Deepfence Logo

ThreatMapper - クラウドネイティブ向けランタイム脅威管理と攻撃経路列挙

[!NOTE] このプロジェクトは https://threatmapper.org によってメンテナンスされています。

Deepfence ThreatMapperは、本番プラットフォーム内の脅威を追跡し、それらの脅威を悪用リスクに基づいてランク付けします。脆弱なソフトウェアコンポーネント、露出したシークレット、優良なセキュリティ慣行からの逸脱を明らかにします。ThreatMapperは、エージェントベースの検査とエージェントレスの監視を組み合わせて、脅威を検出するための可能な限り広いカバレッジを提供します。

ThreatMapperのThreatGraph可視化を使用すると、アプリケーションのセキュリティに最大のリスクをもたらす問題を特定し、計画的な保護または修復のために優先順位を付けることができます。

ThreatMapperの詳細については、製品ドキュメントをご覧ください。
ThreatMapperの動作確認は、ライブデモサンドボックスでご覧ください。

ThreatMapperを使用するタイミング

ThreatMapperは、開発パイプラインですでに採用している優れた「シフトレフト」セキュリティプラクティスを継続します。実行中のアプリケーションを新たなソフトウェア脆弱性に対して監視し続け、ホストとクラウドの構成を業界の専門家によるベンチマークに照らして監視します。

ThreatMapperを使用して、クラウド、Kubernetes、サーバーレス（Fargate）、オンプレミスプラットフォームにわたる本番ワークロードとインフラストラクチャにセキュリティ可観測性を提供します。

デプロイメントの計画

ThreatMapperは2つのコンポーネントで構成されています：

ThreatMapper Management Consoleは、単一のDockerホストまたはKubernetesクラスターにデプロイできるコンテナベースのアプリケーションです。
ThreatMapperは、エージェントレスのCloud ScannerタスクとエージェントベースのSensor Agentsを使用して、実行中のインフラストラクチャを監視します。

Management Console

適切なDockerホストまたはKubernetesクラスターに、Management Consoleを最初にデプロイします。例：Docker上：

# Docker installation process for ThreatMapper Management Console

wget https://github.com/deepfence/ThreatMapper/raw/release-2.5/deployment-scripts/docker-compose.yml
docker-compose -f docker-compose.yml up --detach

Management Consoleが起動して実行されたら、管理者アカウントを登録し、APIキーを取得できます。

Cloud Scannerタスク

ThreatMapperのCloud Scannerタスクは、クラウドプロバイダーのAPIにクエリを実行して構成を収集し、コンプライアンスベンチマークからの逸脱を特定する役割を担います。

タスクはTerraformモジュールを使用してデプロイされます。ThreatMapper Management Consoleは、Terraformでデプロイ可能な基本構成を提示します。また、エキスパート向け構成を参照してデプロイを微調整することもできます（AWS, Azure, GCP）。

Sensor Agents

本番環境または開発プラットフォームにセンサーエージェントをインストールします。センサーはManagement Consoleに報告し、発見したサービスやテレメトリを提供し、ソフトウェア依存関係のマニフェストを生成します。

ThreatMapperセンサーエージェントは、以下の本番環境プラットフォームをサポートしています：

Kubernetes: ThreatMapperセンサーは、Helmチャートを使用してKubernetesクラスター内のDaemonSetとしてデプロイされます。
Docker: ThreatMapperセンサーは軽量コンテナとしてデプロイされます。
Amazon ECS: ThreatMapperセンサーは、タスク定義を使用してデーモンサービスとしてデプロイされます。
AWS Fargate: ThreatMapperセンサーは、タスク定義を使用してサイドカーコンテナとしてデプロイされます。
ベアメタルまたは仮想マシン: ThreatMapperセンサーは軽量Dockerランタイム内にデプロイされます。

例として、以下のコマンドを実行してDockerホスト上でThreatMapperセンサーを起動します：

docker run -dit \
    --cpus=".2" \
    --name=deepfence-agent \
    --restart on-failure \
    --pid=host \
    --net=host \
    --log-driver json-file \
    --log-opt max-size=50m \
    --privileged=true \
    -v /sys/kernel/debug:/sys/kernel/debug:rw \
    -v /var/log/fenced \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v /:/fenced/mnt/host/:ro \
    -e CUSTOM_TAGS="" \
    -e MGMT_CONSOLE_URL="---CONSOLE-IP---" \
    -e MGMT_CONSOLE_PORT="443" \
    -e DEEPFENCE_KEY="---DEEPFENCE-API-KEY---" \
    -e http_proxy="" \
    -e https_proxy="" \
    -e no_proxy="" \
    quay.io/deepfenceio/deepfence_agent_ce:2.5.8

注：イメージタグ quay.io/deepfenceio/deepfence_agent_ce:2.5.8-multiarch はamd64およびarm64/v8アーキテクチャでサポートされています。

Kubernetesプラットフォームでは、センサーはHelmチャートを使用してインストールされます。

次のステップ

Deepfence ThreatMapperドキュメントを参照して、開始方法とThreatMapperの使用方法を学んでください。

お問い合わせ

ThreatMapperをご利用いただきありがとうございます。ThreatMapperコミュニティにぜひご参加ください。

ThreatMapperコミュニティウェブサイト
質問がある、助けが必要ですか？ SlackでDeepfenceチームを見つけてください
機能リクエストやバグを見つけましたか？ Issueを提出してください
Deepfence ThreatMapperドキュメントでドキュメントを読む
productsecurity at deepfence dot io: セキュリティ上の問題を見つけましたか？秘密裏に共有してください

エンタープライズ向けThreatStrykerを入手

ThreatStrykerはThreatMapperのエンタープライズ版であり、エンタープライズセキュリティチーム向けの追加機能を備えています。ThreatStrykerはクラウドサービスまたはオンプレミスデプロイメントで利用可能です。

セキュリティとサポート

ThreatMapperプロジェクトのセキュリティ関連の問題については、productsecurity at deepfence dot ioまでご連絡ください。

必要に応じてGitHubのIssueを提出し、DeepfenceコミュニティのSlackチャンネルに参加してください。

ライセンス

Deepfence ThreatMapperプロジェクト（このリポジトリ）は、Apache2ライセンスの下で提供されています。

Deepfence ThreatMapperプロジェクトへのコントリビューションも、GitHubのinbound=outboundポリシーに従い、Apache2ライセンスの下で受け入れられます。

ThreatMapper

人気