マイクロサービスセキュリティとは

アプリケーションを小さい、独立した疎結合のサービスに分割するマイクロサービスアーキテクチャは、現代のソフトウェアに革命をもたらしました。マイクロサービスは、クラウドコンピューティングとコンテナテクノロジーの基盤となるもので、非常に優れた柔軟性、スケーラビリティ、効率性を提供します。ただし、マイクロサービスベースのアプリケーションは分散型であるため、特有の深刻なセキュリティ上の課題が生じます。この記事では、マイクロサービスによってもたらされるセキュリティ上の課題と、それらに対処するために使用される主要なアプローチやツールについて説明します。

マイクロサービスのセキュリティ上の課題の理解

ソフトウェアアプリケーションがモノリスの場合、アプリケーションのすべての機能に対する要求を管理する単一のサービスが実行されます。対照的に、マイクロサービスアーキテクチャでは通常、各機能が個別のサービスに分離されます。この疎結合アプローチは多くの利点をもたらす一方、システムの攻撃対象領域を拡大させ、結果として全体的な脆弱性を高めることにもなります。

マイクロサービスは、分散型であるというその性質上、個々のサービスごとに基本的なセキュリティ対策を実装することが必要になります。これには以下が含まれます。

• 認証
• 承認
• 脆弱性スキャン
• データの暗号化

一般的に、単一のモノリスに対して高いセキュリティレベルを維持することは、その規模に関係なく、数十（場合によっては数百）の小さなマイクロサービスのセキュリティを管理するよりも簡単です。

マイクロサービスアプローチの主な利点の1つは、他のサービスを中断することなく、各サービスを1日に複数回も個別かつ迅速に展開できることです。本番環境で1つのマイクロサービスに問題が発生しても、アプリケーションの残りの部分はほとんど影響を受けません。 

問題のある更新を単一のマイクロサービスでロールバックすると、処理速度が大幅に速くなり、多くの場合、システム全体への影響が最小限に抑えられます。ただし、このように急速であることで、セキュリティパッチの適用と適切なテストが大幅に複雑になる可能性があります。

マイクロサービスを保護するための基本原則

マイクロサービスアーキテクチャを保護するには、技術スタックのさまざまなレイヤーで対策を講じる必要があります。

APIセキュリティ

マイクロサービス環境内のすべてのサービスが必ずしもAPIであるとは限らないとしても、APIに基づくリクエスト/レスポンスメカニズムは、これらの環境では非常に一般的なパターンです。APIセキュリティの重要なコンポーネントには、以下のものがあります。

• サービス通信の保護：APIを一般に公開しない場合は、未承認のサービスによるAPIへのアクセスを制限するファイアウォールを実装します。
• 認証と承認：APIによって提供されるデータが一般に公開されることを意図していない限り、APIサーバーでは認証と承認を実装する必要があります。これにより、クライアントが使用を許可されているリソースと操作のみにアクセスが制限されます。
• 入力の検証：悪意のあるアクターは、HTTPヘッダー、クエリ、またはパスパラメータを介して不正な入力を送信することで、脆弱性を悪用しようとする可能性があります。したがって、APIサーバーは、ビジネスロジックを実行する前に入力の検証を実行する必要があります。
• レート制限：APIに対する一般的な攻撃は、ブルートフォースのパスワード推測攻撃またはサービス拒否 (DoS) 攻撃のいずれかとして、APIへのリクエストのフラッディングを自動的に行うことです。サーバーの停止を防ぐには、APIサーバーでリクエストレート制限を適用します。

ゼロトラスト原則

サービスでは、ゼロトラスト手法に基づいて厳格なアクセス制御を実装する必要があります。これは、ファイアウォールや認証トークンなどのテクノロジーを実装して、必要な場合にのみサービスとクライアント間の通信を許可することを意味します。サービスとユーザーの両方に対して最小特権の原則を適用します。

転送中のデータの保護

インターネット上を流れるデータは、悪意のあるアクターによって傍受される可能性があります。このため、転送中のデータの暗号化は不可欠です。SSL（セキュアソケットレイヤー）およびTLS（トランスポート層セキュリティ）の暗号化標準に基づくHTTPSなどの暗号化プロトコルを使用すると、サーバーとクライアント間のすべてのデータが転送中に暗号化されます。そのため、たとえ傍受されたとしても、攻撃者はそれを解読することができません。

これらの暗号化プロトコルはセキュリティ証明書を使用してキーを生成するため、証明書の有効性を維持するには、証明書を適切に保管、管理し、定期的に更新する必要があります。

継続的モニタリングとロギング 

ログとイベントをリアルタイムでキャプチャしてモニタリングしなければ、組織はシステムに対する潜在的な脅威を認識できません。各マイクロサービスは独自のログストリームを生成するため、アプリケーション内のすべてのマイクロサービスからのログを集約する集中ロギングツールを使用することが重要です。この中央の場所は、信頼できる唯一の情報源として機能し、エンジニアがすべてのコンポーネントからのデータを簡単にクエリして関連付けることができます。 

リアルタイムのアラートをログおよびメトリック分析と統合することで、セキュリティエンジニアはインシデントに迅速に対応できるようになります。

CI/CDパイプラインにおけるセキュリティの実装

適切なセキュリティ検査を行わずにサービスを本番環境にリリースすべきではありません。自動化されたセキュリティチェックとテストをCI/CDパイプラインに統合することで、本番環境の前にサービスがセキュリティ標準を満たしていることが保証されます。脆弱性スキャンや静的コード分析などの追加のセキュリティ対策をCI/CDパイプラインに統合する必要があります。

コンテナ化による大規模なセキュリティ対策

マイクロサービスは通常、KubernetesやDocker Swarmなどのコンテナオーケストレーションツールによって管理されるコンテナ内で実行されます。したがって、コンテナセキュリティはマイクロサービスセキュリティの重要なセグメントであり、独自のベストプラクティスがあります。

• イメージスキャン：イメージを分析して、コンテナレジストリーにプッシュされる前に、脆弱性、設定ミス、企業コンプライアンスを確認します。
• ランタイムセキュリティ：コンテナ内でサービスを実行するコンテナランタイムをモニタリングし、潜在的な異常を特定して検知します。
• コンテナレジストリーの保護：厳格なアクセスポリシーとIAMロールを適用して、レジストリーに保存されているイメージへのアクセスを制限します。完全に認証されたオーケストレーションツールとサービスだけがレジストリーからイメージをプルできる必要があります。

マイクロサービスを保護するための信頼できるパス

マイクロサービスアーキテクチャには多くの利点があるため、このアプローチはあらゆる規模の技術組織にとって非常に魅力的なものとなっています。ただし、組織はマイクロサービスの導入に伴うセキュリティ上の課題を無視してはなりません。

マイクロサービスセキュリティは絶えず進化するプロセスであり、最新のマイクロサービスセキュリティツールが重要な役割を果たします。CrowdStrike Falcon® Cloud Securityは、ゼロトラスト原則に基づくセキュリティ標準を適用しながら、マイクロサービスに対する優れた可視性を提供します。CrowdStrike Falconは、Salt Securityとの提携を通じて、APIセキュリティのあらゆる側面のシームレスな統合も提供します。FalconのAIネイティブ機能により、マイクロサービス環境の各レイヤーで包括的な保護が保証されます。