// escape_detector.go - コンテナエスケープのリスク要因を検出するツール
package main
 
import (
    "fmt"
    "os"
    "strings"
    "syscall"
)
 
type RiskLevel int
 
const (
    Low RiskLevel = iota
    Medium
    High
    Critical
)
 
type Finding struct {
    Check    string
    Risk     RiskLevel
    Detail   string
    Remediation string
}
 
func main() {
    findings := []Finding{}
 
    // 1. root 実行チェック
    if os.Getuid() == 0 {
        findings = append(findings, Finding{
            Check:  "Running as root",
            Risk:   High,
            Detail: fmt.Sprintf("UID=%d, GID=%d", os.Getuid(), os.Getgid()),
            Remediation: "USER ディレクティブで非 root ユーザを指定する",
        })
    }
 
    // 2. 特権モードチェック
    if isPrivileged() {
        findings = append(findings, Finding{
            Check:  "Privileged container",
            Risk:   Critical,
            Detail: "コンテナが特権モードで実行されている",
            Remediation: "--privileged フラグを削除する",
        })
    }
 
    // 3. Docker socket マウントチェック
    if _, err := os.Stat("/var/run/docker.sock"); err == nil {
        findings = append(findings, Finding{
            Check:  "Docker socket mounted",
            Risk:   Critical,
            Detail: "/var/run/docker.sock がマウントされている",
            Remediation: "Docker socket のマウントを削除する",
        })
    }
 
    // 4. 書き込み可能なルートファイルシステム
    if isWritableRootFS() {
        findings = append(findings, Finding{
            Check:  "Writable root filesystem",
            Risk:   Medium,
            Detail: "ルートファイルシステムが書き込み可能",
            Remediation: "readOnlyRootFilesystem: true を設定する",
        })
    }
 
    // 5. capabilities チェック
    caps := getEffectiveCaps()
    dangerousCaps := []string{
        "CAP_SYS_ADMIN", "CAP_SYS_PTRACE", "CAP_SYS_MODULE",
        "CAP_DAC_OVERRIDE", "CAP_NET_RAW",
    }
    for _, cap := range dangerousCaps {
        if strings.Contains(caps, cap) {
            findings = append(findings, Finding{
                Check:  fmt.Sprintf("Dangerous capability: %s", cap),
                Risk:   High,
                Detail: fmt.Sprintf("capability %s が有効", cap),
                Remediation: "capabilities を drop ALL + 必要なもののみ add する",
            })
        }
    }
 
    // 6. ホストネットワークチェック
    if isHostNetwork() {
        findings = append(findings, Finding{
            Check:  "Host network mode",
            Risk:   High,
            Detail: "ホストネットワーク名前空間を共有している",
            Remediation: "hostNetwork: false に設定する",
        })
    }
 
    // 結果出力
    printFindings(findings)
}
 
func isPrivileged() bool {
    // /proc/self/status の CapEff を確認
    data, err := os.ReadFile("/proc/self/status")
    if err != nil {
        return false
    }
    for _, line := range strings.Split(string(data), "\n") {
        if strings.HasPrefix(line, "CapEff:") {
            capHex := strings.TrimSpace(strings.TrimPrefix(line, "CapEff:"))
            // 全ビットが立っている = 特権
            return capHex == "000001ffffffffff" || capHex == "0000003fffffffff"
        }
    }
    return false
}
 
func isWritableRootFS() bool {
    testFile := "/.rootfs_write_test"
    f, err := os.Create(testFile)
    if err != nil {
        return false
    }
    f.Close()
    os.Remove(testFile)
    return true
}
 
func getEffectiveCaps() string {
    data, err := os.ReadFile("/proc/self/status")
    if err != nil {
        return ""
    }
    for _, line := range strings.Split(string(data), "\n") {
        if strings.HasPrefix(line, "CapEff:") {
            return strings.TrimSpace(strings.TrimPrefix(line, "CapEff:"))
        }
    }
    return ""
}
 
func isHostNetwork() bool {
    var stat syscall.Stat_t
    // ホストとコンテナの network namespace を比較
    err := syscall.Stat("/proc/1/ns/net", &stat)
    if err != nil {
        return false
    }
    hostIno := stat.Ino
 
