ABCDEFGHIJKLMNOPQRSTUVWXYZ
1
フェーズチェック項目重大度対応するツール検査項目紐付け識別子セキュリティガイドライン/フレームワークバージョン項番
2
大項目中項目小項目
3
ビルド(コンテナ管理)コンテナイメージベースイメージAlpine Linux (2.2 - 2.7, 3.0 - 3.13) における既知の脆弱性が存在するTrivyalpineCIS Docker Benchmarkv1.7.04.4
4
Red Hat Universal Base Image (7, 8) における既知の脆弱性が存在するTrivyredhatCIS Docker Benchmarkv1.7.04.4
5
CentOS (6, 7) における既知の脆弱性が存在するTrivycentosCIS Docker Benchmarkv1.7.04.4
6
Oracle Linux (5, 6, 7, 8) における既知の脆弱性が存在するTrivyoracleCIS Docker Benchmarkv1.7.04.4
7
Amazon Linux (1, 2) における既知の脆弱性が存在するTrivyamazonCIS Docker Benchmarkv1.7.04.4
8
openSUSE Leap (42, 15) における既知の脆弱性が存在するTrivysuseCIS Docker Benchmarkv1.7.04.4
9
Photon OS (1.0, 2.0, 3.0) における既知の脆弱性が存在するTrivyphotonCIS Docker Benchmarkv1.7.04.4
10
Debian GNU/Linux (wheezy, jessie, stretch, buster) における既知の脆弱性が存在するTrivydebianCIS Docker Benchmarkv1.7.04.4
11
Ubuntu (Canonical がサポートするすべてのバージョン) における既知の脆弱性が存在するTrivyubuntuCIS Docker Benchmarkv1.7.04.4
12
ライブラリコンテナ内のGemfile.lock(ruby)に依存する既知の脆弱性TrivygemspecCIS Docker Benchmarkv1.7.04.4
13
コンテナ外のPipfile.lock (Python) に依存する既知の脆弱性Trivypython-pkgCIS Docker Benchmarkv1.7.04.4
14
コンテナ内のpoetry.lock (Python) に依存する既知の脆弱性TrivypoetryCIS Docker Benchmarkv1.7.04.4
15
コンテナ外のcomposer.lock (PHP) に依存する既知の脆弱性TrivycomposerCIS Docker Benchmarkv1.7.04.4
16
コンテナ外のpackage-lock.json (Node.js) に依存する既知の脆弱性Trivynode-pkgCIS Docker Benchmarkv1.7.04.4
17
コンテナ内のyarn.lock (Node.js) に依存する既知の脆弱性TrivyyarnCIS Docker Benchmarkv1.7.04.4
18
コンテナ内のpackages.lock.json (.NET) に依存する既知の脆弱性Trivydotnet-coreCIS Docker Benchmarkv1.7.04.4
19
コンテナ内のJAR/WAR/EAR (Java) に依存する既知の脆弱性TrivyjarCIS Docker Benchmarkv1.7.04.4
20
コンテナ外のGo Binaries (Go) に依存する既知の脆弱性TrivygobinaryCIS Docker Benchmarkv1.7.04.4
21
コンテナ内のgo.sum (Go) に依存する既知の脆弱性TrivygomodCIS Docker Benchmarkv1.7.04.4
22
コンテナ設定ファイル機密情報の露出Dockerfileに秘密情報(シークレット・認証情報)が記載されているCIS Docker Benchmarkv1.7.04.10
23
ビルド時に環境変数(--build-arg)等で機密情報が渡されているCriticalTrivyDS031CIS Docker Benchmarkv1.7.04.10
24
Docker SecretsやKubernetes Secretsなど、秘密情報管理機能を利用していないCIS Docker Benchmarkv1.7.07.4
25
不適切な設定DockerfileでCOPY命令ではなくADD命令を使用しているLowTrivyDS005CIS Docker Benchmarkv1.7.04.9
26
apt-get install時に--no-install-recommendsオプションを付けて、不要パッケージを入れているHighTrivyDS029CIS Docker Benchmarkv1.7.04.3
27
DockerfileでEXPOSE 22（SSHポート）を開けているMediumTrivyDS004CIS Docker Benchmarkv1.7.05.7
28
DockerfileでWORKDIRに/etcや/rootなど、ホストのシステムディレクトリを指定しているHighTrivyDS030CIS Docker Benchmarkv1.7.05.6
29
