話す。

株式会社ビズリーチ
リクルーティングプロダクト本部
プラットフォーム開発部
SRE グループ
安齋 久美子 氏

具体的な脅威の例としては、アプリケーションが使用するライブラリのバージョンアップによって引き起こされる可能性があるマルウェア混入やバックドア等が想定される。また、すべてのメンバーが必ずしもセキュリティの専門家ではない同グループでは、他の業務も抱えるエンジニアが複数サービスの実行環境であるコンテナのセキュリティを担保できるような仕組みが不可欠であり、さらに、導入する仕組み自体の運用コストを極力抑えたいという意向もあった。これらの前提を踏まえ、SREグループではコンテナ環境に向けたセキュリティソリューションの検討を開始した。

Fargateコンテナの常時保護やイメージのマルウェアスキャン機能を評価しAqua Platformを選択

ソリューション選定の経緯について、SREグループの今村悠人氏は、「検討の過程で“コンテナセキュリティ対応製品”というキーワードでネットワーク検索を行い、複数のソリューションの存在を知りましたが、その中にクリエーションラインが提供するAqua Platformが含まれていました」と回想する。

Aqua Platformは、Aqua Security Software Ltd.が提供するコンテナやクラウドネイティブなアプリケーションのライフサイクル全体でセキュリティリスクを最小限に抑えるためのソリューション。イメージスキャンなどCI/CDの保護に加え、実行時のアプリケーション保護、セキュリティ脅威の検出とブロック、可視化、コンプライアンス対応等も実現する。国内ではクリエーションライン株式会社（以下、クリエーションライン）が導入支援を行っている。

Aqua Platformと他社のSaaS型セキュリティサービスを候補として実施されたPoC工程では、NIST SP800-171への準拠を中心に検証が行われた。「攻撃者がどのような方法で攻撃してくるかといった点を想定した攻撃ファイルの阻止や、不審な挙動に関するプログラムの検知・防御などについて検証を行いました」（今村氏）。セキュアなサービスであるAWS Fargateの使用を前提としていたが、「Fargate上でのコンテナの常時保護やAWS ECRリポジトリに格納されたコンテナイメージに対するマルウェアスキャンの実現が必須」（安齋氏）という要件も加味された。

株式会社ビズリーチ
リクルーティングプロダクト本部
プラットフォーム開発部
SREグループ
今村 悠人 氏

こうして実施されたPoCでは、Aqua Platformがすべての要件を満たすこと、他社製品に不具合があったことが明らかになり、さらにクリエーションラインから提示されたPoCフェーズ向けのチュートリアルが非常に有効だった点なども踏まえ、SREグループは、Aqua Platform Enterprise SaaS Editionを正式に導入した。

都度・定期のイメージスキャンに加えFargate上でのコンテナのランタイム保護も実現

既に実稼動期間が経過している、Aqua Platformをコアに据えたセキュリティ基盤だが、SREグループが想定した形態での運用が日々展開されている。

Aqua Platformの適用箇所について、今村氏は「大きく2つのポイントがあります。CI/CDの一環として、AWS ECRリポジトリに格納されたコンテナイメージに対してマルウェアスキャンを実施しています。
2つ目はAWS Fargate上で動作しているコンテナをAqua MicroEnforcerで常時保護しています」と話す。都度のイメージスキャン、ランタイム保護に、定期的なイメージスキャンを加え、一貫したコンテナセキュリティ対応が可能となった。なお、Aqua Platformの利用者は、その導入・運用を担うインフラ担当エンジニアが主体となるが、Aquaのログはセキュリティ担当エンジニアにも共有される運用形態となっている。

導入効果：脅威の迅速な検知と防止、ログ連携機能によるセキュリティインテリジェンスの体制強化

導入されたAqua Platformは、既に様々な効果を発揮している。安齋氏は導入効果として次の４点をあげる。

• セキュリティインシデントフロー改善
• セキュリティの専門家でないエンジニアも脅威検知と防御が可能に
• プラットフォームの運用コスト削減
• セキュリティインテリジェンスの体制強化