    err = syscall.Stat("/proc/self/ns/net", &stat)
    if err != nil {
        return false
    }
    selfIno := stat.Ino
 
    return hostIno == selfIno
}
 
func printFindings(findings []Finding) {
    riskLabels := map[RiskLevel]string{
        Low: "LOW", Medium: "MEDIUM", High: "HIGH", Critical: "CRITICAL",
    }
 
    fmt.Println("=== Container Security Assessment ===")
    fmt.Printf("Total findings: %d\n\n", len(findings))
 
    for i, f := range findings {
        fmt.Printf("[%d] %s (%s)\n", i+1, f.Check, riskLabels[f.Risk])
        fmt.Printf("    Detail: %s\n", f.Detail)
        fmt.Printf("    Fix: %s\n\n", f.Remediation)
    }
}

# ---- Stage 1: ビルド ----
FROM node:20-alpine AS builder
 
# 非 root ユーザで作業
WORKDIR /app
 
# 依存関係を先にインストール (キャッシュ活用)
COPY package.json package-lock.json ./
RUN npm ci --only=production && \
    # npm キャッシュを削除してイメージサイズを削減
    npm cache clean --force
 
# ソースコードをコピーしてビルド
COPY . .
RUN npm run build
 
# ---- Stage 2: 本番イメージ ----
FROM node:20-alpine AS production
 
# メタデータ (OCI Image Spec)
LABEL org.opencontainers.image.title="myapp" \
      org.opencontainers.image.version="1.0.0" \
      org.opencontainers.image.vendor="Example Corp"
 
# セキュリティアップデートを適用
RUN apk update && apk upgrade --no-cache && \
    apk add --no-cache dumb-init && \
    # SUID/SGID ビットを除去
    find / -perm /6000 -type f -exec chmod a-s {} + 2>/dev/null || true && \
    rm -rf /var/cache/apk/*
 
# 非 root ユーザを作成
RUN addgroup -g 1001 -S appgroup && \
    adduser -u 1001 -S appuser -G appgroup -h /app -s /sbin/nologin
 
WORKDIR /app
 
# ビルド成果物のみコピー (ソースコード不要)
COPY --from=builder --chown=appuser:appgroup /app/dist ./dist
COPY --from=builder --chown=appuser:appgroup /app/node_modules ./node_modules
COPY --from=builder --chown=appuser:appgroup /app/package.json ./
 
# 非 root ユーザに切替
USER appuser
 
# ヘルスチェック
HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
    CMD node -e "require('http').get('http://localhost:3000/health', (r) => r.statusCode === 200 ? process.exit(0) : process.exit(1))"
 
# シグナル転送のため dumb-init で PID 1 問題を解決
ENTRYPOINT ["dumb-init", "--"]
CMD ["node", "dist/server.js"]

# Go アプリケーション用 distroless
FROM golang:1.22 AS builder
 
WORKDIR /app
 
# 依存関係を先にダウンロード
COPY go.mod go.sum ./
RUN go mod download
 
# ソースコードをコピーしてビルド
COPY . .
 
# 静的リンク + セキュリティフラグ付きビルド
RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 \
    go build -ldflags="-w -s -X main.version=$(git describe --tags)" \
    -trimpath -o /server .
 
# distroless nonroot イメージ
FROM gcr.io/distroless/static-debian12:nonroot
 
# メタデータ
LABEL org.opencontainers.image.source="https://github.com/example/myapp"
 
# ビルド成果物のみコピー
COPY --from=builder /server /server
 
# CA 証明書が必要な場合 (HTTPS 通信用)
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
 
# nonroot ユーザで実行 (UID 65534)
USER nonroot:nonroot
 
ENTRYPOINT ["/server"]

# イメージの脆弱性スキャン
trivy image --severity HIGH,CRITICAL myapp:latest
 
# 出力例:
# myapp:latest (alpine 3.19.0)
# ============================
# Total: 3 (HIGH: 2, CRITICAL: 1)
#
# +----------+---------------+----------+-------------------+
# | Library  | Vulnerability | Severity | Fixed Version     |
# +----------+---------------+----------+-------------------+
# | libcurl  | CVE-2024-XXX  | CRITICAL | 8.5.0-r1          |
# | openssl  | CVE-2024-YYY  | HIGH     | 3.1.4-r3          |
# +----------+---------------+----------+-------------------+
 
