コンテナ脆弱性スキャン（コンテナゼイジャクセイスキャン）
Docker/K8sコンテナ検査。Trivy 0.60(Aqua・OSS・image/FS/K8s scan)・Grype(Anchore)・Snyk Container(SaaS・CLI)・Docker Scout(Docker builtin)・Clair・Anchore Enterprise・Falco(Runtime security)・KubeHunter・Sysdig Secure・OSV-Scanner・Dependency-Track・GitHub Dependabot・Google OSS-Scorecard対応、2026年CI/CD+prod runtime二重スキャン定番。
概要
コンテナ脆弱性スキャンは、Docker や Kubernetes で動作するイメージやファイルシステム、K8s オブジェクトを検査し、既知の脆弱性を検出するプロセスです。2025年に導入された CI/CD パイプラインに組み込むことで、開発段階でのリスクを低減し、2026年の本番環境におけるセキュリティを保証します。最新の脆弱性データベースと連携し、イメージビルド時からランタイムまでを網羅する二重スキャンが定番となっています。
主な特徴・仕組み
- イメージスキャン：レイヤー単位で依存関係を解析し、CVE を検出。
- ファイルシステムスキャン：OS パッケージやアプリケーションのバイナリを調査。
- Kubernetes オブジェクトスキャン：Deployment、Service、Ingress などを検証。
- Runtime 監視：Falco などで実行時挙動を検知。
- CI/CD 統合：GitHub Actions、GitLab CI で自動実行。
- 二重スキャン：ビルド時とデプロイ時に同一ツールで検査。
- OSS-Scorecard 対応：Google の OSS-Scorecard と連携し、ライセンスリスクを評価。
- 依存関係トラッキング：Dependency-Track で脆弱性の進捗管理。
- SaaS と CLI の両方：Snyk Container は SaaS で管理、Trivy は CLI でローカル実行。
- 拡張性：プラグインで独自のルールを追加可能。
スペック/製品比較表
| 製品 | バージョン | スキャン対象 | ランタイムサポート | 主な特徴 |
|---|---|---|---|---|
| Trivy | 0.60 | イメージ/FS/K8s | あり | 低リソースで高速 |
| Grype | 0.75 | イメージ | なし | データベース更新頻度高 |
| Snyk Container | 2026 | イメージ/FS | あり | SaaS で自動修正提案 |
| Docker Scout | 1.0 | イメージ | なし | Docker デフォルト統合 |
具体例・対応製品
- Trivy 0.60：Dockerfile から 32GB RAM で 5.0GHz CPU で 30 秒以内にスキャン完了。
- Grype 0.75：レイヤー 64GB まで対応し、1TB イメージでも 10Gbps ネットワークで解析。
- Snyk Container 2026：SaaS で 1.5GHz CPU で 100Mbps の帯域を使用。
- Docker Scout 1.0：Docker Engine 20.10 で 1.0GHz CPU で 100Mbps で動作。
- Clair 1.0：K8s 1.26 で 2.5GHz CPU で 500GB ストレージを使用。
- Anchore Enterprise 2.0：オンプレミスで 64GB RAM、1TB ストレージを必要とする。
- Falco 1.0：Runtime 監視で 1.0GHz CPU、10Mbps のログ転送。
- KubeHunter 0.4：K8s クラスター 1.25 で 1.0GHz CPU、100Mbps で実行。
- Sysdig Secure 3.0：コンテナ監査で 32GB RAM、1TB ストレージ。
- OSV-Scanner 0.5：CVE データベース 2026 年版で 1.5GHz CPU。
- Dependency-Track 4.0：脆弱性管理で 2.5GHz CPU、500GB ストレージ。
- GitHub Dependabot 2.0：自動 PR で 1.0GHz CPU、100Mbps。
- Google OSS-Scorecard 1.0：OSS ライセンス評価で 1.5GHz CPU。
自作PCでの選び方・注意点
- CPU 性能：1.5GHz 以上のクロックで 30 秒以内にスキャン完了を目指す。
- メモリ容量：32GB 以上を推奨。レイヤー解析時にメモリ不足が発生しやすい。
- ストレージ速度：NVMe SSD で 500GB 以上を確保。
- ネットワーク帯域：10Gbps 以上が望ましい。
- Docker Engine バージョン：20.10 以降を使用。
- K8s クラスター：1.25 以上を推奨。
- セキュリティポリシー：SaaS かオンプレミスかを決定。
- データベース更新頻度：毎日自動更新を設定。
- ログ保存期間：最低 90 日間を確保。
- バックアップ：スキャン結果を 1TB ストレージに保存。
関連用語との違い
- 脆弱性スキャン：主に OS やアプリケーションの脆弱性を検出。
- コンテナ脆弱性スキャン：イメージレイヤーや依存関係を対象に、K8s オブジェクトも検査。
- Runtime 監視：Falco などで実行時挙動を検知。
- CI/CD パイプライン：ビルド時にスキャンを組み込み、デプロイ前に検証。
よくある質問
Q1. Trivy と Grype の違いは何ですか？
A1. Trivy は低リソースで高速にスキャンでき、Grype はデータベース更新頻度が高い点が特徴です。
Q2. Snyk Container は SaaS だけでなく CLI もありますか？
A2. はい、Snyk Container は SaaS で管理しつつ、CLI でローカルスキャンも可能です。
Q3. どのツールが K8s オブジェクトを検査できますか？
A3. Trivy、Grype、Snyk Container、KubeHunter が K8s オブジェクトを対象に検査します。
まとめ
コンテナ脆弱性スキャンは、イメージビルドから本番デプロイまでの全フェーズで脆弱性を検出し、リスクを低減します。2025年に導入された CI/CD 連携と 2026年の二重スキャンにより、最新の攻撃手法にも迅速に対応可能です。自作PC での構築では CPU、メモリ、ストレージを十分に確保し、SaaS かオンプレミスかを選択することで、運用コストとセキュリティレベルを最適化できます。次世代のクラウドネイティブ環境において、コンテナ脆弱性スキャンは不可欠なセキュリティ対策となります。