2020年第4四半期を振り返る — iOSのリモートコード実行、開発者ファーストのSASTなど
2020年12月31日
0 分で読めますSnyk Blogの年間振り返り、今回の第4回では、1年を締めくくる10月、11月、12月にブログで取り上げた主な発表やニュースをご紹介します。これまでの3回では、Angularのベストプラクティスから2度の資金調達、買収まで、各四半期から3つの記事を取り上げてきました。今年も実に盛りだくさんです！まずは、前回の記事で予告した話題から始めましょう。
こちらもご覧ください： 2020年第1四半期を振り返る — JVMエコシステムレポート、DevSecOpsの知見など
2020年10月：SourMint：iOSのリモートコード実行、Androidでの発見、コミュニティの反応
第3四半期の記事で触れたように、iOSとAndroidの両方でSourmint SDKに不審な動きが見つかったことを受け、2件の脆弱性情報を公開しました。8月に公開した最初のブログ記事では、SDKのiOS版で検出した悪意ある挙動のみを取り上げ、主に広告詐欺とデータ漏えいについて説明しました。しかし10月には、新たな調査結果を公開し、iOSでリモートコード実行が可能であり、広告バナーやMintegral自身によって悪用されるおそれがあることを明らかにしました。さらに、Android SDKにも機密データを漏えいさせる悪意あるコードが含まれていることが判明しました。以下の動画でご確認いただけます。
この記事では、コミュニティから寄せられた注目すべき反応も取り上げました。たとえば、一部の収益化プラットフォームでは、MoPubがMintegralを非推奨ネットワークとして掲載し、「すべての広告在庫セグメントと広告枠から削除する」よう推奨しました。また、モバイル計測プロバイダー（MMP）のSingularは挙動を分析し、一部のSDKベースのネットワークでクリックハイジャックが行われた証拠を発見。記事の公開前後で不審な動きの割合を比較しました。
2020年10月：Snyk Codeで開発者ファーストのSASTを発表
前回の記事では、開発者ファーストの新しいSAST製品、Snyk Codeについて少し予告しました。買収を発表した時点で、多くの方がその意図を正しく推測していましたが、詳細はまだ公開していませんでした。その後、初開催のSnykConの初日の基調講演で、Guy Podjarnyが新製品について、まるで誇らしげな父親のように語りました。「SASTって何？」と思われる方もいるでしょう。一般的な開発者には、あまりなじみのない言葉かもしれません。SASTはStatic Application Security Testing（静的アプリケーションセキュリティテスト）の略で、アプリケーションのコードに含まれる脆弱性を特定するテスト手法です。アプリケーションで使用する依存関係に含まれる既知の脆弱性を検出するSoftware Composition Analysis（ソフトウェア構成分析、SCA）とは異なります。アプリケーションコードと依存関係の両方をスキャンすることで、アプリケーション全体のセキュリティをより広くカバーできます。
ただし、テストすべき対象はこれだけではありません。現代のアプリケーションのアーキテクチャや開発方法を考えれば、なおさらです。クラウドネイティブアプリケーションを開発する場合、アプリケーションを実行するコンテナを定義するDockerfileや、環境のデプロイと構成に必要なInfrastructure as Codeも記述することが多いでしょう。こうしたコードや構成を作成・保守する開発者は、そのすべてを考慮する必要があります。アプリケーションコードや依存関係だけでなく、コンテナの依存関係やInfrastructure as Codeスクリプトの安全でないデフォルト設定もテストできる、本格的なクラウドネイティブアプリケーションプラットフォームが必要です。ご自身の開発環境に当てはまると感じた方は、クラウドネイティブアプリケーションのこうしたセキュリティニーズを幅広くカバーするSnykのツールをご覧ください。
こちらもご覧ください： 2020年第3四半期を振り返る — SnykとDeepCode、Angularのセキュリティベストプラクティスなど
2020年10月：SnykCon 1日目・2日目のまとめ
2020年の振り返りで最後に取り上げるのは、SnykConに関する記事です。どちらもまとめ記事で、このブログ自体がまとめ記事を紹介する、というわけです。SnykConでは数々の素晴らしい発表があり、Snyk Codeの発表をはじめ、すでにご紹介したものもあります。なかでも、私たちがSnykerであることを誇らしく思った発表の一つが、サステナビリティに関する主要な国際指針であるThe CarbonNeutral Protocolに基づき、CarbonNeutral®認証を取得したことです。組織の効率化、外部の排出削減プロジェクト、再生可能エネルギーへの投資を組み合わせ、2,400メートルトンのカーボンフットプリントを相殺していきます。私たち全員に影響するこうした問題について真剣に話し合うだけでなく、実際に行動を起こすことが今まさに重要です。この問題に真剣に取り組むだけでなく、正式にCarbonNeutral認証を受けた企業で働けることをうれしく思います！
最近、多くの優れた新機能が追加されました。なかでも私の目を引き、開発者から常に高い関心を集めているのが、GitHubなどのソースコードリポジトリからDockerfileを直接検出する機能です。セキュリティスキャンとテストを開発者ツールに組み込み、誰もが利用できるようにすることは、開発者によるセキュリティテストの導入を促すうえで非常に重要です。
SnykのCEO、Peter McKayとDockerのCEO、Scott Johnstonが共同で発表した、もう一つの重要な戦略的発表が両社のパートナーシップです。Snykは今後、Docker Official Imagesおよび将来のコンテンツ認証プログラムにおけるセキュリティインサイトの独占プロバイダーとなります。Johnstonは、Snykのセキュリティインサイトが、イメージの保守状況や安全性を開発者が確認するための重要なチェックポイントになると説明しました。
SnykConでは、ほかにも素晴らしいコンテンツが数多く発表され、すべて録画されています。ぜひSnykのサイトで公開中の動画をご覧ください。
これまでの記事と同様、今回選んだハイライトには入らなかった記事もいくつかありますが、ぜひチェックしてみてください。人気のJHipsterアプリケーションジェネレータープラットフォームでSnykをサポートした記事もその一つです。また、Snyk開発者コミュニティを公開しました。https://community.snyk.ioからご参加いただけます。Angularセキュリティのベストプラクティス・チートシートに続き、Reactフレームワーク向けのチートシートも作成しました。最後に、人気のSnyk CLIチートシートを更新し、コンテナサポートに関する情報を追加しました。
それでは、皆さまが安全で幸せな年末を過ごされることを願っています。2021年もSnyk Blogの素晴らしいコンテンツにご期待ください！