# OS パッケージ + 言語パッケージの両方をスキャン
trivy image --scanners vuln myapp:latest
 
# シークレット検知
trivy image --scanners secret myapp:latest
 
# ライセンスチェック
trivy image --scanners license --severity HIGH myapp:latest
 
# Dockerfile のベストプラクティスチェック
trivy config Dockerfile
 
# SBOM 生成 (CycloneDX 形式)
trivy image --format cyclonedx --output sbom.json myapp:latest
 
# SBOM 生成 (SPDX 形式)
trivy image --format spdx-json --output sbom.spdx.json myapp:latest
 
# CI/CD での自動ゲート (CRITICAL があれば exit code 1)
trivy image --exit-code 1 --severity CRITICAL myapp:latest
 
# JSON 出力 (パイプライン統合向け)
trivy image --format json --output results.json myapp:latest
 
# SARIF 出力 (GitHub Security タブ連携)
trivy image --format sarif --output results.sarif myapp:latest

# Dockle: CIS Docker Benchmark に基づくイメージ検査
dockle myapp:latest
 
# 検出例:
# WARN  - CIS-DI-0001: Create a user for the container
# WARN  - CIS-DI-0005: Enable Content trust for Docker
# WARN  - CIS-DI-0006: Add HEALTHCHECK instruction to the container image
# PASS  - CIS-DI-0008: Confirm safety of setuid/setgid files
# INFO  - CIS-DI-0009: Use COPY instead of ADD in Dockerfile

# GitHub Actions - 包括的なコンテナセキュリティパイプライン
name: Container Security
on:
  push:
    branches: [main]
  pull_request:
    paths: ['Dockerfile', 'src/**', 'package*.json']
 
jobs:
  scan:
    runs-on: ubuntu-latest
    permissions:
      security-events: write  # SARIF アップロード用
      contents: read
 
    steps:
      - uses: actions/checkout@v4
 
      # Hadolint: Dockerfile リンター
      - name: Hadolint
        uses: hadolint/hadolint-action@v3.1.0
        with:
          dockerfile: Dockerfile
          failure-threshold: warning
 
      # イメージビルド
      - name: Build image
        run: docker build -t myapp:${{ github.sha }} .
 
      # Trivy: 脆弱性スキャン
      - name: Trivy vulnerability scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          severity: HIGH,CRITICAL
          exit-code: 1
          format: sarif
          output: trivy-results.sarif
 
      # Trivy: シークレットスキャン
      - name: Trivy secret scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          scanners: secret
          exit-code: 1
 
      # Dockle: イメージベストプラクティス
      - name: Dockle lint
        uses: erzz/dockle-action@v1
        with:
          image: myapp:${{ github.sha }}
          exit-code: 1
          exit-level: WARN
 
      # SBOM 生成
      - name: Generate SBOM
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          format: cyclonedx
          output: sbom.json
 
      # SARIF を GitHub Security タブにアップロード
      - name: Upload SARIF
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-results.sarif
 
      # SBOM をアーティファクトとして保存
      - name: Upload SBOM
        uses: actions/upload-artifact@v4
        with:
          name: sbom
          path: sbom.json

# セキュアなコンテナ実行 (全オプション解説付き)
docker run \
  --user 1001:1001 \                    # 非 root ユーザで実行
  --read-only \                         # ファイルシステム読取専用
  --tmpfs /tmp:noexec,nosuid,size=64m \ # tmp は tmpfs (実行不可, SUID不可)
  --cap-drop ALL \                      # 全 capability を削除
  --cap-add NET_BIND_SERVICE \          # 必要な capability のみ追加
  --security-opt no-new-privileges \    # 権限昇格禁止 (SUID 無効化)
  --security-opt seccomp=default.json \ # seccomp プロファイル適用
  --security-opt apparmor=docker-default \ # AppArmor プロファイル
  --memory 512m \                       # メモリ上限
  --memory-swap 512m \                  # スワップ禁止 (メモリと同値)
  --cpus 1.0 \                          # CPU 上限
  --pids-limit 100 \                    # プロセス数制限 (fork bomb 防止)
  --network app-network \               # 専用ネットワーク
  --dns 8.8.8.8 \                       # DNS サーバ指定
  --restart on-failure:3 \              # 再起動ポリシー
  --health-cmd "curl -f http://localhost:3000/health" \
  --health-interval 30s \
  --health-retries 3 \
  myapp:v1.0.0@sha256:abc123...         # ダイジェスト固定

