テイルズオブテイルズ シーズン2ピンボール

株式会社メルカリ 様

フリマアプリ「メルカリ」を支える
Kubernetesクラスタにおいて
Sysdig Secure DevOps Platformが
強固なセキュリティを確立

 顧客接(jie)点の高度化 

さまざまなセキュリティレベルの
マイクロサービスが
同一のクラスタ上で同居する
環境の監視を実現

事例のポイント

お客様の課題

  • 一般論としてKubernetesはSecure by defaultではなく
    仕様上、セキュリティのリスクを考慮して使う必要のあるプロダクト
  • マイクロサービス化で開発者の操作を想定したセキュリティ対策も必要に

課題解決の成果

  • Kubernetesへの不正侵入の監視と操作ログ保存が実現した
  • 不正侵入に備えた不審なアクティビティの監視が可能に
  • 全操作ログが簡単に残せるようになり、トラブルの際も後から確認できる

導入ソリューション

  • Sysdig Secure DevOps Platform

株式会社メルカリ
Security Engineeringチーム 

末澤 裕希

「不審なアクティビティがあった際には通知が来るので、迅速な対応が可能です。また、 開(kai)発(fa)者の操作ログの記録が容易になったことが安心感につながっています」

Security Engineeringチーム

末澤 裕希

背景・課題

「メルカリ」の機密情報を守る上で
Kubernetesクラスタのモニタリングとログ管理が課題に

 「新たな価値(zhi)を生(sheng)みだす世界的(de)なマーケットプレイスを創(chuang)る」をミッションに、2013年2月(yue)に設(she)立されたメルカリ。同社が運営するフリマアプリ「メルカリ」は、同種(zhong)サービスの代(dai)表格(ge)といえる存在(zai)にまで成長している。2019年2月(yue)には、子会社であるメルペイが非接触(chu)型決済サービス「メルペイ」の提供(gong)を開(kai)始(shi)。これらのサービスの展開(kai)を通(tong)じ、限りある資(zi)源(yuan)を循環させ、より豊かな社会をつくることを目指している。

  もともとメルカリでは、サービスプラットフォームをモノリシックなアーキテクチャで構成していた。しかしながら、サービス数が増(zeng)え、大人数が同時並行で開発を進めるようになると、さらなる生(sheng)産性(xing)の向上が課題(ti)になってきた。そこで2017年末、同社はメルカリのマイクロサービス化を決断。クラウド基盤にGoogle Cloud Platform(GCP)、コンテナ管理ツールにGoogle Kubernetes Engine(GKE)を採用し、順次マイクロサービスアーキテクチャに移行した。

 その中、マイクロサービス化により開(kai)発組織(zhi)のあり方も変わり、バックエンドエンジニアが、開(kai)発から運用まで責任を持つようになった。その結果、開(kai)発者がインフラを触る可能性を前(qian)提とした新たなセキュリティ対策が必要(yao)になった。Kubernetesクラスタ上(shang)では、複数のマイクロサービスが稼働する。それゆえ、各マイクロサービスが影響を及(ji)ぼす範囲を最小限にする必要(yao)がある。

 メルカリでは、一般的(de)に現(xian)状のKubernetesは、Secure by defaultなプロダクトとは言えず、そもそもコンテナ間でカーネルを共有(you)するという性(xing)質上、セキュリティのリスクをよく考慮して使う必要のあるプロダクトと考えていた。メルカリでは対(dui)策(ce)を行っているものの、たとえばデフォルト環境のままKubernetesを使ってしまうと、容(rong)易に権限昇格(ge)が出来るなどの問題がある。この点についてSecurity Engineeringチームの末(mo)澤裕希(xi)氏(shi)は「私たちが防(fang)ぎたい攻撃は、外部からの脆(cui)弱性(xing)を突いた攻撃や重(zhong)要端末(mo)の盗難などによるコンテナへの不(bu)正侵(qin)入です。ノードに権限昇格(ge)されると、他コンテナ上のクレデンシャルの取得が可能になります」と語る。

 メルカリにおける膨大な量の取引情報を扱っている同社において、機密情報の保護は最優先の課題だ。そこで同社はKubernetesのセキュリティ対策として、独自の侵入テストや、クラスタの堅牢化など、さまざまな取り組みを実施してきた。その中でさらなるセキュリティ強化の手段として浮上してきたのが、モニタリングと操作ログの記録だった。
「モニタリングすることでインフラとアプリケーションに対する不正侵入を即(ji)時検(jian)知して対応すること、Kubernetes上の操作ログを取得し記録できることがリスクの緩和のために必要だと考え、新たな対策を検(jian)討することにしました」(末澤(ze)氏)

解決策と効果

不正検知能力が高く、運用管理の負担も少ない
「Sysdig Secure DevOps Platform」を採用
不正侵入の監視が実現

 メルカリでは、3つの観点からコンテナ管理専用のセキュリティ対策を検討。3製品に対してPoCを実施し、「不正検知能力」「記録能力」「運用管理」の3つの項目で点数化した。その中で、総合点数が最も高かったコンテナ・Kubernetes環境向けセキュリティ・モニタリング プラットフォーム「Sysdig Secure DevOps Platform(以下、Sysdig)」の採用を決めた。
「メルカリではPoCにあたり、把握しているKubernetesへの攻(gong)撃(ji)を全(quan)て試しました。たとえば脆弱(ruo)なコンテナの作成や、Kubernetesを操作するためのCredential盗難などのシナリオなどを含みます。その中でSysdigはPoCにおいて「不正検知能力」の成績がトップでした。また、安定したSaaS版が提(ti)供されていることも大きかったですね。Sysdigはクラウドネイティブな環(huan)境(jing)に適したかたちで提(ti)供されており、Kubernetes上にエージェントをデプロイするだけで導入できます。自(zi)社(she)での運用も不要で、コンソールから容易に管理可能です」(末澤氏)