まず安齋氏は、インシデントフローの見直しについて言及し、「Aqua Platformの導入により、これまで使用してきた汎用的なインシデントフローに、コンテナセキュリティ用のフローを追加することができました。このようなアラートが出たら誰に連絡し、どう対処するかといった手順が明確化され、よりセキュリティに特化した対応ができるようになりました」と話す。

また、セキュリティの専門家でないエンジニアなどの担当者が、意図しないマルウェア混入等のセキュリティリスクに対応できるようになった点については、実際にはマルウェアの被害が発生したわけではないと前置きしながらも、「定期的なコンテナイメージスキャンに加え、CI/CDパイプラインにコンテナイメージスキャンを組み込んだことで、デプロイ前段階でマルウェアの侵入を検知・防御できるようになったこと、さらに、実行中のコンテナ内のマルウェア起因と思われる挙動を即時に検知・防御できるようになったことは、非常に大きな導入メリットと考えています」と強調する。

運用コスト削減という面でも圧倒的な効果が現れた。同社が使用したAqua Platform EnterpriseはSaaS Editionであるため、「Aqua自体の運用コストは一切かからず、その運用に煩わされることもないため、私達はセキュリティ対策に集中出来ました」と安齋氏は評価する。

導入効果の最後のポイントとしてセキュリティインテリジェンスをあげた安齋氏は、「Aqua Platformが提供する豊富なログ連携機能を活用し、ログデータをセキュリティ担当エンジニアと共有することでセキュリティインテリジェンスの体制をさらに強化することができました」と締めくくった。

「伴走」という姿勢でAqua導入および運用に関わったクリエーションラインを高く評価

Aqua Platformそのものが発揮した導入効果に加え、その導入から運用に至るまでを支援したクリエーションラインの貢献についても高い評価があがっている。

今村氏は、「Aqua Platformの導入時や運用時のトラブルシューティングに関して、クリエーションラインの担当者には迅速かつ丁寧に対応して頂きました。回答内容には実際に検証された信憑性の高い結果が添えられており、実績のある手法を頂けたことでスムーズに導入や運用が出来ました」と強調する。さらに「運用時のトラブルシューティングに際しては、複数回にわたってAqua Security Software Ltd.との翻訳付きミーテングを開催して頂きました。弊社からのフィードバックを直接先方に伝える場を取り持って頂けたことに大変感謝しております」と話す。

最後に付け加えられた、「導入から運用に至る流れの中で、弊社側に寄り添い『伴走』という姿勢で支援頂きました」という今村氏の発言は、クリエーションラインへの信頼と評価を表すものだった。

今後の展望：Aqua Platformの横展開および現行のセキュリティ対策の統合

今回の導入の成功を受け、SREグループでは今後の展望として2つの取組みを検討している。

安齋氏は、「今後もサービスの拡大に合わせコンテナの利用も増加します。その状況下でもSREグループは、引き続きお客様に対してセキュアなサービスの提供を継続します。そのために２つの取組みを構想しています。1つ目は、迅速なAqua Platformの横展開を目的とした、TerraformによるAquaのIaC（Infrastructure as Code）化です。2つ目は、現行の様々なセキュリティ対策をAquaに統合することで、コンテナのセキュリティ対策をAqua Platformで一元管理することです。端的に言えば、Aqua Platformの位置付けを昇華させ、より高度な利用を促進していこうというものです」と話す。

働き方の未来を支える様々なインターネットサービスの展開を通じて、戦力人材と企業を繋ぐビズリーチ。同社のサービス基盤となるコンテナ環境をセキュリティ面から支えるAqua Platformは、今後さらにその適用領域を拡大しながら、安心・安全なサービス提供に貢献し続けるだろう。

取材日：2022年9月22日