コンテナ実行ユーザが非rootユーザではなく、rootが指定されているHighTrivyDS002CIS Docker Benchmarkv1.7.04.1
30
デプロイマスターノードAPIサーバAPIサーバの安全ではないポートが開いているCriticalKubescapeC-0005なし
31
クラウドプロバイダが提供するホストのメタデータ提供機能を使用しているHighKubescapeC-0052なし
32
etcdsecret情報(pod構成の環境変数)がkubernetesマニフェストに含まれているHighKubescapeC-0012CIS Kubernetes Benchmarkv1.8.05.4.1
33
etcdの暗号化が無効になっているMediumKubescapeC-0066CIS Kubernetes Benchmarkv1.8.01.2.28
34
コントローラコンテナからの権限昇格が許可されているMediumKubescapeC-0016CIS Kubernetes Benchmarkv1.8.05.2.6
35
ingress-nginx(v0.49.0以下)において、Ingressオブジェクトを作成または更新できるユーザーがカスタムスニペット機能を使用できるHighKubescapeC-0059なし
36
監査ログの保存が無効になっているMediumKubescapeC-0067CIS Kubernetes Benchmarkv1.8.01.2.17
37
podがDeployment、ReplicaSet などに関連づいていないLowKubescapeC-0073なし
38
imagepullpolicyがalwaysに設定されておらず，latestタグを指定しても古いバージョンのイメージをpullする可能性があるLowKubescapeC-0075なし
39
deploymentに役割に適したlabelがついていないLowKubescapeC-0076なし
40
kubernetesリソースに共通するらlabelがついていないLowKubescapeC-0077なし
41
スケジューラCronJobを通して悪意のあるコードの実行がスケジューリングされる可能性があるLowKubescapeC-0026なし
42
profilingオプションがfalseになっているか確認するLowKubescapeC-0151CIS Kubernetes Benchmarkv1.8.01.2.16
43
bind-addressが127.0.0.1になっているか確認するMediumKubescapeC-0152CIS Kubernetes Benchmarkv1.8.01.3.7
44
ワーカーノードkubeletkubeletへのHTTPSリクエストが匿名リクエスト(system:anonymous)になっているCriticalKubescapeC-0069CIS Kubernetes Benchmarkv1.8.04.2.1
45
APIサーバ以外からのアクセスができる状態になっているCriticalKubescapeC-0070CIS Kubernetes Benchmarkv1.8.01.2.6
46
kube-proxykube-proxyのkubeconfigファイルのパーミッションが600未満になっているMediumKubescapeC-0164CIS Kubernetes Benchmarkv1.8.04.1.3
47
kube-proxyのkubeconfigファイルの所有者がroot:rootになっていないMediumKubescapeC-0165CIS Kubernetes Benchmarkv1.8.04.1.4
48
podメモリを無制限に要求・使用できるpodがあるHighKubescapeC-0004NSA/CISA Kubernetes Hardening GuideVersion 1.2Resource policie
49
CPUとメモリのいずれかにリソース制限がついていないHighKubescapeC-0009NSA/CISA Kubernetes Hardening GuideVersion 1.2Resource policie
50
アプリケーションコンテナにroot権限が付与されているMediumKubescapeC-0013CIS Kubernetes Benchmarkv1.8.05.2.7
51
hostPID,hostIPCを用いている(コンテナとホストが分離されていない)HighKubescapeC-0038なしv1.8.03.8.2
52
Liveness probeが設定されていないMediumKubescapeC-0056なしv1.8.05.4.2
53
default namespaceでpodが実行されているLowKubescapeC-0061CIS Kubernetes Benchmarkv1.8.05.7.4
54
コンテナのentrypointでsudoコマンドが存在するMediumKubescapeC-0062NSA/CISA Kubernetes Hardening GuideVersion 1.2Building secure container images
55
CPUを無制限に要求・使用できるpodがあるHighKubescapeC-0050NSA/CISA Kubernetes Hardening GuideVersion 1.2Resource policie
56
