国産CNAPP「Cloudbase」、Amazon ECSで稼働するコンテナの脆弱性スキャンに対応
実際に稼働するコンテナの脆弱性を可視化し、インターネット露出を加味したリスク評価が可能に
Cloudbase株式会社（本社：東京都港区、代表取締役CEO：岩佐晃也）は、同社が提供する国産CNAPP（CSPM、SBOM、脆弱性管理）「Cloudbase」において、Amazon Elastic Container Service（Amazon ECS）で稼働するサービスを対象とした「ECSサービススキャン」機能をリリースしたことをお知らせいたします。
開発背景
コンテナを活用したシステムでは、アプリケーションを構成するコンテナイメージに含まれるOSパッケージやライブラリなどに脆弱性が存在する可能性があり、継続的な把握と適切な対応が求められます。
Cloudbaseではこれまで、コンテナレジストリに保存されたコンテナイメージを対象とした脆弱性スキャンを提供してきました。一方、コンテナイメージ単位のスキャンでは、そのイメージが実際のサービスで稼働しているか、また、そのサービスがインターネットに公開されているかといった実際の利用状況を踏まえたリスク判断が難しいという課題がありました。
そこで今回、実際に稼働しているECSサービスを起点として、利用されているコンテナイメージの脆弱性を把握できる「ECSサービススキャン」を開発しました。
アップデート内容
今回リリースしたECSサービススキャンでは、稼働しているECSサービスが使用するコンテナイメージをスキャンし、検出した脆弱性をECSサービスと紐づけて確認できるようになりました。
さらに、ECSサービスのインターネット露出状況を加味したSSVCによるリスク評価にも対応します。これにより、脆弱性そのものの深刻度だけでなく、実際の稼働状況や外部からのアクセス可能性を踏まえて、対応優先度を判断できます。
スキャンによって取得したソフトウェア情報は、Cloudbaseのソフトウェアコンポーネント一覧にも反映され、組織内で利用されているソフトウェアを横断的に確認できます。
なお、従来のコンテナイメージスキャンについても引き続き提供します。
SSVCとは
SSVC (Stakeholder-Specific Vulnerability Categorization) は、米カーネギーメロン大学ソフトウェア工学研究所によって提案された脆弱性の対応優先度を判定するフレームワークです。
CVSSベーススコアのような脆弱性そのものの評価ではなく、世間的な脆弱性の悪用状況・攻撃のしやすさ・検出されたリソースの公開状況や重要度といった様々な要素を元に脆弱性の対応優先度を判定することができます。
期待される効果
今回のアップデートにより、コンテナレジストリ上に存在するイメージだけでなく、実際にECSサービスで利用されているコンテナイメージと、その脆弱性を紐づけて把握できるようになります。
さらに、インターネット露出状況を含めてリスクを評価することで、「実際に稼働しているか」「外部からアクセス可能か」といった情報を踏まえ、優先的に対応すべき脆弱性を判断しやすくなります。
Cloudbaseは今後も、クラウド環境に存在するセキュリティリスクを実際の利用状況とあわせて可視化し、限られた運用工数の中でも効率的にリスクへ対応できる環境の実現を支援してまいります。
各社の商標帰属表示についてはこちらをご参照ください。
Cloudbase株式会社について
エンジニアとしてのバックグラウンドを持つ代表岩佐が2019年に創業したスタートアップ企業です。AWS・Microsoft Azure・Google Cloud・Oracle Cloudといったマルチクラウド環境におけるリスクを統合的に監視・管理できるセキュリティプラットフォーム「Cloudbase」を提供しています。クラウドのみならずオンプレミス環境も含め、企業のインフラ資産全体を横断的に可視化し、セキュリティリスクの継続的な管理を支援しています。また、生成AIへの情報漏えいを防ぎ、安全なAI活用を支えるAIガバナンスプラットフォーム「Cloudbase AI」も提供しています。
会社概要
社名：Cloudbase株式会社
代表取締役CEO：岩佐晃也
事業内容：「Cloudbase」および「Cloudbase AI」の開発・提供
本社所在地：東京都港区三田3-2-8 THE PORTAL MITA 2F
設立： 2019年11月
すべての画像
