Dokiの脅威：深刻な被害をもたらすDockerの新たな脆弱性と、その対策について

日本語の擬音語で「ドキドキ」は、心臓が激しく鼓動する音を表します。Dockerサーバーが「Doki」に感染したとき、セキュリティチームのメンバーがまさに経験するであろう感覚です。Dokiは、悪意のあるコードを注入するためのバックドアなどを提供する新しい脆弱性であり、その名にふさわしい脅威と言えるでしょう。

クラウドインフラへの依存度が高まる中、セキュリティのベストプラクティスを正確かつスケーラブルに適用する重要性が増しています。これは単にアプリケーションを安全にデプロイするための最低限の対策にとどまらず、コンテナセキュリティのためのカスタム対策をSDLC（ソフトウェア開発ライフサイクル）全体に浸透させ、展開する必要があります。

サイバー攻撃は頻度を増す一方であり、Linuxベースのインフラを標的とした脅威も一般的になっています。その最終的な目的は、クラウド上に保存された機密データの宝庫をこじ開けることにあります。Dokiはまさにそれを狙っており、複数の技術を駆使して検知を回避し、強力かつ効果的に攻撃を行うという点で、これまでのDocker関連のセキュリティ問題とは一線を画しています。

Dokiとは何か、そしてどのような仕組みなのか？

多くの侵害されたアプリケーションに共通するテーマとして、セキュリティ設定の不備が、ソフトウェアが侵害される原因として許容できないほど大きな役割を果たしています。特にDockerの場合、Docker Engine APIの設定不備が攻撃者にとって格好の標的となってきました。暗号資産マイニングボットネットのNgrok Botnetは、2018年から安全でないDockerサーバーを探索し、独自のコンテナを立ち上げて被害者のインフラ上でマルウェアを実行しています。

Dokiは、このマルウェアをより巧妙かつ悪意あるものにしたバージョンであり、同じボットネットを通じて、同じ攻撃ベクトルである「APIの設定不備」を突くことで成功を収めています。この設定不備は、コードのデプロイやサーバーの公開を行うよりもずっと前に対処しておくべきものでした。Dokiは、誰もが知る風刺的な暗号資産であるドージコイン（Dogecoin）のブロックチェーンを利用して、事実上検知不可能なバックドアとして機能します。現時点で、このマルウェアは1月以来、ほとんど痕跡を残さずに潜伏しています。

このマルウェアは、基本的にブロックチェーンウォレットを悪用してコマンド＆コントロール（C2）ドメイン名を生成します。これ自体は新しい手法ではありませんが、Dokiは感染したサーバー上でリモートコード実行を継続的に行える能力を提供し、ランサムウェアやDDoS攻撃といった一連の破壊的なマルウェア攻撃への道を開きます。まさに「骨を離さない犬」のように執拗です。Intezerの専門家チームが、この脅威とその広範なペイロードに関する詳細なレポートを公開しています。

コード内のDokiの経路を見つける。

Dokiは分散型ブロックチェーンネットワーク上で動作するバックドアであり、痕跡を隠滅し、ホストのより広い領域にアクセスして感染を拡大させるために、巧妙かつ迅速なコンテナエスケープ技術を駆使します。この事実は、開発者にとってもセキュリティチームにとっても悪夢のような脅威となっています。

とはいえ、APIポートが安全に設定されているDockerサーバーにDokiが感染することはありません。本番環境で設定を誤ることは甚大な結果を招きますが、このような複雑で強力なマルウェアに対しても、クラウド開発者に対するセキュリティ意識の向上と実践的なセキュアコーディングスキルの習得というトレーニングは、ある意味で「シンプルな」解決策となります。

Dokiが侵入し、感染を拡大させるきっかけとなり得る、安全でないDocker APIの例を見てみましょう。

dockerd -H tcp://0.0.0.0:2375

設定の不備にお気づきでしょうか？安全なバージョンは以下のようになります。

dockerd -H tcp://0.0.0.0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem

安全でない例では、Docker Engine APIがTCP 2375ポートでリッスンしており、あらゆる接続要求を受け入れてしまうため、Dockerサーバーに到達できる誰からでもアクセス可能な状態になっています。

安全な例では、Docker Engine APIはTLS証明書検証を使用するように設定されており、認証局（CA）によって信頼された証明書を提示するクライアントからの接続のみを受け入れるようになっています。

開発者がDoki感染の根本原因を特定し、修正できるよう支援する新しいゲーミフィケーション形式のチャレンジを用意しました。こちらからプレイできます：

セキュアなクラウドインフラの構築は、チームで取り組むものです。

クラウドの設定ミスにより、2018年から2019年にかけて組織が被った損失は5兆ドルという驚異的な額に上り、数十億件もの記録が流出し、取り返しのつかない評判の低下を招きました。大部分が回避可能な攻撃経路であることを考えると、これは非常に憂慮すべき統計です。ポートの露出を監視・修正する（理想的にはデプロイ前に行う）、未知のコンテナがないか確認する、過度なサーバー負荷を監視するといった対策を講じるだけで、Dokiのような脅威による被害の拡大を防げたはずです。安心を得るための代償としては、決して高くはないでしょう。

全社的なセキュリティ意識の向上は不可欠であり、SDLCに関わるすべての担当者にとって、セキュリティのベストプラクティスを実践することは譲れない条件です。優れた組織は強固なDevSecOpsプロセスを重視しており、セキュリティの責任を共有し、開発者とAppSecの専門家双方が、一般的な脆弱性がソフトウェアや重要なインフラに混入するのを防ぐための知識とツールを備えています。
セキュリティ意識の高い、強力なクラウドエンジニアを目指しませんか？今すぐスキルをテストする。