Container Reachability Analysis

Container Reachability Analysisは、コンテナがクラウドネットワーク内でどのように到達可能かを示します。Aikidoはコンテナイメージごとに、そのイメージがデプロイされている場所を特定し、インターネットからそのワークロードまでのネットワーク経路を、途中のすべてのコンポーネントとポートを含めてトレースします。

この機能はさまざまな環境で動作します。KubernetesクラスタまたはクラウドEnvironmentが接続されている限り、Aikidoはコンテナイメージとそのデプロイ先を自動的にマッチングします。イメージ自体は、Docker Hub、ECR、GCR、その他の接続済みレジストリなど、どのレジストリのものでも構いません。

この機能でできること

イメージが実際にデプロイされている場所を確認する: すべてのコンテナイメージがどこかで稼働しているとは限りません。稼働しているものについては、Aikidoがそのイメージを使用しているワークロードと、その到達経路を示します。
ネットワーク経路全体をトレースする: インターネットからコンテナまでの正確な経路を確認できます。例: Internet → AWS Load Balancer → Kubernetes Ingress → Service → Deployment。図には、どのリソースがAWSレベルで、どれがKubernetesレベルかも表示されます。
デプロイタイプをまたいだ露出を把握する: 1つのイメージが、Kubernetesクラスタ、ECSサービス、複数のLambda関数にデプロイされている場合もあり、それぞれ露出の状況が異なります。Aikidoはデプロイごとに個別に到達可能性を表示します。
CVEを文脈の中で確認する: 図の中の任意のコンポーネントのバッジをクリックすると、そのワークロードに影響するCVEを、デプロイ場所や露出状況の文脈とともに確認できます。

確認方法

Containers画面では、各コンテナに到達可能性アイコンが表示されます。コンテナにカーソルを合わせ、「View Container Reachability」を選択すると図が開きます。

到達可能性ビューを開くと、コンテナまでのネットワーク経路を示すインタラクティブな図が表示されます。以下のことができます。

CVEバッジをクリック: 任意のコンポーネントに影響する脆弱性を確認できます。そこからフィード内の検出結果へ直接移動することも可能です。
接続されたリソースを確認する: Aikidoは、そのワークロードがアクセスできる対象も表示します。例えば、RDSデータベースに接続されたVMやコンテナがある場合、ポートを含めてその関係が表示されます。
デプロイのメタデータを確認する: 任意のデプロイ（Lambda関数、ECSサービス、Kubernetesワークロード）をクリックすると、そのメタデータと設定の詳細を確認できます。
複数のデプロイを閲覧する: 同じイメージが複数の場所にデプロイされている場合、それぞれのデプロイが個別のエントリとして表示されます。例えば、3つのLambda関数で稼働しているイメージは3つの経路として表示され、それぞれに固有の到達可能性ステータス（インターネットに公開されているものとそうでないものなど）が示されます。