Wizは2026年10月20日、Google Cloudと、GKE向けの「Wiz Runtime Sensor add-on」のプレビュー提供を発表しました。新規・既存のクラスターに簡単な操作で導入でき、センサーの配備や認証情報の更新をGKEが自動管理します。対象はGKE StandardとGKE Autopilotです。
導入だけでなく、認証情報の更新も自動管理
Wizによると、有効化はコマンド操作ツールのgcloudで単一のフラグを指定するか、Google Cloud Consoleから行えます。クラスターを新しく作る場合だけでなく、既存環境にも導入できます。
GKEが管理するのは、センサーの配備、認証情報の注入、更新です。Secret Managerなどを使い、APIキーなどの認証情報はクラスターの外に保管します。認証情報を更新すると自動で同期されるため、そのためのクラスター再起動やPodの再配備は不要としています。Podは、コンテナを動かす単位です。
組織ポリシーでは、プロジェクト、フォルダ、組織全体に保護を義務付けられます。未保護のクラスターを作成しようとした場合、稼働前に阻止できるとしています。個別に導入する作業に加え、新しい環境への入れ忘れを防ぐための仕組みも含まれます。
ただし、今回はプレビュー提供です。日本での提供は発表には書かれていません。日本語対応、価格、利用できるリージョン、プレビューへの参加条件も、今回の資料には記載がありません。
実行中の不審な動きを監視し、Wiz Portalに警告
センサーは、OS内の動作を観測する技術であるeBPFを使います。システムコール、実行中のプロセス、ネットワークソケットを監視します。監視対象には、外部から遠隔操作するためのリバースシェル、一時領域の/tmpからのバイナリ実行、権限昇格の試行などが含まれます。
Wizによると、検知後は数秒以内にWiz Portalの「Threats」ページに警告が表示されます。警告には対象Pod、名前空間、コンテナイメージ、実行状況が示されます。エージェントレススキャンとも連携し、権限や機密データへの経路を把握できるとしています。
センサーのリソース使用量には、ノードごとに固定の上限を設けます。ただし、具体的な上限値は今回の資料にはありません。検知ルールと脅威定義は、GKEのパッチ更新などとは独立して更新されます。
影響する会社・しない会社
- 影響する: GKE StandardまたはGKE Autopilotを運用し、Wizのセンサー導入を検討する会社です。新規・既存の両方が対象なので、クラスターを作り直す前提で検討する必要はありません。
- 影響する: 複数のプロジェクトやフォルダでGKEを管理する会社です。個別導入だけでなく、どの範囲に保護を義務付けるかが検討事項になります。
- 影響しない: 今回のGKE向けアドオンの導入対象という意味では、GKE StandardとGKE Autopilotを使っていない会社は対象外です。
- 影響しない: Cloud RunやGCEだけを利用する会社は、今回のGKE向け提供の対象ではありません。簡易導入と組織ポリシー管理を両サービスへ広げる方針は示されていますが、提供時期は書かれていません。