subPathまたはsubPathExprを使用してホストファイルシステムにアクセスできるようになっている(k8sバージョンがv1.22.0 - v1.22.1、v1.21.0 - v1.21.4、v1.20.0 - v1.20.10、v1.19.14以下限定)MediumKubescapeC-0058なしv1.8.05.1.3
57
コンテナランタイム信頼できないまたは禁止されているコンテナレジストリの使用HighKubescapeC-0001NIST SP 800-190初版3.1.5
58
コンテナ内でスクリプトをダウンロードしたり，アプリに変更を加えること(つまりwriteやexecute)ができるLowKubescapeC-0017NSA/CISA Kubernetes Hardening GuideVersion 1.2Immutable container file systems
59
コンテナ内のsshサーバに外部からアクセスできるLowKubescapeC-0042なしv1.8.05.1.1
60
コンテナに安全でない権限が付与されているHighKubescapeC-0046CIS Kubernetes Benchmarkv1.8.05.2.6
61
SELinux、AppArmor、seccomp などのセキュリティ サービスを利用していないMediumKubescapeC-0055CIS Kubernetes Benchmarkv1.8.05.7.2
62
コンテナランタイムソケット(/var/run/docker)をマウントしているMediumKubescapeC-0074なしv1.8.01.1.6
63
イメージがarmosecが定義した信頼できるコンテナイメージではないMediumKubescapeC-0078なしv1.8.02.6.1
64
CAP_SYS_ADMIN 権限をもったコンテナから任意コードが実行できる状態にあるMediumKubescapeC-0079CIS Kubernetes Benchmarkv1.8.05.2.9
65
オープン ソースCDプラットフォーム Argo CDといったソフトウェア サプライ チェーンのゼロデイ脆弱性があるMediumKubescapeC-0081なし
66
クラウドの認証情報などにアクセスできるボリュームがあるMediumKubescapeC-0020CIS Kubernetes Benchmarkv1.8.05.1.2
67
コンテナにホストのディレクトリやボリュームをマウントしているHighKubescapeC-0045CIS Kubernetes Benchmarkv1.8.04.6.1
68
RBAC(権限)サービスアカウント不必要にkubernetesダッシュボードにアクセスできるサービスアカウントが存在するLowKubescapeC-0014CIS Kubernetes Benchmarkv1.8.05.2.12
69
pod起動時にサービスアカウントトークンがpodにマウントされるMediumKubescapeC-0034CIS Kubernetes Benchmarkv1.8.05.1.6
70
RBACが無効になっている（サービスアカウントが無制限に権限を持つ状態になっている）MediumKubescapeC-0053CIS Kubernetes Benchmarkv1.8.05.1.2
71
Impersonation ロールが使用可能になっているMediumKubescapeC-0065CIS Kubernetes Benchmarkv1.8.05.1.8
72
ロールクラスタ内にkubectl execが実行できるコンテナが存在するMediumKubescapeC-0002なし
73
データ・リソース削除に関する過剰な権限があるMediumKubescapeC-0007CIS Kubernetes Benchmarkv1.8.05.1.9
74
不必要にsecretにアクセスできるサービスアカウントが存在するHighKubescapeC-0015CIS Kubernetes Benchmarkv1.8.05.1.2
75
不必要にkubernetes eventを削除できるコンポーネントが存在するMediumKubescapeC-0031なしv1.8.02.3.1
76
不必要にクラスタ管理者の権限に紐つけられたコンポーネントが存在するMediumKubescapeC-0035CIS Kubernetes Benchmarkv1.8.05.1.1
77
不必要にconfigmap,corednsに更新できる権限のあるサービスアカウントが存在するMediumKubescapeC-0037CIS Kubernetes Benchmarkv1.8.05.1.3
78
不必要にpodへのポートフォーワードができるようなコンポーネントが存在するMediumKubescapeC-0063CIS Kubernetes Benchmarkv1.8.05.1.10
79
ネットワークコンポーネント間通信既知の悪用されたコンポーネントの1つに対するノードポート/ロードバランサーのサービスが存在する(外部からアクセスできる状態にある)MediumKubescapeC-0021NSA/CISA Kubernetes Hardening GuideVersion 1.2Network policies
80
コンテナがhostportを使用しているMediumKubescapeC-0044CIS Kubernetes Benchmarkv1.8.05.2.13
81
