[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/) * [Japanese](https://unit42.paloaltonetworks.com/ja/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/ "クラウド サイバーセキュリティ リサーチ") [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/) # 二重特権昇格攻撃チェーン: GKE (Google Kubernetes Engine) で監視やサービス メッシュの構成と権限をエクスプロイトして Kubernetes で不正アクセスを取得する手法 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます Related Products [![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Prisma Cloud icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Prisma Cloud](https://unit42.paloaltonetworks.com/ja/product-category/prisma-cloud-ja/ "Prisma Cloud")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Shaul Ben Hai](https://unit42.paloaltonetworks.com/ja/author/shaul-ben-hai/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2023年12月27日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Cloud Security](https://unit42.paloaltonetworks.com/ja/tag/cloud-security-ja/) * [Container escape](https://unit42.paloaltonetworks.com/ja/tag/container-escape-ja/) * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/) * [Google Cloud](https://unit42.paloaltonetworks.com/ja/tag/google-cloud-ja/) * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/) * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/?pdf=download&lg=ja&_wpnonce=f6e4b1f2e6 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/google-kubernetes-engine-privilege-escalation-fluentbit-anthos/?pdf=print&lg=ja&_wpnonce=f6e4b1f2e6 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)]( "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fgoogle-kubernetes-engine-privilege-escalation-fluentbit-anthos%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)]( "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)]( "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fgoogle-kubernetes-engine-privilege-escalation-fluentbit-anthos%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)]( "Share in Mastodon") ## **概要** 本稿は、Google Kubernetes Engine (GKE) における 2 つの特定の問題について検討します。それぞれの問題は単独なら重大な損害はもたらしません。ただしこれらが組み合わさると、すでに Kubernetes クラスターにアクセスできる攻撃者に特権昇格の機会を与えます。Kubernetes ユーザーと管理者の皆さんは、本稿を重要なリソースとしてお使いください。また本稿は、潜在的な攻撃からクラスターを保護する洞察も提供します。 1 つめに検討する問題は、GKE のロギング エージェントである FluentBit のデフォルト構成についてです。FluentBit は全クラスターでデフォルトで実行されています。2 つめに検討する問題は、Anthos Service Mesh (ASM) のデフォルト権限です。ASM は利用者が有効にできるオプションのアドオンで、GKE 環境内でサービス間通信を制御する Istio Service Mesh の Google による実装です。 攻撃者が (たとえば、対象コンポーネント内にリモートから悪用可能な脆弱性を見つけるなどして) FluentBit コンテナー内での実行能力を持っていて、かつそのクラスターに ASM がインストールされていた場合、その攻撃者はそこから 1 本の強力な攻撃チェーンを作りだし、Kubernetes クラスターを完全に制御できるようになります。このアクセスを利用すれば、攻撃者はデータ窃取、悪質な Pod の展開、クラスターの運用妨害を行えるようになります。 Kubernetes は、アプリケーションのデプロイや管理に最も広く採用されているオープンソースのコンテナー プラットフォームです。多くの Kubernetes 環境はその複雑さにより、構成ミスや過剰な権限によるセキュリティ侵害の影響を受けやすくなっています。