CNCF: Kubernetesデバッガがアクセス痕跡を削除――セキュリティ監査に深刻な問題

痕跡を静かに削除するKubernetesデバッガ

kubectlはKubernetesクラスター――コンテナオーケストレーションプラットフォーム――を管理するための標準CLIツールです。kubectl debugツールは、本番システムを変更せずに診断のために稼働中のPodに一時的なephemeralコンテナを導入することを可能にします。

Kubernetesの背後にある組織であるCNCF（Cloud Native Computing Foundation）が、懸念すべき発見を発表しました。kubectl debugセッションが終了すると、Kubernetesはそれに関するすべてのデータを削除します。終了コード、セッション期間、ターゲットコンテナのIDが痕跡なく消えてしまいます。

kubectl debugの問題がインシデントレスポンスにどう影響するのか

このような状況を想定してみてください。当直エンジニアがインシデントを調査して「exit 42――接続プールが枯渇」と記録し、引き継ぎます。次のエンジニアがKubernetes APIでそれを確認しようとすると、container not foundエラーが返されます。データはストレス下で書かれたメモの中にしか存在しません。

技術的な根本原因として、lastStateと終了レコードを持つ通常のコンテナとは異なり、ephemeralコンテナにはEphemeralContainerStatusに相当するフィールドがありません。CNCFはこれがKubernetes仕様における設計上の欠陥であると確認しています。

PCI DSS、SOC 2、HIPAAは危険にさらされているのか

PCI DSS要件10.3は、カードデータを処理するシステムへのすべてのアクセスに詳細な監査証跡を要求しています。SOC 2のアクセスアクティビティとHIPAA要件も同じ方向を向いています。規制対象のKubernetesクラスター内でkubectl debugを使用している組織は、どのコンテナに誰がアクセスしたかを監査人に証明できません。

CNCF SIG Nodeは最小限の修正を提案しています。破壊的な変更なしにEphemeralContainerStatusにlastStateフィールドを追加することです。一時的な回避策としては、共有ボリュームへのロギング、Kubernetes watch APIによる監視、外部のSIEMシステムへのデータ転送などが挙げられます。