Posted inSecurity
LinuxでRootless Dockerを導入する：rootなしでコンテナを実行してサーバーを守る
Docker daemonがデフォルトでrootとして動くことは深刻なセキュリティリスクだ：コンテナが攻撃されると、侵入者はサーバー全体の制御を奪うまで権限昇格できる。Rootless Dockerはこの問題を根本から解決する — daemonもコンテナも通常のuser namespaceで実行し、どの段階でもroot権限を必要としない。
Posted inSecurity
Harborによるプライベートコンテナレジストリ構築ガイド：脆弱性の自動スキャンとイメージ署名の実践
Harborを用いたPrivate Registry構築の実践ガイド。Trivyによる自動脆弱性スキャン、Cosignによるイメージ署名、CI/CD向けRobot Accountの最小権限設定まで詳しく解説します。
Posted inDocker
DockerでLinux Capabilities（cap-dropとcap-add）を設定してセキュリティを強化する実践ガイド
Dockerでcap-drop=ALLとcap-addを活用してLinux Capabilitiesを厳格化する実践ガイド。コンテナエスケープのリスクを遮断し、Docker Composeでの設定標準化やPermission Deniedエラーのトラブルシューティングまで詳しく解説します。
Posted inSecurity
Traceeによるランタイムセキュリティ監視：LinuxシステムのためのeBPF「監視の目」
ハッカーによるファイルレスマルウェアやコンテナエスケープにお困りですか？eBPFの強力なパワーを活用するTraceeなら、Linux上のあらゆる異常行動を極めて低いオーバーヘッドで完全に捕捉できます。
Posted inSecurity
LinuxとDockerコンテナのSeccompプロファイル設定：システムコールフィルタリングによるアタックサーフェス削減
DockerコンテナとLinuxサービスへのSeccompプロファイル設定を実践的に解説。危険なシステムコールをフィルタリングしてアタックサーフェスを削減し、権限昇格攻撃を防ぐ方法を紹介する。カスタムJSONプロファイルの作成、systemd設定、straceを使ったsyscallデバッグ方法も含む。
Posted inVirtualization
gVisorのインストールと使い方でコンテナを保護する：独立したKernelでDockerを実行する
gVisorはDockerのサンドボックスランタイムで、コンテナとホストカーネルの間に仮想カーネル（Sentry）を挟むことでContainer Escapeを防ぎます。runscのインストール、Dockerの設定、そしてサンドボックスの動作確認を実際のコマンド例とともに解説します。
Posted inSecurity
SBOM：SyftとGrypeで依存関係を可視化し、脆弱性をスキャンする「魔法の鏡」
SyftとGrypeを使用して依存関係を分析し、脆弱性スキャンを自動化するテクニック。SREやDevSecOpsのための現代的なセキュリティ標準であるSBOMで、ソフトウェアサプライチェーンを保護しましょう。
Posted inSecurity
Trivy：DockerとK8sの脆弱性を爆速スキャンするDevOpsエンジニアの守護神
コンテナシステムをハッカーの脅威にさらしてはいけません。Trivyを使用してDockerやKubernetesの脆弱性をスキャンし、数分でCI/CDに自動統合する詳細な手順を解説します。
Posted inDocker
Distroless Dockerイメージ：不要なシェルとOSを排除してコンテナセキュリティを強化する
GoogleのDistroless Imagesは、Dockerコンテナからシェル、パッケージマネージャー、不要なOSコンポーネントを排除し、アタックサーフェスを大幅に削減します。本記事では、Go・Python・Java向けのマルチステージビルドでのDistroless活用方法と、実際の脆弱性比較・検証手順を詳しく解説します。
Posted inSecurity
Kubernetes向けFalcoによるランタイムセキュリティ：リアルタイム異常検知
ランタイムセキュリティは、コンテナ内部に潜む脅威からKubernetesを保護するための鍵です。強力な異常検知ツールであるFalcoは、リアルタイムでの監視とアラートを可能にします。本記事では、Falcoをクラスターの堅牢な盾にするためのインストール、カスタムルール設定、および実践的なヒントを解説します。