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "defaultErrnoRet": 1,
  "architectures": [
    "SCMP_ARCH_X86_64",
    "SCMP_ARCH_AARCH64"
  ],
  "syscalls": [
    {
      "names": [
        "accept", "accept4", "access", "bind", "brk",
        "clone", "close", "connect", "dup", "dup2", "dup3",
        "epoll_create", "epoll_create1", "epoll_ctl", "epoll_wait",
        "execve", "exit", "exit_group",
        "fcntl", "fstat", "futex",
        "getdents64", "getpid", "getsockname", "getsockopt",
        "ioctl", "listen", "lseek",
        "mmap", "mprotect", "munmap",
        "nanosleep", "open", "openat",
        "pipe", "pipe2", "poll",
        "read", "readlink", "recvfrom", "recvmsg",
        "rt_sigaction", "rt_sigprocmask", "rt_sigreturn",
        "select", "sendmsg", "sendto", "set_tid_address",
        "setsockopt", "shutdown", "sigaltstack", "socket",
        "stat", "statfs",
        "write", "writev"
      ],
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "names": [
        "ptrace", "personality", "mount", "umount2",
        "pivot_root", "kexec_load", "init_module",
        "finit_module", "delete_module", "reboot",
        "settimeofday", "stime", "clock_settime"
      ],
      "action": "SCMP_ACT_ERRNO",
      "comment": "危険なシステムコールを明示的にブロック"
    }
  ]
}

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
  labels:
    app: myapp
spec:
  replicas: 3
  selector:
    matchLabels:
      app: myapp
  template:
    metadata:
      labels:
        app: myapp
    spec:
      # Pod レベルのセキュリティ
      securityContext:
        runAsNonRoot: true          # root 実行を禁止
        runAsUser: 1001             # 実行ユーザ
        runAsGroup: 1001            # 実行グループ
        fsGroup: 1001               # ボリュームの所有グループ
        fsGroupChangePolicy: OnRootMismatch  # 所有者変更を最小化
        seccompProfile:
          type: RuntimeDefault      # デフォルトの seccomp プロファイル
        supplementalGroups: [1001]
 
      containers:
        - name: myapp
          image: myapp:v1.0.0@sha256:abc123def456...  # ダイジェスト固定
 
          # コンテナレベルのセキュリティ
          securityContext:
            allowPrivilegeEscalation: false  # 権限昇格禁止
            readOnlyRootFilesystem: true     # 読取専用 FS
            privileged: false                # 特権モード禁止
            capabilities:
              drop: ["ALL"]                  # 全 capability を削除
              # add: ["NET_BIND_SERVICE"]    # 必要な場合のみ追加
            seccompProfile:
              type: RuntimeDefault
 
          # リソース制限 (必須)
          resources:
            limits:
              memory: "512Mi"
              cpu: "500m"
              ephemeral-storage: "1Gi"
            requests:
              memory: "256Mi"
              cpu: "250m"
 
          # ヘルスチェック
          livenessProbe:
            httpGet:
              path: /health
              port: 3000
            initialDelaySeconds: 10
            periodSeconds: 30
            timeoutSeconds: 5
            failureThreshold: 3
 
          readinessProbe:
            httpGet:
              path: /ready
              port: 3000
            initialDelaySeconds: 5
            periodSeconds: 10
 
          startupProbe:
            httpGet:
              path: /health
              port: 3000
            failureThreshold: 30
            periodSeconds: 10
 
