コンテナ到達可能性分析

コンテナ到達可能性分析では、クラウドネットワーク内でコンテナにどのように到達できるかを示します。各コンテナイメージについて、Aikidoはそのイメージがどこにデプロイされているかを見つけ、インターネットからそのワークロードまでのネットワーク経路を、途中のすべてのコンポーネントとポートを含めて追跡します。

これは環境をまたいで動作します。Kubernetesクラスターまたはクラウド環境が接続されていれば、Aikidoはコンテナイメージをデプロイ先に自動で照合します。イメージ自体は、Docker Hub、ECR、GCR、またはその他の接続済みレジストリなど、どのレジストリからでも構いません。

何に役立つか

• イメージが実際にどこへデプロイされているかを確認する: すべてのコンテナイメージがどこかで稼働しているわけではありません。稼働しているものについては、Aikidoがそのイメージを使用しているワークロードと、そこへの到達方法を表示します。
• 完全な攻撃経路を追跡する: インターネットからコンテナまでの正確な経路を確認できます。たとえば、Internet → AWS Load Balancer → Kubernetes Ingress → Service → Deployment です。図では、どのリソースがAWSレベルで、どのリソースがKubernetesレベルかも表示されます。
• デプロイ種別をまたいだ公開範囲を把握する: 1つのイメージが、Kubernetesクラスター、ECSサービス、複数のLambda関数にそれぞれ異なる公開範囲でデプロイされている場合があります。Aikidoは各デプロイの到達可能性を個別に表示します。
• コンテキスト付きでCVEを確認する: 図内の任意のコンポーネントのバッジをクリックすると、そのワークロードに影響するCVEを、デプロイ場所や公開方法の文脈とともに確認できます。

どこで見つけるか

で コンテナ、各コンテナに到達可能性アイコンが表示されます。コンテナにカーソルを合わせて 「コンテナ到達可能性を表示」 を開きます。

到達可能性ビューを開くと、コンテナへのネットワーク経路を示すインタラクティブな図が表示されます。できることは次のとおりです:

• CVEバッジをクリック すると、それに影響する脆弱性を確認できます。そこから、フィード内の該当検出結果へ直接移動できます。
• 接続されているリソースを表示: Aikidoは、そのワークロードがアクセスできるものも表示します。たとえば、RDSデータベースに接続されたVMやコンテナでは、ポートを含めたその関係が表示されます。
• デプロイのメタデータを確認: 任意のデプロイ（Lambda関数、ECSサービス、Kubernetesワークロード）をクリックすると、メタデータと設定の詳細を確認できます。
• 複数のデプロイを閲覧: 同じイメージが複数箇所にデプロイされている場合、各デプロイは個別のエントリとして表示されます。たとえば、3つのLambda関数で実行されているイメージでは3つのパスが表示され、それぞれに独自の到達可能性ステータスがあります。インターネットに公開されているものもあれば、そうでないものもあります。

2026年3月30日までにAWSアカウントを接続しましたか？ CloudFormationスタックを更新する必要がある場合があります。参照 AWS CloudFormationスタックを更新.