場合によっては、こうしたことが利用者が意識することなく発生することがあり、利用者がセキュリティ上の脆弱性にさらされる可能性があります。 2023 年 12 月 14 日、Google は [GCP-2023-047](https://cloud.google.com/anthos/clusters/docs/security-bulletins#gcp-2023-047) によって両方の構成問題を修正しました。 パロアルトネットワークスのお客様は、以下の方法で、本稿で説明する攻撃に対するよりよい保護と緩和を受けています。 * [Unit 42 インシデント レスポンス チーム](https://start.paloaltonetworks.jp/contact-unit42.html)は組織の皆さまへの個別対応をご利用いただけます。 * [Prisma Cloud](https://docs.paloaltonetworks.com/prisma/prisma-cloud) は、システムの Pod やアドオンの Pod を標的とした攻撃など、さまざまな脅威から Kubernetes クラスターを保護するのに役立ちます。 * [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR) は、お使いのデジタル環境全体について、包括的にインシデントのストーリーを描くことにより、SOC チームの能力を強化します。 | **関連する Unit 42 のトピック** | [**Kubernetes**](https://unit42.paloaltonetworks.jp/tag/kubernetes-ja/), **[Container Escape](https://unit42.paloaltonetworks.jp/tag/container-escape-ja/)** , **[Google Cloud](https://unit42.paloaltonetworks.jp/tag/google-cloud-ja/)** | |------------------------|--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| ## **Kubernetes と Google Kubernetes Engine (GKE)** 今回の問題点と攻撃可能性について掘り下げる前に、まずは Kubernetes の基本概念と GKE 機能の基本概要に関する共通理解を確立しておかねばなりません。 ### **Kubernetes の概念** Kubernetes は複雑なプラットフォームで、さまざまな概念から構成されています。これらの概念への理解は今回の攻撃シナリオの理解には欠かせませんので、このなかから 2 つを取り上げて紹介したいと思います。「DaemonSet」と「ロールベースのアクセス制御 (RBAC)」の 2 つです。 #### DaemonSet DaemonSet と Deployment はどちらも Kubernetes のコントローラーで、Podの作成やデプロイメントの管理に使われます。 ただし、この 2 つは目的やユース ケースが異なります。Deployment は Kubernetes クラスター全体にわたる Pod の複数インスタンスの作成やデプロイメントの管理に使われます。これは Web サーバーやデータベース サーバーなどのステートレスなアプリケーションの実行に役立ちます。 DaemonSet は Kubernetes クラスター内の各 Node 上で、ある Pod の単一インスタンスが実行されていることを保証するために使われます。これは ログの記録、監視、ネットワーキングなど、重要なクラスター サービスを提供する Pod の実行に役立ちます。 ![画像 1 は、Deployment Pod のサンプル図です。Node は緑色の四角、Pod は青い四角で表されています。最初の Node には Pod が 1 つ含まれています。2 番目の Node には Pod が 1 つと、赤で示した Deployment の四角が描かれています。3 番目の Node には Pod が 1 つ含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-1.png) 図 1. Deployment Pod の例 ![画像 2 は DaemonSet Pod のサンプル図です。Node は緑色の四角、Pod は青い四角で表されています。最初の Node のなかには Pod と DaemonsSet があります。2 番目と 3 番目の Node も同様です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-2.png) 図 2. DaemonSet Pod の例 #### RBAC の権限 ロールベースのアクセス制御 (Role-based access control: RBAC) は、Kubernetes クラスター内のリソースにきめ細かいアクセス制御メカニズムを提供するセキュリティのしくみです。RBAC は、ユーザーとグループをロールに割り当て、それらのロールに特定リソースに対する権限を付与することによって機能します。 RBAC は偶発的な特権昇格や不正アクセスの防止に役立つ Kubernetes の重要なセキュリティ機能です。RBAC の権限を慎重に構成することで、ユーザーやグループが自身の職務遂行上必要とする権限だけを持てるようになります。 ![画像 3 はある Kubernetes Pod に付与された権限を示した図です。このロールは「サービスのリスト」「Pod の作成」を行います。RoleBinding は ID にロールを付与します。これでこのサービス アカウントは Pod 作成用のキーが与えられたことになります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-3-ja.png) 図 3. Kubernetes Pod への権限付与 ### **GKE の機能** GKE は、プラットフォームにもとからある多数の機能にくわえ、オプション機能も追加で有効化できるようにしています。これらの機能は Kubernetes クラスターのデプロイや管理を簡素化できるように設計されていますが、それらの機能がセキュリティに及ぼしうる影響については認識しておかねばなりません。 #### FluentBit FluentBit は軽量で効率的なログ プロセッサー/フォワーダーです。2023 年 3 月のマイルストーン [105](https://cloud.google.com/container-optimized-os/docs/release-notes/m105) 以降、[FluentBit](https://fluentbit.io/) は全 GKE クラスターのデフォルト ログ処理エージェントになっていて、[DaemonSet](https://kubernetes.io/docs/concepts/workloads/controllers/daemonset/) によってデフォルトでデプロイされます。 これはつまり FluentBit はクラスター内の各 Node にインストールされていることを意味します。FluentBit は Container-Optimized の [OS 109](https://cloud.google.com/container-optimized-os/docs/how-to/logging)\*\*からデフォルトで有効で、\*\*レガシーのエージェントはデフォルトで無効になっています。 #### Anthos Service Mesh Anthos Service Mesh は、強力なオープンソース プロジェクトである [Istio](https://istio.io/) の Google による実装です。これを使えば、ユーザーはアプリケーション コードを変更することなく、サービスを管理、監視、保護できます。 ## **次世代型第二段階クラウド攻撃** 第二段階クラウド攻撃とは、攻撃者が対象の Kubernetes クラスターに対してすでにある程度のアクセスを有しているタイプの攻撃を指します。その後、攻撃者はクラスターへの展開や特権昇格をねらい、構成ミスそのほかの脆弱性を探します。 こうした攻撃側・防御側のいたちごっこにおいて、コンテナー エスケープは引き続き脅威となります。攻撃者は常に、コンテナーをエスケープしてクラウド環境を制御する方法を見つけようとしています。クラウド インフラそのほかの環境は、攻撃者が侵入に成功しても損害を与えられない (または少なくとも重大な損害を与えられない) ように、じゅうぶん安全にしておく必要があります。 特定の構成ミスのなかには、必ずしもセキュリティ上の問題にならず、保護されたクラウド環境に影響を与えないと考えうるものもありますが、そうした構成ミスが複数つながると強力なエクスプロイト チェーンを生んでしまうことがあります。 本稿で解説する 2 つの問題は、両者をつなぎ合わせて第 2 段階攻撃に組み込むことにより、攻撃者に Kubernetes クラスターの制御を完全に掌握されてしまうおそれがあります。 ### **特権昇格の仕上げ** #### 第 0 段階: FluentBit のエクスプロイトまたはコンテナーから Node へのエスケープ この攻撃は二段階攻撃です。つまり攻撃者はリモート コード実行の脆弱性か任意のファイル読み取りの脆弱性を見つけて FluentBit コンテナーをエクスプロイトしておくか、別コンテナーからエスケープして対象 Node へのアクセスを得ておく必要があります。 #### 第 1 段階: FluentBit の権限をエクスプロイトしてプロジェクションされたサービス アカウント トークンを読み取る この攻撃チェーンの第 1 段階では、「FluentBit のコンテナーが /var/lib/kubelet/pods ボリュームをマウントしていた」という構成ミスを悪用します。このディレクトリーの下には、Node 上で実行されている各 Pod が、プロジェクションされたサービス アカウント トークンを含む kube-api-access ボリュームを持っています。 図 4 は、これにより FluentBit コンテナーが当該 Node 上の任意の Pod の任意のトークンにどのようにアクセスできようになるかを示したものです。 kube-api-access ボリュームには Pod が Kubernetes API と通信するためにプロジェクションされたサービス アカウント トークンが含まれていて、これは機微情報です。攻撃者が FluentBit Pod を侵害した場合、彼らはその Pod のボリュームにアクセスできるようになり、Node 上の任意の Pod の任意のトークンを使えるようになります。 攻撃者は Pod トークンを使って Kubernetes API サーバーへの特権アクセスを持つ Pod になりすまし、クラスターへのアクセスを不正に取得できます。さらにこの攻撃者は (get pods コマンドを使って) 実行中の Pod を一覧表示できるので、クラスター全体をマッピングすることも可能です。 攻撃者はこのクラスターへのアクセスを不正に得るだけでなく、特権昇格や有害行為を行いかねません。実際、Node 内で隣接する Pod の権限設定によっては、これが攻撃者に大きなアタック サーフェス (攻撃対象領域) を与えます。 FluentBit コンテナーは、*デフォルトでは*、また一般的には、 Kubernetes API サーバーに直接アクセスする必要はありません。このコンテナーは Kubernetes のインフラかサイドカー コンテナーのいずれかを使うことができます。というのも、サイドカー コンテナーの主目的は、メインのアプリケーション コンテナーからログを収集・解析・転送することにあるからです。このサイドカー コンテナーは Pod のコンテキスト内で動作し、Kubernetes のインフラを利用してログ ファイルとコンテナーのランタイム メタデータにアクセスします。 ![画像 4 は、構成ミスのある FluentBit の図です。FluentBit が Node 内の 3 つの個別 Pod にキーへのアクセスを付与しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-4.png) 図 4. 構成ミスのある FluentBit。ボリューム マウントに Pod のディレクトリーに対する過剰なアクセスがある #### 第 2 段階: Istio のインストール後の権限をエクスプロイトする この攻撃チェーンの第 2 段階では「Anthos Service Mesh (ASM) のコンテナー ネットワーク インターフェイス (CNI) の DaemonSet が、インストール後に過剰な権限を持ったままになっている」という事実を悪用します。