pod間通信に制限が設けられていないLowKubescapeC-0049CIS Kubernetes Benchmarkv1.8.05.3.2
82
ネットワーク制御(ポリシー)Readiness probeが構成されていないLowKubescapeC-0018なしv1.8.04.1.1
83
podごとにネットワークを制御するポリシーが設定されていないMediumKubescapeC-0030CIS Kubernetes Benchmarkv1.8.05.3.2
84
ホストネットワークへのアクセスが可能な状態にあるHighKubescapeC-0041なし
85
既知の重大な脆弱性を持つコンテナが外部に公開されているHighKubescapeC-0083NIST SP 800-190初版3.1.1
86
既知のリモート コード実行 (RCE) の脆弱性を持つコンテナ イメージが外部に公開されているHighKubescapeC-0084NIST SP 800-190初版3.1.1
87
デプロイ後
(運用・監視)		マスターノードAPIサーバkubectl cpコマンドを通じてAPIサーバ経由でコンテナのファイルシステムからのデータのコピーを検出NoticefalcoExfiltrating Artifacts via Kubernetes Control PlaneMITRE ATT&CK for Enterprise – Containersv16.0exfiltration
88
コンテナ(コンテナランタイム)シェル構成ファイルの変更を検出WarningfalcoModify Shell Configuration FileMITRE ATT&CK for Enterprise – Containersv16.0persistence
89
新たにスケジュールされたcronジョブを検出NoticefalcoSchedule Cron JobsMITRE ATT&CK for Enterprise – Containersv16.0execution
90
SSHディレクトリ内のファイルに対する読み取り試行を検出ErrorfalcoRead ssh informationMITRE ATT&CK for Enterprise – Containersv16.0collection
91
setnsシステムコールを使ってスレッドの名前空間を変更しようとする試行を検出NoticefalcoChange thread namespaceMITRE ATT&CK for Enterprise – Containersv16.0privilege_escalation
92
unshareシステムコールを使用して、権限昇格を試みる操作を検出NoticefalcoChange namespace privileges via unshareMITRE ATT&CK for Enterprise – Containersv16.0privilege_escalation
93
システムバイナリ（例: coreutilsやユーザー管理）が行う予期しないネットワークアクティビティを検出NoticefalcoSystem procs network activityMITRE ATT&CK for Enterprise – Containersv16.0execution
94
setuidを使用して、sudoやsuを除いたユーザー切り替えの試行を検出NoticefalcoNon sudo setuidMITRE ATT&CK for Enterprise – Containersv16.0privilege_escalation
95
ユーザー管理バイナリ（例: usermod、deluserなど）によるアクティビティを検出NoticefalcoUser mgmt binariesMITRE ATT&CK for Enterprise – Containersv16.0persistence
96
/devディレクトリ下にファイルを作成しようとする試行を検出ErrorfalcoCreate files below devMITRE ATT&CK for Enterprise – Containersv16.0persistence
97
コンテナ内でのパッケージ管理コマンド実行を検出ErrorfalcoLaunch Package Management Process in ContainerMITRE ATT&CK for Enterprise – Containersv16.0persistence
98
コンテナ内でのリモートコピーツール(rsync,scp,sftp等)の使用を検出NoticefalcoLaunch Remote File Copy Tools in ContainerMITRE ATT&CK for Enterprise – Containersv16.0exfiltration
99
コンテナ内でのリモートファイルコピーツール(curl,wget)などの使用を検出NoticefalcoLaunch Ingress Remote File Copy Tools in ContainerMITRE ATT&CK for Enterprise – Containersv16.0command_and_control
100
podデータベースサーバ関連のプログラムによる予期しない子プロセス生成を検出NoticefalcoDB program spawned processMITRE ATT&CK for Enterprise – Containersv16.0execution