Seccomp（セックコンプ）

2025年11月5日

Seccomp（セックコンプ）

英語表記: Seccomp (Secure Computing mode)

概要

Seccomp（セックコンプ）は、Linuxカーネルのセキュリティ機能の一つであり、コンテナ内部のプロセスが実行できるシステムコール（syscall）を制限するための非常に重要な仕組みです。これは、コンテナ技術（Docker, Podman）におけるセキュリティ確保の最前線に位置づけられ、コンテナがホストOSのカーネルに対して行う危険な操作を未然に防ぎます。具体的には、許可されたシステムコールのみを「ホワイトリスト」として設定することで、攻撃者がコンテナを脱出（Container Breakout）してホスト環境に損害を与えるリスクを大幅に低減します。

詳細解説

コンテナセキュリティにおけるSeccompの役割

なぜコンテナ技術においてSeccompが必要なのでしょうか。その理由は、コンテナが隔離されているとはいえ、最終的にはホストOSと同じLinuxカーネルを共有している点にあります。もしコンテナ内のアプリケーションに脆弱性があり、攻撃者がそれを悪用して本来実行権限のないシステムコールを呼び出そうとした場合、ホストカーネル全体が危険にさらされてしまいます。

Seccompは、この脅威に対する防護壁として機能します。これは、コンテナ技術（Docker, Podman）→ セキュリティとガバナンス → コンテナセキュリティというパスにおいて、最も基礎的かつ効果的な防御策の一つです。

動作原理と主要コンポーネント

Seccompは、Linuxカーネルが提供する「フィルター機能（SECCOMP_FILTER）」を利用して動作します。

システムコールの監視: プロセスがシステムコールを実行しようとする際、Seccompフィルターがその呼び出しを傍受します。
プロファイルによる判定: 傍受されたシステムコールが、あらかじめ定義された「Seccompプロファイル」に照らしてチェックされます。このプロファイルは通常、JSON形式で記述されており、どのシステムコールを許可し、どれを拒否するか（あるいは拒否した際にどのようなアクションを取るか）が細かく定義されています。
アクションの実行:
- 許可 (ALLOW): システムコールは通常通り実行されます。
- 拒否 (KILL): システムコールは実行されず、プロセスは即座に終了させられます。
- エラーを返す (ERRNO): システムコールは実行されず、プロセスにエラーコードが返されます。

DockerやPodmanといったコンテナランタイムは、デフォルトで非常に賢明なSeccompプロファイルを適用しています。例えば、Dockerのデフォルトプロファイルでは、約44種類の特に危険性の高いシステムコール（例：カーネルモジュール操作、ファイルシステムのマウントなど、コンテナの役割から見て不要なもの）がブロックされています。これにより、特にコンテナ環境における攻撃対象領域（Attack Surface）を最小限に抑えることが可能となります。これは「セキュリティとガバナンス」を保証する上で、欠かせない設定です。

カスタマイズの重要性

デフォルトプロファイルは多くのユースケースで十分ですが、特定のアプリケーション（例えば、非常に特殊なハードウェアアクセスが必要なIoTデバイス向けコンテナなど）では、デフォルトでブロックされているシステムコールが必要になる場合があります。その際、ユーザーはカスタムのSeccompプロファイルを作成し、必要なシステムコールのみを明示的にホワイトリストに追加することが推奨されます。逆に、特定のアプリケーションが絶対に使わないことが分かっているシステムコールをさらに厳しく制限することで、セキュリティレベルを一段階引き上げることもできます。この柔軟性が、コンテナセキュリティ対策を支える重要な要素なのです。

具体例・活用シーン

具体的な活用シーン（コンテナ環境）

ウェブサーバーコンテナの保護: 標準的なNginxやApacheのコンテナは、主にネットワーク操作（socket, connectなど）やファイル読み書き（read, writeなど）のシステムコールを使用します。これらのコンテナに対して、ホストカーネルの設定を変更するシステムコール（reboot, mount, kexec_loadなど）をSeccompで明示的にブロックします。これにより、もしWebサーバーの脆弱性が突かれても、攻撃者はホストOSを操作する手段を奪われます。
権限の最小化（最小権限の原則）: 開発チームが作成したコンテナイメージを本番環境にデプロイする際、そのコンテナが本当に必要なシステムコールだけを許可するカスタムプロファイルを適用します。これは、コンテナ技術における「セキュリティとガバナンス」を技術的に実現する具体的な手順です。

アナロジー：厳格な「アクセスバッジ」システム

Seccompの仕組みを理解するために、ある大規模な研究施設における「アクセスバッジ」を考えてみましょう。この施設では、様々な専門家が働いていますが、彼らがアクセスできるエリアは厳しく制限されています。

コンテナ（プロセス）は、この研究施設に入場した研究員だとします。ホストOSのカーネルは、施設全体の「マスターコントロールシステム」です。

デフォルトのバッジ（Dockerデフォルトプロファイル）: 研究員は入場時に、標準的なアクセスバッジを受け取ります。このバッジには、「図書館（標準的なファイル操作）」「カフェテリア（ネットワーク通信）」など、日常業務に必要なエリアへのアクセス権限（システムコール）が記録されています。しかし、「中央サーバー室の操作（危険なシステムコール）」や「建物の構造変更（ホストカーネルへの深刻な変更）」といった権限は、最初からバッジに記録されていません。
アクセスチェック（Seccompフィルター）: 研究員がドア（システムコール）を開けようとするたびに、バッジリーダー（Seccompフィルター）がバッジを読み込みます。もし「中央サーバー室の操作」を試みても、バッジにその権限がなければ、アクセスは即座に拒否されます。
セキュリティの確保: もし研究員が何らかの理由で暴走し、マスターコントロールシステムを破壊しようとしても、彼らのバッジ（Seccompプロファイル）によって、危険な操作は物理的に不可能になっています。

このように、Seccompはコンテナに「お前が使える機能はここまでだ」と明確な線引きを与える、非常に厳格なアクセスバッジシステムだと言えます。この仕組みがあるからこそ、私たちは共有カーネル環境でも安心してコンテナを実行できるのです。

資格試験向けチェックポイント

Seccompは、特に応用情報技術者試験や情報処理安全確保支援士試験など、セキュリティ要素が問われる上位の試験で出題される可能性がありますが、コンテナセキュリティの文脈で基礎的な知識としても重要です。

チェックポイントのまとめ:

機能: プロセスが実行できるシステムコールを制限し、最小限の権限のみを与える（最小権限の原則）。
目的: ホストカーネルへの不正アクセスやコンテナ脱出を防ぎ、コンテナ環境全体のセキュリティを確保すること。
誤解注意: SELinuxやAppArmorといったアクセス制御機構と混同されがちですが、Seccompは「システムコール」に特化している点が特徴的です。