これにより、攻撃者は ASM の CNI DaemonSet 権限を持つ、新たな Pod を作成できるようになります。ASM を有効にした場合、そのクラスターには Istio-cni-node DaemonSet がインストールされます。 この Istio-cni-node DaemonSet は、クラスター内の各 Node に Istio CNI プラグインをインストール・構成する役割を果たします。このため Istio-cni-node DeamonSet はこれらのタスクを実行しうる強力な権限を持っています。ただし、いったん起動・実行してしまえば、これほど広い権限は必要ありません。 この DaemonSet には 2 つの役割があります。 * CNI プラグインをインストールする役割。これは、hostPath のマウントとホストのファイル システム (FS) へのいくつかのファイルの書き込み (これらを後に Kubelet が読み取る) によって行われます。これに RBAC は必要とされませんが、hostPath マウントは使われます。 * 「修復」モードの役割。このモードは、Pod が[構成なしで開始された](https://istio.io/latest/docs/setup/additional-setup/cni/#race-condition--mitigation) かどうかを検出して処理します。これが機能するにはいくつか RBAC の権限が必要です。 ASM の CNI DaemonSet がこうした権限を必要とすることが原因で、攻撃者が (たとえば「強力な Pod」を作成することで) DaemonSet をエクスプロイトしてクラスターへの不正アクセスを取得可能になります。 ここまで説明してきた 2 つの問題をつなぎあわせて使えば、攻撃者はクラスター管理者に特権昇格し、Kubernetes クラスターを完全に制御できるようになります。 ![画像 5 は、Anthos Service Mesh の構成ミスを示した図です。Node は緑色の四角で表されています。Node の中には FluentBit と Istio Installer の黄色い四角が表示されています。FluentBit は Istio Installer と Pod (青い四角) にキーを付与しています。強力な権限: Pod を作成するイベントを作成するPod / Eviction を作成する](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-5-ja.png) 図 5. 構成ミスのある Anthos Service Mesh。Istio インストーラがインストール後も強力な権限を保持している ## **完成した攻撃チェーン: クラスター管理者の奪取** Kubernetes の概念と問題を理解できたところで、これらを悪用して、対象のクラスターに対し、クラスター管理者の特権アクセスを得る方法を見ていきます。 前提条件: Anthos Service Mesh 機能が有効であること いったん Kubernetes クラスターへの特権アクセスを取得してしまえば (このタスクの実現には FluentBit コンテナーの制御を奪取すればよい)、攻撃者は FluentBit コンテナーのデフォルト構成をエクスプロイトして /var/lib/kubelet/pods ボリュームをマウントできるようになります。そしてこれには kube-api-access-\<*ランダムな接尾辞*\> ディレクトリーへのアクセスがあります。これにより攻撃者は、ある Node のすべての Pod から、すべてのトークンを得ることになります。 FluentBit が DaemonSet であるという事実により、攻撃者は各 Node で最初の侵害行為を繰り返し行い、クラスター内のあらゆる Pod にマウントされているトークンを検索できます。そのようにしてクラスター全体をマッピングすれば、Istio-Installer-container トークンを見つけられます。 攻撃者はこの後、インストール プロセス完了後の ASM CNI DaemonSet の強力な権限を利用することになるでしょう。そして攻撃者は Kube-System 名前空間に新たな Pod を作成します。 これを意味のある特権昇格にするには、攻撃者は強力なサービス アカウントを狙う必要があるでしょう。 Kube-System 名前空間には、プリインストールされた非常に強力なサービス アカウントが多数用意されているのでそこから選ぶことができます。 clusterrole-aggregation-controller (CRAC) サービス アカウントがおそらく筆頭候補になるでしょう。このサービス アカウントであれば既存のクラスター ロールに任意の権限を追加できます。攻撃者は CRAC にバインドされたクラスター ロールを更新し、すべての特権を持たせることができます。 図 6 は、攻撃者が Pod の YAML ファイル内で CRAC のサービス アカウントに権限を付与し、最終的に攻撃者らがトークンを独自のボリューム フォルダーの 1 つに保存する方法を示しています。 この CRAC トークンは現在、攻撃者が作成したばかりの新たな Pod にマウントされています。攻撃者はここで再び FluentBit の構成ミスをエクスプロイトして CRAC トークンを取得できます。この CRAC トークンには、それ自体がクラスター管理者として動作する権限があります。 ![画像 6 は多数のコード行からなるスクリーンショットです。ここで、攻撃者は Pod の YAML ファイル内で CRAC サービス アカウントを承認できます。そのようすは 21 行目に強調表示しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-6.png) 図 6. Pod の YAML ファイル ![画像 7 は CRAC トークンが自分自身に管理者権限を追加するプロセスを示しています。攻撃者は CRAC トークン (キー) を使って CRAC クラスター ロールを作成しています。さらにクラスター ロールを昇格しています。そしてすべての権限を付与しています。