CrowdStrike Falcon Cloud Securityでは、クラウドグループを使用してコンテナイメージを論理的にグループ化することで、ポリシー、評価、および制御をワークロード全体に一貫して適用できます。Falconでは、コンテナイメージのクラウドグループを編集または定義する際に、管理者は特定のイメージプロパティを選択して、必要なスコープを正確にターゲットにすることができます。
サポートされている 3 つのイメージ プロパティは、レジストリ、リポジトリ、およびタグです。
* レジストリは、Amazon ECR、Azure Container Registry、Docker Hub など、コンテナ イメージがホストされている場所を識別します。
* リポジトリは、レジストリ内のイメージ名前空間またはプロジェクトを定義します。
* タグは、イメージのバージョンまたはバリアント (たとえば、latest、v1.2.3、または prod) を指定します。
これら3つの特性を組み合わせることで、非常にきめ細かなターゲティングが可能になります。例えば、セキュリティチームは、特定のレジストリとリポジトリにある本番環境タグ付きイメージにのみ厳格なポリシーを適用し、開発用イメージにはより柔軟なポリシーを適用することができます。
includeName を含むオプションは正しくありません。CrowdStrike は、クラウドグループのイメージ条件を定義する際に、独立した「イメージ名」フィールドを使用しないためです。代わりに、イメージの ID はレジストリ、リポジトリ、タグの組み合わせから生成されます。
したがって、正しく完全にサポートされている選択は、CrowdStrike Falcon Cloud Security の構成とドキュメントに準拠したレジストリ、リポジトリ、およびタグです。

オプション A: 重大度の高い Common Vulnerabilities and Exposures (CVE) は、任意のコードの実行、権限の昇格、データの流出などの重大なセキュリティ リスクを示します。
システムライブラリはコンテナの動作に不可欠な要素であり、その脆弱性を悪用されるとコンテナ全体またはホスト全体が侵害される可能性があります。これらの脆弱性に対処することは、悪用を防ぐために不可欠です。
オプションB：非推奨または未使用のパッケージは攻撃対象領域を拡大する可能性がありますが、重大度の高いCVEほど直ちに重大なものではありません。これらのパッケージはイメージを簡素化するために削除できますが、悪用可能な脆弱性が含まれていない限り、アクティブな脅威にはなりません。
オプションC：Dockerfile内のコメントは保守性と可読性を向上させますが、イメージ自体のセキュリティには影響しません。これは開発者向けのベストプラクティスであり、重大なセキュリティ問題ではありません。
オプション D: ハードコードされた資格情報はセキュリティ上の重大な懸念事項ですが、通常はイメージのシステム的な脆弱性ではなく、構成または秘密管理の問題を表します。
また、これらは環境に固有のものである可能性もあるため、システム ライブラリの CVE などのシステム的な脆弱性よりも重大性は低くなります。

オプション A: ウイルス対策スキャンを実行するとマルウェアが検出される可能性がありますが、攻撃者の進行中の活動を阻止したり、より詳細な調査のための法医学的証拠を保存したりすることはできません。
オプションB：Tor接続、ログイン失敗、base64およびnetcatの使用、および/tmpからの実行の組み合わせは、潜在的なマルウェア活動またはアクティブな攻撃を示唆しています。VMを隔離することでさらなる侵害を防ぎ、フォレンジック分析によって根本原因の特定に役立ちます。
オプションC：送信トラフィックをブロックすることで攻撃者の活動を遅らせることはできますが、それ以上の行動を完全に阻止したり、既存の侵害を特定したりすることはできません。即時の隔離の方が効果的です。
オプションD：kworkerは通常のLinuxプロセスですが、/tmpはマルウェアの実行場所としてよく使用されるため、/tmpからの実行は非常に疑わしいです。このアラートを無視するとセキュリティリスクが発生します。

オプションA：サードパーティ製ツールとの統合により監視とレポート機能が強化される可能性はありますが、ドライランの実行には必須ではありません。ドライランの主な目的は、プラットフォーム内のワークフローを検証することです。
オプションB：ドライランを実行する際は、シミュレーションが管理可能であり、不要な領域や無関係な領域が誤って含まれないように、影響を受けるリソースの範囲を制限することが重要です。これにより、ワークフローの有効性を正確に評価し、環境全体に影響を与えることなく問題を特定することができます。
オプションC：オフピークスケジュールは運用上のオーバーヘッドを削減できる可能性がありますが、ドライランでは必須ではありません。実行時間に関わらず、ワークフローのテストに重点が置かれます。
オプションD：強制モードは、実際の修復アクションを適用するために使用され、ドライランには使用されません。ドライランでは、実際のアクションの実行を避け、シミュレーションのみに重点を置きます。

オプションA：Falcon Horizo​​nは、クラウドセキュリティポスチャ管理（CSPM）向けに設計されており、ワークロードのランタイム保護を目的としたものではありません。設定ミスやコンプライアンス問題の特定には役立ちますが、コンテナ化されたワークロードやコンテナ化されていないワークロードを直接保護するものではありません。
オプション B: Falcon Kubernetes センサーは、Kubernetes 環境内のコンテナ化されたワークロードに対して優れたランタイム保護を提供しますが、コンテナ化されていないワークロードには機能を拡張しないため、ハイブリッド環境には不十分です。
オプションC：Falcon Container Sensorは、ランタイム保護やCI/CDパイプラインとの統合など、コンテナ化されたワークロードのセキュリティ保護に最適化されています。さらに、Falcon Linux Sensorと共存することでハイブリッド環境にも対応できるため、このシナリオでは最適な選択肢となります。
オプション D: Falcon Linux センサーは、従来の Linux ワークロードのセキュリティ保護には最適ですが、Kubernetes ベースの環境に必要な特定のランタイム コンテナ保護やオーケストレーション レベルの分析情報は提供しません。