国産CNAPP「Cloudbase」がAmazon ECSコンテナの脆弱性スキャンに対応、稼働中のコンテナリスクを可視化

国産CNAPP「Cloudbase」がAmazon ECSコンテナの脆弱性スキャンに対応

Cloudbase株式会社は、提供する国産CNAPP（Cloud Native Application Protection Platform：CSPM、SBOM、脆弱性管理を統合したセキュリティプラットフォーム）「Cloudbase」において、「ECSサービススキャン」機能をリリースしました。この新機能により、Amazon Elastic Container Service（Amazon ECS：AWSが提供するコンテナオーケストレーションサービス）で稼働するコンテナの脆弱性スキャンが可能になり、実際に稼働しているコンテナの脆弱性を可視化し、インターネット露出を加味したリスク評価が可能になります。

開発背景と解決する課題

コンテナを活用したシステムでは、アプリケーションを構成するコンテナイメージ内のOSパッケージやライブラリなどに脆弱性が存在する可能性があります。これまではコンテナレジストリに保存されたコンテナイメージを対象とした脆弱性スキャンが提供されていましたが、そのイメージが実際のサービスで稼働しているか、またインターネットに公開されているかといった実際の利用状況を踏まえたリスク判断が難しいという課題がありました。

今回の「ECSサービススキャン」は、この課題を解決するために開発されました。実際に稼働しているECSサービスを起点として、利用されているコンテナイメージの脆弱性を把握できるようになります。

アップデート内容：何ができるサービスか

1. 稼働中のECSサービスと脆弱性の紐付け

稼働しているECSサービスが使用するコンテナイメージをスキャンし、検出した脆弱性をECSサービスと紐づけて確認できます。

2. インターネット露出状況を加味したリスク評価

ECSサービスのインターネット露出状況を加味したSSVC（Stakeholder-Specific Vulnerability Categorization：脆弱性の対応優先度を判定するフレームワーク）によるリスク評価に対応します。これにより、脆弱性そのものの深刻度だけでなく、実際の稼働状況や外部からのアクセス可能性を踏まえて、対応優先度を判断することが可能です。

3. ソフトウェアコンポーネント一覧への反映

スキャンによって取得したソフトウェア情報は、Cloudbaseのソフトウェアコンポーネント一覧にも反映され、組織内で利用されているソフトウェアを横断的に確認できます。

SSVCとは

SSVCは、米カーネギーメロン大学ソフトウェア工学研究所によって提案された脆弱性の対応優先度を判定するフレームワークです。CVSSベーススコアのような脆弱性そのものの評価ではなく、世間的な脆弱性の悪用状況・攻撃のしやすさ・検出されたリソースの公開状況や重要度といった様々な要素を元に脆弱性の対応優先度を判定することができます。

導入メリットと活用シーン

このアップデートにより、情報システム担当者やDX推進担当者は、以下のようなメリットを享受できます。

優先すべき脆弱性の明確化: コンテナレジストリ上のイメージだけでなく、実際にECSサービスで利用されているコンテナイメージとその脆弱性を紐づけて把握できます。さらに、インターネット露出状況を含めてリスクを評価することで、「実際に稼働しているか」「外部からアクセス可能か」といった情報を踏まえ、優先的に対応すべき脆弱性を判断しやすくなります。
セキュリティ運用の効率化: 限られた運用工数の中でも効率的にリスクへ対応できる環境を実現し、セキュリティ担当者の負担を軽減します。
組織全体のソフトウェア資産の可視化: 組織内で利用されているソフトウェアを横断的に確認できるため、サプライチェーン全体のセキュリティ管理にも役立ちます。

Cloudbase株式会社について

Cloudbase株式会社は、2019年に創業したスタートアップ企業で、AWS・Microsoft Azure・Google Cloud・Oracle Cloudといったマルチクラウド環境におけるリスクを統合的に監視・管理できるセキュリティプラットフォーム「Cloudbase」を提供しています。クラウドのみならずオンプレミス環境も含め、企業のインフラ資産全体を横断的に可視化し、セキュリティリスクの継続的な管理を支援しています。

また、生成AIへの情報漏えいを防ぎ、安全なAI活用を支えるAIガバナンスプラットフォーム「Cloudbase AI」も提供しています。