これが攻撃者の CRAC トークンに戻るループを形成しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/12/word-image-131692-7-ja.png) 図 7. CRAC トークンは自分自身に管理者権限を追加可能 (出典: [コンテナエスケープから「影の管理者」へ: GKE Autopilot の脆弱性](https://unit42.paloaltonetworks.jp/gke-autopilot-vulnerabilities/)) ## **修正と緩和策** FluentBit は、/var/lib/kubelet/pods ディレクトリーの hostPath ボリューム マウントを使って、自身のジョブの実行に必要な特定のログを読み取れるようにしています。修正前は、明らかにボリューム マウント構成に Pod ディレクトリーへの不必要なアクセス (プロジェクションされたサービス アカウント トークンを含む) が含まれていました。Google セキュリティ チームは、FluentBit によるアクセスを必要なログのみに限定して修正しました。 Anthos Service Mesh に関しては、内部からの報告により、Google はすでに CNI DaemonSet に関連付けられた特権の高さについて認識していました。私たちが問題を報告した時点で Google による修正と権限の絞り込み処理がすでに行われており、現在この問題は修正済みになっています。 Unit 42 のリサーチャーは、最終的にはクラスター管理者権限への昇格が可能な、FluentBit の脆弱性と ASM の CNI DaemonSet 権限を組み合わせた攻撃チェーンを初めて確立しました。 私たちの勧告を受け、過去数週間にわたり、Google は FluentBit ボリューム マウントや Anthos Service Mesh の高い特権権限に対する修正と緩和策を展開しました。これらの施策は本稿に報告した攻撃を防ぎ、同様のエクスプロイトに対してプラットフォームを強化します。 Google は次のようにしてこれらの問題に対処しました。 * FluentBit の Pod から /var/lib/kubelet/pod ボリューム マウントを削除しました。これにより、ほかの Pod に対してプロジェクションされたサービス アカウント トークンへのアクセスを排除できます。 * ASM のクラスター ロール を修正し、機能の一部を再設計して、過剰な RBAC 権限を削除しました。 ## **結論** Kubernetes は強力なコンテナー オーケストレーション プラットフォームで、あらゆる規模の組織がアプリケーションの実行にこれを使用しています。ただし状況によっては、システム Pod が組織のセキュリティ保護のおよばない領域となりかねません。 クラウド ベンダーはクラスターの起動時にシステム Podを自動的に生成します。これらは Kubernetes のインフラ内に構築されます。機能を有効化した場合に作成されるアドオン Pod も同様です。こうなっている理由は、クラウド ベンダーやアプリケーション ベンダーがそれらを作成・管理していて通常はユーザーがその構成や権限を制御できないためです。これらの Pod は昇格された特権で実行されていることから非常に危険でもあります。 本稿では、攻撃者がシステム Podとアドオン Pod の 2 つの問題を利用し、特権を昇格して管理者権限を得る方法について示しました。 ### パロアルトネットワークス製品による保護と緩和策 #### Prisma Cloud パロアルトネットワークスの [Prisma Cloud](https://docs.paloaltonetworks.com/prisma/prisma-cloud) は、システム Pod やアドオン Pod を標的とする攻撃をはじめ、さまざまな脅威からの Kubernetes クラスター保護に役立てるために設計されたクラウド配信型セキュリティ プラットフォームです。 Prisma Cloud は、以下に役立つさまざまな機能を提供しています。 * クラスター内の不審なアクティビティを監視・検出します。 * システム Pod やアドオン Pod の構成ミスや過剰な権限を識別します。 * 攻撃者によるシステム Pod、アドオン Pod の構成ミスや脆弱性のエクスプロイトを防ぎます。 Prisma Cloud は Kubernetes クラスターのセキュリティを強化し、さまざまな脅威から保護します。 #### Cortex [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR) は、お使いのデジタル環境全体におよびうるインシデントのストーリーを包括的に描くことにより、SOC チームの能力を強化します。これは、Kubernetes Node と Kubernetes API Server の監査ログからのアクティビティ データ、エンドポイント データ、ネットワーク データを統合することによって実現されています。Cortex はこの情報を有効活用し、Kubernetes クレデンシャルの窃取、クリプトジャック、コンテナー エスケープ、そのほかのセキュリティ脅威など、確立された TTP (戦術・技術・手順) に一致する異常な Kubernetes 上のアクションを特定します。 侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちらのフォーム](https://start.paloaltonetworks.jp/contact-unit42.html)からご連絡いただくか、下記の電話番号までお問い合わせください (ご相談は弊社製品のお客様には限定されません)。 * 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42) * EMEA: +31.20.299.3130 * APAC: +65.6983.8730 * 日本: (+81) 50-1790-0200 パロアルトネットワークスは、これらの調査結果を Cyber Threat Alliance (CTA: サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使って、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細は [Cyber Threat Alliance](https://www.cyberthreatalliance.org) にてご確認ください｡ ## 開示のタイムライン * **2023 年 9 月 12 日:** パロアルトネットワークス、二重特権昇格攻撃チェーンに関するレポートを Google に提出。 同事象についてのクラウド脆弱性報奨金プログラム。 * \*\*2023 年 9 月 13 日:\*\*Google セキュリティ チーム、弊社報告をセキュリティ上の問題として受理。 * \*\*2023 年 10 月 24 日:\*\*Google セキュリティ チーム、弊社報告を「重要なセキュリティ コントロールの回避」として受理。 * \*\*2023 年 11 月 24 日:\*\*パロアルトネットワークス、本稿公開の意向をGoogle に通知。本稿への修正ならびにフィードバックの機会を提供。 * **2023 年 12 月 11 日:** Google セキュリティ チーム、本稿へのフィードバックを送付。 * \*\*2023 年 12 月 14 日:\*\*Google セキュリティ チーム、同セキュリティ問題を修正。 ## **追加リソース** * [Kubernetes Privilege Escalation: Excessive Permissions in Popular Platforms](https://www.paloaltonetworks.com/resources/whitepapers/kubernetes-privilege-escalation-excessive-permissions-in-popular-platforms) -- パロアルトネットワークス Unit 42 * [コンテナーエスケープから「影の管理者」へ: GKE Autopilot の脆弱性](https://unit42.paloaltonetworks.jp/gke-autopilot-vulnerabilities/) -- パロアルトネットワークス Unit 42 トップに戻る ### タグ * [Cloud Security](https://unit42.paloaltonetworks.com/ja/tag/cloud-security-ja/ "Cloud Security") * [Container escape](https://unit42.paloaltonetworks.com/ja/tag/container-escape-ja/ "container escape") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [Google Cloud](https://unit42.paloaltonetworks.com/ja/tag/google-cloud-ja/ "Google Cloud") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:「なぜオーストラリアのサッカー選手が私のパスワードを盗もうとするの?」悪意のある JavaScript が機微情報を盗むさまざまな手口](https://unit42.paloaltonetworks.com/ja/malicious-javascript-steals-sensitive-data/ "「なぜオーストラリアのサッカー選手が私のパスワードを盗もうとするの?」悪意のある JavaScript が機微情報を盗むさまざまな手口") ### 目次 * ### 関連記事 * [Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "article - table of contents") * [AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/ "article - table of contents") * [SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "article - table of contents") ## 関連項目 クラウド サイバーセキュリティ リサーチ リソース ![Pictorial representation of autonomous AI attack in cloud environments.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/12_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年4月23日 [#### AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/) * [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI") * [Cloud](https://unit42.paloaltonetworks.com/ja/tag/cloud-ja/ "Cloud") * [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/ "AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓") ![Close-up of a black woman with glasses examining colorful computer code on a screen. The scene is illuminated by various lights, creating a focused and analytical atmosphere.