bytedance/vArmor

解決する課題

vArmorは、コンテナの分離を強化し、カーネルの攻撃対象領域を削減するために設計されたクラウドネイティブなコンテナ強化システムです。コンテナエスケープ、横展開（ラテラルムーブメント）、および不正なネットワークアクセスを防ぎます。これは、マルチテナント環境や、高リスクの脆弱性に即座にパッチを適用できない場合に特に重要です。

仕組み

Kubernetes Operatorパターンを使用して、CRD API経由でセキュリティポリシーを管理します。このシステムは、いくつかのLinuxセキュリティ技術に基づいた「エンフォーサー（強制実行器）」を実装しています。

• カーネルレベルの制御: AppArmor LSM、BPF LSM、Seccompを活用して、ファイルアクセス、プロセス実行、システムコールを制御します。
• ネットワーク制御: Envoyベースのサイドカープロキシを使用して、L4 (TCP) および L7 (HTTP/HTTPS) での出口トラフィックをインターセプトおよび制御します。TLS MITMによる復号検査やHTTPヘッダーインジェクションをサポートしています。

対象ユーザー

• Kubernetes管理者: ハードウェア仮想化のコストが高すぎるマルチテナントクラスターを管理している方。
• セキュリティエンジニア: 重要なビジネスコンテナを権限昇格や横展開から保護したい方。
• AI開発者: プロンプトインジェクションによるツール悪用やデータ流出を防ぐために、厳格な外部ネットワーク制御を必要とするLLMベースのアプリケーションやAIエージェントをデプロイしている方。

主な特徴

• AIエージェント保護: カーネルおよびアプリケーションプロトコルレベルの制御を組み合わせることで、不正なAPI呼び出しやキー漏洩などのリスクを軽減します。
• L7ネットワークの可視性: 標準のKubernetes NetworkPoliciesでは提供されない高度な出口制御（TLS MITM、SNIベースのフィルタリング）を提供します。
• 柔軟な強制適用: 「デフォルト許可（パフォーマンスへの影響を最小化）」と「デフォルト拒否」の両方のモデルをサポートしています。
• 組み込みルール: 専門家でなくてもセキュリティプロファイルの作成を簡素化できる、すぐに使えるルールが含まれています。