Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本文の内容は、2026年3月26日に Marla Rosner が投稿したブログ(https://www.sysdig.com/blog/three-pillars-for-building-effective-runtime-powered-cloud-defense-the-right-way)を元に日本語に翻訳・再構成した内容となっております。
クラウドネイティブなワークロードは、待ってはくれません。従来のインフラが比較的静的で、数カ月あるいは数年にわたってアイドル状態のままでいることも珍しくなかったのに対し、コンテナやクラウドワークロードは絶えず変化しています。Sysdig の調査によると、コンテナの60%は1分以内しか存続しません。Kubernetes クラスターは需要に応じて継続的にスケールアップとスケールダウンを繰り返し、サーバーレス関数はコードをミリ秒単位で実行した後に消滅します。そして、現代の脅威もまた、同じような速さで動くことを学んでいます。
これは、セキュリティにとって何を意味するのでしょうか。端的に言えば、クラウドインフラストラクチャーとワークロードと同じ速さで機能するセキュリティプログラムが必要だということです。ある時点のスナップショットでは、もはや組織を十分に保護することはできませんし、事後になって数分後あるいは数時間後にしか脅威を検知できないツールでも不十分です。
クラウド環境を保護するには、ランタイムでそれを保護しなければなりません。ランタイムインサイトとは、脆弱性、設定ミス、脅威を取り巻くリアルタイムのコンテキストを理解するために必要な、実行可能な情報とシグナルのことです。ランタイムインサイトにより、セキュリティチームは、その瞬間において本当に緊急性の高い問題が何か、そしてそれをどのように修復すべきかを理解できます。ランタイムを基盤とすることで、チームは実際に悪用のリスクにさらされているものを優先し、発生している脅威をその場で検知し、的確に対処することができます。
このブログでは、効果的なランタイム主導のクラウド防御を構築するための3つの主要な柱を詳しく解説し、インフラストラクチャーをリアルタイムで正しく保護する方法を紹介します。詳しくはこのまま読み進めるか、全体像を知るために『効果的なランタイム主導のクラウド防御を正しく構築するための設計図』の全文をダウンロードしてください。
1. テクノロジースタック全体にわたる可視性
まず必要なのは、カーネルからクラウドまで、フルスタックの可視性を提供するセキュリティソリューションです。つまり、コンテナ、仮想マシン、サーバーレスワークロード、Kubernetes、クラウドアカウントを含む、スタックのあらゆるレイヤーからランタイムテレメトリを収集することを意味します。
このフルスタックビューにより、セキュリティチームは何が起きたのかだけでなく、異なる要素がどのように関連しているのかも理解できるようになります。たとえば、コンテナがリバースシェルを起動した場合、そのシステムコールを取得し、それをコンテナイメージ、ネームスペース、ユーザーアイデンティティ、さらにその後に続くラテラルな接続と結び付けることができます。その相関付けは即座に行われるため、後から状況を再構築する必要はありません。
2. レジリエンスとスケーラビリティ
クラウド環境でランタイムデータを取得するには、多種多様なインフラストラクチャー、サービス、サードパーティアプリケーションにまたがってデータを取り込めるインストルメンテーションが必要です。また、大量のシグナルを処理し、システムの挙動をクラウドネイティブなアーキテクチャーとリアルタイムで相関付けできるパイプラインも必要です。効果的なランタイムインストルメンテーションは、こうした環境が拡大してもシームレスにスケールし、パフォーマンスを低下させることなく完全な可視性を提供し続けなければなりません。
このようにランタイムデータに取り組むことで、あらゆるイベントが完全な実行コンテキストを伴って到達し、迅速な調査と対応を支えられるようになります。検知は、セキュリティチームが素早く判断を下すために必要なコンテキストと関連性を備えて発報され、進行中の実際の攻撃経路を示すとともに、遅延とノイズの両方を削減します。
3. 迅速な対応のための実用的なコンテキスト
それだけの可視性とデータは非常に有用ですが、それが対応につながる場合に限ります。そして、効果的に対応するには、データを豊かにするコンテキストが必要です。
それを実現するには、ランタイムインサイトをプラットフォームのあらゆる部分に深く統合するセキュリティソリューションが必要です。ランタイムインサイトは、検知ルールに情報を与え、調査を強化し、エージェント型AIによる推奨を促し、リアルタイムの対応アクションを支えるものでなければなりません。
このような豊かなランタイムベースの基盤があって初めて、脅威が検知されたときに、チームは迅速かつ効果的な対応を取るために必要なコンテキストを得ることができます。これには、ラテラルムーブメントの追跡と影響範囲の可視化、孤立したイベントを相関させて攻撃チェーンをつなぎ合わせること、ライブイベントに基づいて対応の優先順位を付けること、そして悪意のあるプロセスを停止することが含まれます。
まとめ
ワークロードが数秒で立ち上がり、消えていく環境では、唯一の真実の情報源はランタイムで何が起きているかです。シグナルが存在するのはそこです。攻撃が展開されるのもそこです。そして、防御側が洞察を必要とするのもそこです。
インフラストラクチャーと脅威の双方が、複雑さとスピードの面で進化し続ける中、セキュリティチームは、それらが発生する場所とタイミングで対応できるよう備えていなければなりません。ランタイムインサイトを基盤としたクラウド防御プログラムを構築することで、防御担当者に対し、今まさに起きていることを保護するために必要なリアルタイムの可視性、コンテキスト、制御力を提供することができます。
