20190716 クラスメソッド×クリエーションライン共催イベント「あなたのコンテナ運用大丈夫？コンテナセキュリティの考え方と対応策」の発表資料です。 Aquaの機能を実際のデモ画面をお見せしながらご説明します。

1. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
2019年7⽉16⽇（⽕）
クリエーションライン株式会社 DevOpsTeam
ストラテジスト ⽇下 雄正
ソリューションアーキテクト マグルーダー健⼈

2. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
アジェンダ
1．Aqua Security 概要
2．Aqua Security 機能紹介(デモ)
3．まとめ（AquaSecurityとコンテナのライフサイクル）
2

3. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
アジェンダ
1．Aqua Security 概要
2．Aqua Security 機能紹介(デモ)
3．まとめ（AquaSecurityとコンテナのライフサイクル）
3

4. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Securityのセキュリティイメージ
4
“シフトレフト”
開発チームへの
コントロール移譲
脆弱性のスキャン
承認されたイメージのみ
許可
デプロイメントの
コントロール
シークレット管理
未知の脆弱性や
攻撃から
コンテナを守る
コントロールの移譲 à インシデントの削減 à コンプライアンスの実現
4
Build Ship Runコンテナ
ライフサイクル

5. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved 5
Aqua Security コンポーネント構成
Aqua
Cyber Intelligence
Aqua
Command Center
コンテナ
コンテナ
コンテナ
コンテナエンジン
ホストOS
Aqua Gateway
コンテナ
Aqua Enforcer
コンテナレジストリ
CI/CDツール
Aquaサーバ
クラウド/オンプレ上のホスト
コンテナ
Micro
Enforcer
CaaS/サーバレス環境 (例:fargate等)
シークレット管理
SIEM/解析ツール
ログ管理
Aqua
Database
コンテナ
Micro
Enforcer

6. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved 6
Aqua Security の主な機能
No. 機能 概要
1 Image Scan
(イメージスキャン)
2 Assurance Policy
(イメージスキャン設定)
3 Runtime Policy
(ランタイムポリシー)
4 Container Firewall
(コンテナファイアウォール)
5 Secrets
(シークレット管理)
6 Compliance
(コンプライアンス対応)
7 Integration
(外部ツール/サービス統合)
8 vShield ←New!
(仮想パッチ機能)
後ほどご説明します

7. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
本⽇ご紹介するAqua Security の機能
7
No. 機能 説明
1 Image Scan
(イメージスキャン)
2 Assurance Policy
(イメージスキャン設定)
3 Runtime Policy
(ランタイムポリシー)
4 Container Firewall
(コンテナファイアウォール)
5 Secrets
(シークレット管理)
6 Compliance
(コンプライアンス対応)
7 Integration
(外部ツール/サービス統合)
8 vShield ←New!
(仮想パッチ機能)
後ほどご説明します

8. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
アジェンダ
1．Aqua Security 概要
2．Aqua Security 機能紹介(デモ)
3．まとめ（AquaSecurityとコンテナのライフサイクル）
8

9. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
• AWS EC2インスタンス×2台を⽤意
• Kubernetesシングルクラスタ構成
• AquaSecurity 関連コンポーネントはPod（コンテナ）上で稼働
9
Master Worker
Amazon
EC2
Amazon
EC2
Master Worker
Aqua
Command
Center
Aqua
Enforcer
Container
Aqua
Gateway
Container
Jenkins
Aqua
Enforcer
Container
JBoss
nginx
MySQL
デモ環境イメージ

10. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Security 機能紹介
10
No. 機能 説明
1 Image Scan
(イメージスキャン)
イメージ内に含まれる、既知の脆弱性(CVE)やマルウェア、ハードコーディングさ
れたシークレットなど、セキュリティ上のリスクを検知します。
2 Assurance Policy
(イメージスキャン設定)
イメージスキャンに関する細かな設定を組むことが可能です。
3 Runtime Policy
(ランタイムポリシー)
実⾏中のコンテナを監視し、ポリシーにしたがってコンテナの動作を制御/制限し
ます。また機械学習によりポリシーを⽣成することも可能です。
4 Container Firewall
(コンテナファイアウォール)
コンテナのネットワーク接続を視覚化、また、コンテナ単位で接続の許可/拒否を
ルール設定できます。
5 Secrets
(シークレット管理)
コンテナに対して、セキュアな⽅法でパスワードやSSHキーなどのシークレットをデ
リバリできます。
6 Compliance
(コンプライアンス対応)
リスクを⼀覧化し、対応⽅法などを含む詳細レポートを⽣成します。また、イメー
ジやコンテナで発⽣した各種セキュリティイベントも収集されます。
7 Integration
(外部ツール/サービス統合)
Docker Hubなどのレジストリ、JenkinsなどのCI/CDツール、Splunkなどの
SIEMサービスなど、さまざまな外部ツールやサービスとの統合/連携が可能です。
8 vShield ←New!
(仮想パッチ機能)
Runtime Policyの⼀環として、既知の脆弱性を持つ実⾏中コンテナに対して
の脆弱性を狙った攻撃を検知/ブロックすることが可能です。

11. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Security 機能紹介
11
No. 機能 説明
1 Image Scan
(イメージスキャン)
イメージ内に含まれる、既知の脆弱性(CVE)やマルウェア、ハードコーディングさ
れたシークレットなど、セキュリティ上のリスクを検知します。
2 Assurance Policy
(イメージスキャン設定)
イメージスキャンに関する細かな設定を組むことが可能です。
3 Runtime Policy
(ランタイムポリシー)
実⾏中のコンテナを監視し、ポリシーにしたがってコンテナの動作を制御/制限し
ます。また機械学習によりポリシーを⽣成することも可能です。
4 Container Firewall
(コンテナファイアウォール)
コンテナのネットワーク接続を視覚化、また、コンテナ単位で接続の許可/拒否を
ルール設定できます。
5 Secrets
(シークレット管理)
コンテナに対して、セキュアな⽅法でパスワードやSSHキーなどのシークレットをデ
リバリできます。
6 Compliance
(コンプライアンス対応)
リスクを⼀覧化し、対応⽅法などを含む詳細レポートを⽣成します。また、イメー
ジやコンテナで発⽣した各種セキュリティイベントも収集されます。
7 Integration
(外部ツール/サービス統合)
Docker Hubなどのレジストリ、JenkinsなどのCI/CDツール、Splunkなどの
SIEMサービスなど、さまざまな外部ツールやサービスとの統合/連携が可能です。
8 vShield ←New!
(仮想パッチ機能)
Runtime Policyの⼀環として、既知の脆弱性を持つ実⾏中コンテナに対して
の脆弱性を狙った攻撃を検知/ブロックすることが可能です。

12. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Security 機能紹介
12
No. 機能 説明
1 Image Scan
(イメージスキャン)
イメージ内に含まれる、既知の脆弱性(CVE)やマルウェア、ハードコーディングさ
れたシークレットなど、セキュリティ上のリスクを検知します。
2 Assurance Policy
(イメージスキャン設定)
イメージスキャンに関する細かな設定を組むことが可能です。
3 Runtime Policy
(ランタイムポリシー)
実⾏中のコンテナを監視し、ポリシーにしたがってコンテナの動作を制御/制限し
ます。また機械学習によりポリシーを⽣成することも可能です。
4 Container Firewall
(コンテナファイアウォール)
コンテナのネットワーク接続を視覚化、また、コンテナ単位で接続の許可/拒否を
ルール設定できます。
5 Secrets
(シークレット管理)
コンテナに対して、セキュアな⽅法でパスワードやSSHキーなどのシークレットをデ
リバリできます。
6 Compliance
(コンプライアンス対応)
リスクを⼀覧化し、対応⽅法などを含む詳細レポートを⽣成します。また、イメー
ジやコンテナで発⽣した各種セキュリティイベントも収集されます。
7 Integration
(外部ツール/サービス統合)
Docker Hubなどのレジストリ、JenkinsなどのCI/CDツール、Splunkなどの
SIEMサービスなど、さまざまな外部ツールやサービスとの統合/連携が可能です。
8 vShield ←New!
(仮想パッチ機能)
Runtime Policyの⼀環として、既知の脆弱性を持つ実⾏中コンテナに対して
の脆弱性を狙った攻撃を検知/ブロックすることが可能です。

13. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Security 機能紹介
13
No. 機能 説明
1 Image Scan
(イメージスキャン)
イメージ内に含まれる、既知の脆弱性(CVE)やマルウェア、ハードコーディングさ
れたシークレットなど、セキュリティ上のリスクを検知します。
2 Assurance Policy
(イメージスキャン設定)
イメージスキャンに関する細かな設定を組むことが可能です。
3 Runtime Policy
(ランタイムポリシー)
実⾏中のコンテナを監視し、ポリシーにしたがってコンテナの動作を制御/制限し
ます。また機械学習によりポリシーを⽣成することも可能です。
4 Container Firewall
(コンテナファイアウォール)
コンテナのネットワーク接続を視覚化、また、コンテナ単位で接続の許可/拒否を
ルール設定できます。
5 Secrets
(シークレット管理)
コンテナに対して、セキュアな⽅法でパスワードやSSHキーなどのシークレットをデ
リバリできます。
6 Compliance
(コンプライアンス対応)
リスクを⼀覧化し、対応⽅法などを含む詳細レポートを⽣成します。また、イメー
ジやコンテナで発⽣した各種セキュリティイベントも収集されます。
7 Integration
(外部ツール/サービス統合)
Docker Hubなどのレジストリ、JenkinsなどのCI/CDツール、Splunkなどの
SIEMサービスなど、さまざまな外部ツールやサービスとの統合/連携が可能です。
8 vShield ←New!
(仮想パッチ機能)
Runtime Policyの⼀環として、既知の脆弱性を持つ実⾏中コンテナに対して
の脆弱性を狙った攻撃を検知/ブロックすることが可能です。

14. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Security 機能紹介
14
No. 機能 説明
1 Image Scan
(イメージスキャン)
イメージ内に含まれる、既知の脆弱性(CVE)やマルウェア、ハードコーディングさ
れたシークレットなど、セキュリティ上のリスクを検知します。
2 Assurance Policy
(イメージスキャン設定)
イメージスキャンに関する細かな設定を組むことが可能です。
3 Runtime Policy
(ランタイムポリシー)
実⾏中のコンテナを監視し、ポリシーにしたがってコンテナの動作を制御/制限し
ます。また機械学習によりポリシーを⽣成することも可能です。
4 Container Firewall
(コンテナファイアウォール)
コンテナのネットワーク接続を視覚化、また、コンテナ単位で接続の許可/拒否を
ルール設定できます。
5 Secrets
(シークレット管理)
コンテナに対して、セキュアな⽅法でパスワードやSSHキーなどのシークレットをデ
リバリできます。
6 Compliance
(コンプライアンス対応)
リスクを⼀覧化し、対応⽅法などを含む詳細レポートを⽣成します。また、イメー
ジやコンテナで発⽣した各種セキュリティイベントも収集されます。
7 Integration
(外部ツール/サービス統合)
Docker Hubなどのレジストリ、JenkinsなどのCI/CDツール、Splunkなどの
SIEMサービスなど、さまざまな外部ツールやサービスとの統合/連携が可能です。
8 vShield ←New!
(仮想パッチ機能)
Runtime Policyの⼀環として、既知の脆弱性を持つ実⾏中コンテナに対して
の脆弱性を狙った攻撃を検知/ブロックすることが可能です。

15. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Security 機能紹介
15
No. 機能 説明
1 Image Scan
(イメージスキャン)
イメージ内に含まれる、既知の脆弱性(CVE)やマルウェア、ハードコーディングさ
れたシークレットなど、セキュリティ上のリスクを検知します。
2 Assurance Policy
(イメージスキャン設定)
イメージスキャンに関する細かな設定を組むことが可能です。
3 Runtime Policy
(ランタイムポリシー)
実⾏中のコンテナを監視し、ポリシーにしたがってコンテナの動作を制御/制限し
ます。また機械学習によりポリシーを⽣成することも可能です。
4 Container Firewall
(コンテナファイアウォール)
コンテナのネットワーク接続を視覚化、また、コンテナ単位で接続の許可/拒否を
ルール設定できます。
5 Secrets
(シークレット管理)
コンテナに対して、セキュアな⽅法でパスワードやSSHキーなどのシークレットをデ
リバリできます。
6 Compliance
(コンプライアンス対応)
リスクを⼀覧化し、対応⽅法などを含む詳細レポートを⽣成します。また、イメー
ジやコンテナで発⽣した各種セキュリティイベントも収集されます。
7 Integration
(外部ツール/サービス統合)
Docker Hubなどのレジストリ、JenkinsなどのCI/CDツール、Splunkなどの
SIEMサービスなど、さまざまな外部ツールやサービスとの統合/連携が可能です。
8 vShield ←New!
(仮想パッチ機能)
Runtime Policyの⼀環として、既知の脆弱性を持つ実⾏中コンテナに対して
の脆弱性を狙った攻撃を検知/ブロックすることが可能です。

16. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Vulnerability Shield (vShield) とは
16
:(){ :|:& };: :(){ :|:& };:
• 既知の脆弱性を狙った攻撃を検知/ブロック
• コンテナイメージの内容を変更しないため、開発者の介⼊が不要
• ランタイム(コンテナ)に対して補完的に制御
☞ 「仮想的なパッチ」です。以下の⽅法により実⾏されます。

17. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
（課題）コンテナイメージの脆弱性に対応するのは⼤変︕︕
17
現実、多くの組織が既知の脆弱性が内包されたアプリ(コンテナ)を利⽤して
おり、リスクを抱えている
RISK
CVE disclosed (Vendor Fix Available) Image updated
Time to fix
• イメージのアップデートは開発者にとって時間を要する
• 運⽤上の制約や依存関係の理由で修正対応ができないこともある
• とはいえ、脆弱なアプリを停⽌するというのは、通常は選択肢にない

18. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved 18
Aqua vShield は以下のような脆弱性を狙った攻撃を検知/ブロック
Host OS
脆弱なネットワークプロトコル、ポート、IP
攻撃に必要とする特定の機能の使⽤
特定のファイルまたはプロセスへのアクセス
脆弱なパッケージの使⽤
この他にも、Aquaの新しい機能については、
弊社ホームページで⽇本語記事を適時Upしているのでご参照ください。

19. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
アジェンダ
1．Aqua Security 概要
2．Aqua Security 機能紹介(デモ)
3．まとめ（AquaSecurityとコンテナのライフサイクル）
19

20. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua アーキテクチャ
20

21. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Life Cycle
CI/CD Image Scan
Assurance Policy
Compliance
Secrets
User Access Control
Runtime Protection
Threat Mitigation
Container Firewall
Build Ship Run
Registry Image Scan
Host Scanning
21

22. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
アジェンダ
1．Aqua Security 概要
2．Aqua Security 機能紹介(デモ)
3．まとめ（AquaSecurityとコンテナのライフサイクル）
22

23. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved
Aqua Securityに関するお問い合わせ、および本製品デモのご要望は
sales@creationline.com へご連絡ください。
23
以上
ご清聴ありがとうございました

24. Copyright ⓒ2019 CREATIONLINE, INC. All Rights Reserved