          # ポート定義
          ports:
            - containerPort: 3000
              protocol: TCP
 
          # 環境変数 (シークレットは Secret リソースから)
          env:
            - name: NODE_ENV
              value: "production"
            - name: DB_PASSWORD
              valueFrom:
                secretKeyRef:
                  name: db-credentials
                  key: password
 
          # ボリュームマウント
          volumeMounts:
            - name: tmp
              mountPath: /tmp
            - name: app-config
              mountPath: /app/config
              readOnly: true
 
      volumes:
        - name: tmp
          emptyDir:
            sizeLimit: 64Mi
        - name: app-config
          configMap:
            name: myapp-config
 
      # イメージの pull ポリシー
      imagePullPolicy: Always
 
      # サービスアカウントのトークン自動マウントを無効化
      automountServiceAccountToken: false
 
      # Node 選択とトレランス
      nodeSelector:
        kubernetes.io/os: linux

# Namespace に Pod Security Standards を適用
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    # enforce: 違反する Pod の作成を拒否
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
 
    # audit: 違反を監査ログに記録 (作成は許可)
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/audit-version: latest
 
    # warn: 違反時に警告メッセージを表示 (作成は許可)
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/warn-version: latest

# Default deny (全通信をデフォルトで拒否)
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: production
spec:
  podSelector: {}   # 全 Pod に適用
  policyTypes:
    - Ingress
    - Egress
 
---
# アプリケーション固有のポリシー
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: myapp-network-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: myapp
  policyTypes:
    - Ingress
    - Egress
 
  ingress:
    # Ingress コントローラからの HTTPS のみ受信
    - from:
        - namespaceSelector:
            matchLabels:
              name: ingress-nginx
          podSelector:
            matchLabels:
              app.kubernetes.io/name: ingress-nginx
      ports:
        - port: 3000
          protocol: TCP
 
  egress:
    # データベースへの通信
    - to:
        - podSelector:
            matchLabels:
              app: postgres
      ports:
        - port: 5432
          protocol: TCP
 
    # Redis への通信
    - to:
        - podSelector:
            matchLabels:
              app: redis
      ports:
        - port: 6379
          protocol: TCP
 
    # DNS 解決を許可
    - to:
        - namespaceSelector: {}
          podSelector:
            matchLabels:
              k8s-app: kube-dns
      ports:
        - port: 53
          protocol: UDP
        - port: 53
          protocol: TCP
 
    # 外部 API への HTTPS 通信
    - to:
        - ipBlock:
            cidr: 0.0.0.0/0
            except:
              - 169.254.169.254/32  # メタデータ API をブロック
              - 10.0.0.0/8          # 内部ネットワークをブロック
      ports:
        - port: 443
          protocol: TCP

# キーペア生成
cosign generate-key-pair
 
# イメージに署名
cosign sign --key cosign.key myregistry/myapp:v1.0.0
 
# 署名の検証
cosign verify --key cosign.pub myregistry/myapp:v1.0.0
 
# キーレス署名 (Sigstore/Fulcio を使用)
# CI/CD の OIDC トークンを使用して署名
cosign sign --yes myregistry/myapp:v1.0.0
# → Fulcio が一時的な証明書を発行
# → Rekor に署名ログを記録 (透明性ログ)
 
# キーレス署名の検証
cosign verify \
  --certificate-identity "https://github.com/myorg/myapp/.github/workflows/build.yml@refs/heads/main" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  myregistry/myapp:v1.0.0
 
# SBOM をイメージにアタッチ
cosign attach sbom --sbom sbom.json myregistry/myapp:v1.0.0
 
# アテステーション (ビルド情報の証明)
cosign attest --predicate provenance.json --key cosign.key myregistry/myapp:v1.0.0
 
# SLSA Provenance の検証
cosign verify-attestation --key cosign.pub --type slsaprovenance myregistry/myapp:v1.0.0

# Kyverno: 署名済みイメージのみ許可
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signature
spec:
  validationFailureAction: Enforce
  background: false
  rules:
    - name: verify-cosign-signature
      match:
        any:
          - resources:
              kinds: ["Pod"]
      verifyImages:
        - imageReferences: ["myregistry/*"]
          attestors:
            - entries:
                - keys:
                    publicKeys: |-
                      -----BEGIN PUBLIC KEY-----
                      MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE...
                      -----END PUBLIC KEY-----
 