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/13_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年2月6日 [#### クラウド脅威アクターの活動を検出する新しい手法](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [IAM](https://unit42.paloaltonetworks.com/ja/tag/iam-ja/ "IAM") * [MITRE](https://unit42.paloaltonetworks.com/ja/tag/mitre-ja/ "MITRE") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/ "クラウド脅威アクターの活動を検出する新しい手法") ![Pictorial representation of Azure OpenAI DNS resolution issue. Futuristic cityscape illustration with luminous structures and floating cloud elements, showcasing advanced technology and a dynamic, digitally enhanced environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/02_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月20日 [#### DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/) * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") * [Networking](https://unit42.paloaltonetworks.com/ja/tag/networking/ "networking") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/ "DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？") ![Pictorial representation of cloud discovery with AzureHound. A digital representation of a cloud composed of blue light particles, superimposed over a blurred background of server racks in a data center.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/08_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年10月24日 [#### AzureHoundを使用したクラウド ディスカバリ](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/) * [Control plane](https://unit42.paloaltonetworks.com/ja/tag/control-plane-ja/ "control plane") * [Curious Serpens](https://unit42.paloaltonetworks.com/ja/tag/curious-serpens-ja/ "Curious Serpens") * [Data plane](https://unit42.paloaltonetworks.com/ja/tag/data-plane-ja/ "data plane") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/ "AzureHoundを使用したクラウド ディスカバリ") ![Pictorial representation of a gift card fraud campaign. A glowing skull and crossbones on a circuit board.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/07_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年10月22日 [#### Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/) * [CL‑CRI‑1032](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1032-ja/ "CL‑CRI‑1032") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/ "Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態") ![Pictorial representation of model namespace reuse. A vibrant digital illustration featuring a glowing cloud icon with a padlock, symbolizing cloud security technology, set against a backdrop of glowing circuit lines in blue and orange.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/08/05_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年9月3日 [#### モデル名前空間の再利用テクニック: AIサプライチェーンの基本的側面を誤用する](https://unit42.paloaltonetworks.com/ja/model-namespace-reuse/) * [Azure](https://unit42.paloaltonetworks.com/ja/tag/azure-ja/ "Azure") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/model-namespace-reuse/ "モデル名前空間の再利用テクニック: AIサプライチェーンの基本的側面を誤用する") ![Pictorial representation of serverless tokens in the cloud. East Asian woman examining data on multiple screens in a high-tech environment, surrounded by