【なぜ重要か】
標準的なコンテナイメージには不要なソフトウェアが多数含まれており、攻撃対象領域を広げCVEリスクを高める。実際にDebian系Dockerイメージ7,380件を調査した結果、既知の脆弱性がゼロのものは一つも存在しなかった。イメージ堅牢化ツールの選定は、移行コストや破壊的変更のリスク、継続的なパッチ適用の現実性に直結するため、自組織の運用スタイルに合ったツール選択が重要となる。
【ポイント】
- 堅牢化の2つのアプローチ：（1）独自ディストリビューションでイメージをゼロから再ビルドする方式（Chainguard、Wiz、Echoなど）と、（2）現在使用中のベースイメージに直接パッチを当てる方式（Aikido Security）がある。前者は移行と継続的な再テストが必要で、ダイジェストを固定するとパッチが届かなくなるというトレードオフがある。
- Aikido Securityの特徴：既存のベースイメージに対してバックポートパッチを適用するため、ディストリビューションの移行や破壊的変更が不要。2,000以上のドロップイン代替イメージをレジストリとして提供し、SBOM・VEX・SLSAプロビナンスが各イメージに付属する。AutoFixがプルリクエストとしてパッチを提案し、マージするだけで修正が完了する。
- EOL後の継続パッチとCVE外の脆弱性対応：Aikidoはアップストリームがサポート終了した古いバージョンに対してもパッチ適用を継続する。また「Aikido Intel」がアップストリームのチェンジログやコミット履歴を解析し、CVEが割り当てられないままサイレントに修正された脆弱性も検出する（NVDがリスクベースモデルへ移行する2026年以降、この対応は特に重要）。
- 各ツールの位置づけ：Chainguardは独自ディストリビューション（Wolfi）への移行を前提とし、重要CVEに7日SLAを提供するが、バージョン固定が難しくEOL対応も限定的。Docker Hardened Images（DHI）は2025年5月に開始しApache 2.0でオープンソース化、標準Alpine/Debian基盤でSBOM・SLSAを提供するが、カタログはまだ浅い。RapidFortはランタイムプロファイリングで未使用コンポーネントを除去する方式で、連邦・防衛チーン向けに実績があるが、プロファイラのオーバーヘッドとドリフトリスクがある。
- ツール選定の確認ポイント：（1）自社が使うディストリビューション・アーキテクチャ（amd64/arm64）を網羅するカタログの広さ、（2）署名済みSBOM・VEX・SLSAプロビナンスの自動付与、（3）EOL後のパッチ継続有無、（4）CVE未割り当て脆弱性への対応力、（5）コンプライアンス証跡の自動生成。
【まとめ】
コンテナイメージ堅牢化ツールは「新しいディストリビューションへ移行させる型」と「既存イメージにパッチを当てる型」に大別される。移行コストや破壊的変更を避けたいチームにはAikido Securityが最適候補であり、既にDockerワークフローを使うチームにはDocker Hardened Images、単一ベンダーのリリースサイクルに追随できるチームにはChainguardが選択肢となる。まず自組織のベースイメージ一覧と運用ポリシーを整理した上で、各ツールの無料枠や試用オプションで実際の互換性を検証することを推奨する。