    - name: require-digest
      match:
        any:
          - resources:
              kinds: ["Pod"]
      validate:
        message: "イメージはダイジェストで固定する必要があります"
        pattern:
          spec:
            containers:
              - image: "*@sha256:*"
 
    - name: disallow-latest-tag
      match:
        any:
          - resources:
              kinds: ["Pod"]
      validate:
        message: "latest タグは使用禁止です"
        pattern:
          spec:
            containers:
              - image: "!*:latest"
 
---
# Kyverno: イメージレジストリの制限
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: restrict-image-registries
spec:
  validationFailureAction: Enforce
  rules:
    - name: allowed-registries
      match:
        any:
          - resources:
              kinds: ["Pod"]
      validate:
        message: "許可されたレジストリからのイメージのみ使用可能です"
        pattern:
          spec:
            containers:
              - image: "myregistry.azurecr.io/* | gcr.io/my-project/*"

# ConstraintTemplate: 許可レジストリチェック
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8sallowedregistries
spec:
  crd:
    spec:
      names:
        kind: K8sAllowedRegistries
      validation:
        openAPIV3Schema:
          type: object
          properties:
            registries:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8sallowedregistries
 
        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          not startswith(container.image, input.parameters.registries[_])
          msg := sprintf("イメージ '%v' は許可されたレジストリからのものではありません", [container.image])
        }
 
---
# Constraint: 上記テンプレートの適用
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAllowedRegistries
metadata:
  name: allowed-registries
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]
    namespaces: ["production"]
  parameters:
    registries:
      - "myregistry.azurecr.io/"
      - "gcr.io/my-project/"

# Falco カスタムルール
- rule: Shell spawned in container
  desc: コンテナ内でシェルが起動された
  condition: >
    container and
    spawned_process and
    proc.name in (bash, sh, zsh, dash, ksh) and
    not container.image.repository in (allowed_shell_images)
  output: >
    Shell spawned in container
    (user=%user.name container=%container.name
    image=%container.image.repository
    shell=%proc.name parent=%proc.pname
    cmdline=%proc.cmdline)
  priority: WARNING
  tags: [container, shell, mitre_execution]
 
- rule: Unexpected outbound connection
  desc: コンテナから予期しない外部通信
  condition: >
    container and
    outbound and
    not fd.sip in (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) and
    not fd.sport in (443, 80, 53) and
    not container.image.repository in (allowed_external_images)
  output: >
    Unexpected outbound connection
    (container=%container.name image=%container.image.repository
    connection=%fd.name)
  priority: NOTICE
 
- rule: Read sensitive file in container
  desc: コンテナ内で機密ファイルが読まれた
  condition: >
    container and
    open_read and
    fd.name in (/etc/shadow, /etc/passwd, /proc/self/environ) and
    not proc.name in (login, su, sudo)
  output: >
    Sensitive file read in container
    (user=%user.name container=%container.name
    file=%fd.name image=%container.image.repository)
  priority: WARNING
 
- rule: Crypto mining detected
  desc: クリプトマイニングの兆候を検知
  condition: >
    container and
    spawned_process and
    (proc.name in (xmrig, minerd, cpuminer) or
     proc.args contains "stratum+tcp" or
     proc.args contains "pool.minexmr")
  output: >
    Crypto mining process detected
    (container=%container.name image=%container.image.repository
    process=%proc.name cmdline=%proc.cmdline)
  priority: CRITICAL

# Helm で Falco をインストール
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm repo update
 
helm install falco falcosecurity/falco \
  --namespace falco-system \
  --create-namespace \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.slack.webhookurl="https://hooks.slack.com/..." \
  --set falcosidekick.config.slack.minimumpriority=warning \
  --set driver.kind=ebpf \
  --set collectors.kubernetes.enabled=true

