Sysdig SecureのPosture Host Analyzer

Posture Host Analyzerとは

Sysdig Secureでは従来から、Kubernetes環境における設定ミスをチェックするKSPM（Kubernetes Security Posture Management）機能を提供しています。また、KSPMの一環として、Kubernetes環境で使用されているDockerやLinuxの設定ミスをチェックすることも可能です。

先日リリースされたPosture Host Analyzerによって、Kubernetesを使用していない単独のDockerサーバでも、DockerやLinuxの設定ミスやコンプライアンスに対する準拠状況を確認することが可能になりました。

この記事では、Posture Host Analyzerの使い方を簡単にご紹介します。ドキュメントは以下をご参照ください。
https://docs.sysdig.com/en/docs/installation/sysdig-secure/install-agent-components/hosts/containers/posture-host-analyzer/

Docker設定に関するベストプラクティスについて知りたい方は、下記ブログ記事をご参照ください。
https://sysdig.jp/blog/dockerfile-best-practices/

Zoneの作成

ポスチャー管理（設定ミスチェック）では、チェックの対象（例：ホスト）と、チェックに使用する各種コンプライアンスのポリシーを紐付けるためにZoneを作成します。

1. Sysdig SaaS UIにログインします。
2. 左側メニューから、 Policies > Posture > Zones を選択します。

3. 画面右上の New Zone ボタンをクリックします。

4. Zoneの名称と説明書きを入力し、Create をクリックします。

5. Scopes で対象とするDockerホストを指定し、 Posture Policies で適用するコンプライアンスポリシーを選択します（複数選択可）。今回は例として、下記画面キャプチャにあるDockerやLinux関連のポリシーを選択しています。 Save をクリックします。

6. Zoneが作成されたことを確認します。

Posture Host Analyzerの導入

1. 設定ミスのチェック対象となるDockerホストにCLIでログインします。
2. Posture Host AnalyzerをDockerコンテナとして起動します。

sudo docker run -d -v /:/host:ro -v /tmp:/host/tmp --privileged --network host --pid host --env ACCESS_KEY="xyz123456789abcde"  --env API_ENDPOINT=secure.sysdig.com quay.io/sysdig/kspm-analyzer:latest

ACCESS_KEYの値には、ご自身のSysdigアクセスキーを入力してください。

API_ENDPOINTの値はご利用のSysdig SaaSリージョンにより異なります。下記ドキュメントをご参照ください。
https://docs.sysdig.com/en/docs/administration/saas-regions-and-ip-ranges/

起動ログ

Log

Unable to find image 'quay.io/sysdig/kspm-analyzer:latest' locally
latest: Pulling from sysdig/kspm-analyzer
28ff5ee6facb: Pull complete
6282ee72f50a: Pull complete
2d39c6e30607: Pull complete
cdba24daa11b: Pull complete
ea2ac1d7c3cf: Pull complete
f1aedb05a49f: Pull complete
05870e6891d3: Pull complete
Digest: sha256:d4880da1916fd2f31b0e4508241bc7993c6a053d4f9403cd3c0e91f789be8140
Status: Downloaded newer image for quay.io/sysdig/kspm-analyzer:latest
33e17d903906a44d5ccdc211f3859b25d988436ba72c058eadcd15d5e079d338

3. Posture Host Analyzer（イメージ名はkspm-analyzer）が起動していることを確認します。

$ docker ps
CONTAINER ID        IMAGE                                 COMMAND             CREATED              STATUS              PORTS               NAMES
33e17d903906        quay.io/sysdig/kspm-analyzer:latest   "./app"             About a minute ago   Up About a minute                       romantic_brahmagupta

ベンチマークスキャン結果の確認

1. Sysdig SaaS UIにログインします。
2. 左側メニューから Posture > Compliance を選択します。

3. 先ほど作成したZone下に、ベンチマークスキャン結果が表示されていることを確認します。

まとめ

Posture Host Analyzerによって、Kubernetesを使用していない単独のDockerサーバでも、DockerやLinuxの設定ミスやコンプライアンスに対する準拠状況を簡単にチェックできました。