 このほか、Sysdig社が主に開(kai)発(fa)しているオープンソースのKubernetes監視(shi)ツールである「Falco」がKubernetesコミュニティに深く関わりながら改善を続けていることも評価したと言う。また、Sysdig自体は有償ツールだが、様々な周辺ツールはオープンソースで開(kai)発(fa)されており、メルカリからの依頼をすぐに反映したり、メルカリからの貢献を取り込んだりというプロセスがあったことも高く評価された。

 今回の選定やPoCの実施にあたっては、国内総販売代理店のSCSKがサポートにあたった。比較した3製品はいずれも海外のツールだったが、Sysdigのみがコンテナセキュリティについての深い議論が可能だったことや、SCSKがSysdig本社とのパイプを通して、新たな機能追加の要望を伝えることができることもポイントになった。
「セキュリティのプロダクトは日(ri)本(ben)では利(li)用ユーザに対する対応が代理店のみに限定されてしまうものもあります。Sysdigについては、SCSKとSysdigの日(ri)本(ben)法(fa)人(ren)の2社(she)(she)から共同で対応していただき、製品に対する理解(jie)が深まりました。当社(she)(she)の開(kai)発チームが普(pu)段から利(li)用している『Slack』を使い、スピーディなやり取(qu)りができたのも有り難かったですね」(末澤氏)

 Sysdigの導入は、約1カ月(yue)で完了した。本作業は社内のKubernetesを管理しているチームが行(xing)ったが、パフォーマンスへ与える影響を考慮し、段(duan)階(jie)的にKubernetesクラスタに対して、Sysdigのエージェントのデプロイを行(xing)っていった。その際、大(da)きなパフォーマンス影響は確(que)認できなかったという。

 同社はSysdigを導入(ru)したことで、不正侵入(ru)の監(jian)視が実現し、Kubernetesクラスタのセキュリティレベルを大幅に高めることができた。 「不正侵入(ru)があった際(ji)にはすぐに通(tong)知が来るので、迅速な対(dui)応が可能(neng)です。たとえば、先ごろLinuxの新しい脆(cui)弱性(CVE-2020-14386)が発見された際(ji)には、セキュリティチームで攻撃手(shou)法(fa)を解(jie)析し、即(ji)座にSysdigによる防御を実施することができました。また、開(kai)発者の操作ログが分かりやすく残るため、トラブルが起(qi)きた際(ji)に簡単(dan)に確(que)認が可能(neng)になったことが安心感につながっています」(末澤(ze)氏(shi))

今後の展望

パフォーマンスや可用性を監視する
Sysdig Monitorの導入も予定

「Googleは、Secure by defaultかつ、コンテナ間の分離を高めたコンテナオーケストレーションを実現(xian)するために、gVisorというコンテナランタイムを作っています。gVisorを使うと、不正侵入を受けたあとの権限(xian)昇格などは防げる場面も大きくなりますが、それでも不正侵入自体(ti)の監視(shi)の必要性は残り続けると思っています。ネットワーク等一部の監視(shi)などが今のSysdigの仕組みでは難しくなるかもしれない認識をしていますが、こうした取り組みを追った上で、新しい仕組みに可能(neng)な限(xian)り追従していただけたらと思います」(末(mo)澤(ze)氏(shi))

 同(tong)社(she)とSCSK、Sysdigの3社(she)は、今(jin)後(hou)も密(mi)に連携(xie)しながらセキュリティ課題の解決に取り組(zu)んでいく。

SCSK担当者からの声

「Sysdig Secure DevOps Platform」は、クラウド・ネイティブなシステムを下(xia)支(zhi)えする基盤(pan)であり、かつ、コンテナ・セキュリティの起点(dian)であるとも考えています。メルカリ様(yang)への本(ben)製品導入支(zhi)援を通(tong)じて、コンテナ・セキュリティに対する必要性が着実(shi)に高まっている状況を目のあたりにし、他の多くの企業様(yang)にもこのプラットフォームの価値(zhi)を感(gan)じていただきたいと思(si)っております。SCSKは、今(jin)後もSysdigソリューションの提供を通(tong)じて、お客(ke)様(yang)サービスにおけるコンテナやKubernetes活(huo)用への取り組(zu)みを、最大限支(zhi)援してまいります。

ITエンジニアリング事業本部
ミドルウェア第二部 第一課

石川 愛彦


お客様プロフィール

株式会社メルカリ

所在地:東京都港区六本木6-10-1
U R L:

2013年(nian)2月設(she)立。同社のビジネスの主軸を担(dan)うフリマアプリ「メルカリ」は、月間利用者数が1,755万人と、フリマアプリとしては日(ri)本でも最大(da)規(gui)模(mo)であり、年(nian)間流通(tong)総額は6,259億円を超える。2014年(nian)9月からは米国でもサービスをスタート。また、2019年(nian)2月には子(zi)会社のメルペイが、非接触(chu)型(xing)決済サービス「メルペイ」の提供を開始。事業の多角化に乗り出している。

 2020年12月(yue)