digital graphics and code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/07_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年6月13日 [#### クラウドにおけるサーバーレス トークン: エクスプロイト攻撃と検出](https://unit42.paloaltonetworks.com/ja/serverless-authentication-cloud/) * [AWS](https://unit42.paloaltonetworks.com/ja/tag/aws-ja/ "AWS") * [Google Cloud](https://unit42.paloaltonetworks.com/ja/tag/google-cloud-ja/ "Google Cloud") * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/serverless-authentication-cloud/ "クラウドにおけるサーバーレス トークン: エクスプロイト攻撃と検出") ![Pictorial representation of ELF-based malware like NoodleRAT, Winnti, SSHdInjector, Pygmy Goat and AcidPour. Vibrant futuristic cityscape with glowing neon lines, clouds, and a dramatic sky at twilight.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/02_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年6月10日 [#### クラウド運用におけるLinuxバイナリの進化](https://unit42.paloaltonetworks.com/ja/elf-based-malware-targets-cloud/) * [Endpoint](https://unit42.paloaltonetworks.com/ja/tag/endpoint-ja/ "endpoint") * [Linux Malware](https://unit42.paloaltonetworks.com/ja/tag/linux-malware-ja/ "Linux Malware") * [Machine Learning](https://unit42.paloaltonetworks.com/ja/tag/machine-learning-ja/ "Machine Learning") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/elf-based-malware-targets-cloud/ "クラウド運用におけるLinuxバイナリの進化") ![Pictorial representation of AWS Roles Anywhere. Futuristic cityscape with glowing orange and blue structures, elevated clouds, and illuminated, scattered points representing lights or data points.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/01_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年6月9日 [#### AWS IAM Roles Anywhereの危険性に迫る。](https://unit42.paloaltonetworks.com/ja/aws-roles-anywhere/) * [AWS](https://unit42.paloaltonetworks.com/ja/tag/aws-ja/ "AWS") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/aws-roles-anywhere/ "AWS IAM Roles Anywhereの危険性に迫る。") ![Digital illustration of a glowing blue brain floating above a network of interconnected golden lines and points, symbolizing neural connections and artificial intelligence on a dark background with blue highlights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/12_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年5月21日 [#### GitHub Actionsサプライチェーン攻撃: Coinbaseへの標的型攻撃が拡大し、tj-actions/changed-files事件が多発: 脅威評価（4/2更新）](https://unit42.paloaltonetworks.com/ja/github-actions-supply-chain-attack/) * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Supply chain](https://unit42.paloaltonetworks.com/ja/tag/supply-chain-ja/ "supply chain") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/github-actions-supply-chain-attack/ "GitHub Actionsサプライチェーン攻撃: Coinbaseへの標的型攻撃が拡大し、tj-actions/changed-files事件が多発: 脅威評価（4/2更新）") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)