# External Secrets Operator の例
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: db-credentials
  namespace: production
spec:
  refreshInterval: 1h
  secretStoreRef:
    kind: ClusterSecretStore
    name: aws-secrets-manager
  target:
    name: db-credentials
    creationPolicy: Owner
  data:
    - secretKey: password
      remoteRef:
        key: production/db/credentials
        property: password
    - secretKey: username
      remoteRef:
        key: production/db/credentials
        property: username

# NG: root で実行 (デフォルト)
FROM node:20
WORKDIR /app
COPY . .
CMD ["node", "server.js"]  # PID 1 が root (UID 0) で動作
 
# OK: 非 root ユーザで実行
FROM node:20-alpine
RUN addgroup -g 1001 -S appgroup && \
    adduser -u 1001 -S appuser -G appgroup -s /sbin/nologin
WORKDIR /app
COPY --chown=appuser:appgroup . .
USER appuser
CMD ["dumb-init", "node", "server.js"]

# NG: latest タグ (内容が変わりうる)
FROM node:latest
# → ビルドのたびに異なるバージョンが使われる可能性
# → サプライチェーン攻撃でタグが上書きされるリスク
 
# NG: バージョンのみ (ダイジェストなし)
FROM node:20
# → パッチバージョンが変わる可能性
 
# OK: 固定バージョン + ダイジェスト
FROM node:20.11.0-alpine@sha256:abc123def456...
# → 完全に再現可能なビルド
# → タグが上書きされてもダイジェストで検証

# NG: Docker Socket をコンテナにマウント
volumes:
  - /var/run/docker.sock:/var/run/docker.sock
# → コンテナから docker コマンドでホスト上に特権コンテナを起動可能
# → 実質的にホストの root 権限と同等
 
# OK: Docker-in-Docker が必要な場合
# 方法1: Kaniko (ビルド専用、デーモンレス)
# 方法2: Buildah (rootless, daemonless)
# 方法3: Docker-in-Docker (--privileged が必要で推奨しないが、
#         CI/CD で隔離された環境でのみ許容)

# NG: ENV にシークレットを設定
ENV DATABASE_URL="postgres://user:password@db:5432/mydb"
ENV API_KEY="sk-1234567890abcdef"
# → docker history でレイヤーから復元可能
# → docker inspect で環境変数が見える
 
# NG: COPY でシークレットファイルをコピー
COPY credentials.json /app/credentials.json
# → マルチステージビルドで削除しても前のレイヤーに残存
 
# OK: BuildKit の --mount=type=secret を使用
# syntax=docker/dockerfile:1
RUN --mount=type=secret,id=db_password \
    DB_PASS=$(cat /run/secrets/db_password) && \
    ./setup-db.sh "$DB_PASS"
# → シークレットはイメージレイヤーに保存されない
 
# ビルド時:
# docker build --secret id=db_password,src=./db_password.txt .

# 対策: dnsConfig で ndots を調整
spec:
  dnsConfig:
    options:
      - name: ndots
        value: "2"  # デフォルトの 5 から削減
      - name: single-request-reopen  # musl の DNS 問題回避

# 対策: exec が必要な tmpfs は明示的に許可
volumes:
  - name: tmp-exec
    emptyDir:
      medium: Memory
      sizeLimit: 128Mi
volumeMounts:
  - name: tmp-exec
    mountPath: /tmp
    # noexec は設定しない (JIT が必要)

# Docker の userns-remap を有効化
# /etc/docker/daemon.json
{
  "userns-remap": "default"
}
# → /etc/subuid, /etc/subgid にマッピングが設定される
# → 既存のボリュームの権限を再設定する必要がある

# マルチアーキテクチャイメージの構造
# docker manifest inspect myapp:v1.0.0
{
  "manifests": [
    {"platform": {"architecture": "amd64"}, "digest": "sha256:aaa..."},
    {"platform": {"architecture": "arm64"}, "digest": "sha256:bbb..."}
  ]
}
# → cosign sign は manifest list のダイジェストに対して実行
# → 各アーキテクチャのイメージが改竄されると署名検証が失敗

# 脆弱な Dockerfile
FROM python:latest
WORKDIR /app
ENV DATABASE_URL=postgres://admin:password@db:5432/mydb
COPY . .
RUN pip install -r requirements.txt
EXPOSE 8000
CMD python app.py