Snyk AppRisk Essentialsを最大限に活用するための3つのベストプラクティス

数多くのお客様が、DevSecOpsやシフトレフト戦略の実践にSnykを活用しています。しかし、アプリケーションの開発スピードと複雑さが増すなか、開発チームとの連携を保つことが難しくなっていることも認識しています。開発中のすべてのソフトウェア資産を明確に把握し、その所有者やビジネス上の重要性を特定し、そして何より、これらの資産がSnykによって適切に保護されていることを確かめるのは、ますます困難になっています。

だからこそ、Snyk AppRisk Essentialsの機能をお客様に順次提供できることを大変嬉しく思います。 

Snyk EnterpriseプランでSnyk AppRisk Essentialsの提供を開始

まだ見出しを目にしていない方のためにお伝えすると、Snyk AppRisk Essentialsは昨年12月に発表されました。Snyk AppRisk初の製品として、資産の検出、カバレッジ管理、リスクに基づく優先順位付けをお客様に提供します。今年5月1日には、Snyk AppRisk Proも発表しました。Snyk AppRisk Essentialsの機能を大幅に拡張し、実行時のアプリケーションリスクの可視化に加え、より包括的なアプリケーションリスク管理および分析機能を提供します。 

お客様がSnykを活用した「シフトレフト」の取り組みを円滑に運用できるよう、Snyk AppRisk Essentialsのアプリケーション検出とカバレッジ管理機能をSnyk Enterpriseプランに追加料金なしで組み込みました。 

すでにEnterpriseプランをご利用のお客様も、これからのご契約を検討されているお客様も、これらの機能の内容や活用方法について詳しく知りたい方は、ぜひ続きをお読みください。 

Snyk AppRisk Essentialsの主な機能

具体的には、どのような機能が含まれるのでしょうか？ 

すべてのSnyk Enterpriseプランで利用できるこれらの機能は、開発中のアプリケーション資産をより明確に把握し、Snykによって適切に保護されていることを確認できるよう支援します。

資産インベントリ

Snykのお客様は、アプリケーションの構築に使われているコンポーネント（「資産」と呼びます）を簡単に可視化し、所有者やビジネス上の重要度を把握できるようになりました。また、Snykの他の製品（Snyk Open Source、Snyk Code、Snyk Container、Snyk IaC）によって保護されているかどうか（「カバレッジ」と呼びます）も確認できます。

ポリシー 

Snykのお客様は、新しいカテゴリーのポリシーを利用できるようになりました。これにより、資産とSnykによるカバレッジを自動的に管理し、さまざまな条件に応じて追加のアクションを実行できます。 

インテグレーション

資産の可視性を高め、新たに利用可能になった資産インベントリに追加のコンテキストを加えるため、Snykのお客様は、SDLC全体で使われているさまざまなツールやプラットフォームとの新しいインテグレーションを利用できます。

これらの新機能や、「資産」「カバレッジ」など、Snykの利用体験に新たに加わる概念について詳しくは、製品ドキュメントをご覧ください。

成功に導く3つのステップ：Snyk AppRisk Essentialsの導入

以下に、新しいSnyk AppRisk Essentialsの機能を活用し、導入を成功させるための推奨手順をご紹介します。 

組織ごとに状況は異なるため、Snykの現在の設定や個別の要件によって、具体的な手順は変わる場合があります。ただし、次の基本的なステップは、導入を成功させるための共通の進め方として有効です。 

• ステップ1：SCMを接続する

• ステップ2：関連するポリシーを作成する

• ステップ3：インベントリとカバレッジを把握する

注：新しい無料のSnyk AppRisk Essentials製品トレーニングコース（Snyk Learn）で、詳しいガイダンスをご覧いただけます。 

ステップ1：SCMを接続する

最初のステップは、Snyk AppRiskのSCMインテグレーションを設定することです。SCM（ソースコード管理）を接続すると、Snykが資産インベントリを作成できるようになります。 

なぜ重要なのでしょうか？資産インベントリを使うと、リポジトリ内のすべてのソフトウェアコンポーネントを可視化できます。何が、誰によって開発されているのでしょうか？これらの資産はSnykでスキャンされていますか？現在も活発に開発されていますか、それともアプリケーション内で使われていない部分でしょうか？ビジネス上重要な資産でしょうか、それとも当面は優先度を下げてもよいでしょうか？資産インベントリは、こうした疑問への答えを見つけるのに役立ちます。SnykをSCM（大規模な組織の場合は複数のSCM）に接続することで、資産インベントリを作成できます。

SCMを接続するには、SnykのWeb UIでIntegration Hubを開き、インテグレーションページから該当するSCMインテグレーションを選択します。Snyk AppRiskはGitHub、Bitbucket、GitLab、Azure DevOpsに対応しています。

SCMをSnyk AppRiskに接続する詳しい手順は、こちらをご覧ください。  

推奨：IDPまたはサービスカタログを接続する

社内開発者ポータル（IDP）やサービスカタログは、プラットフォーム、DevOps、開発チームで広く利用されるようになっています。開発ライフサイクル全体のワークフローを効率化し、連携を促し、生産性を高めます。開発中のアプリケーションや開発環境に関する信頼できる唯一の情報源として、これらのツールには、アプリケーションのインベントリを正確に作成し、ビジネス上の重要性を理解するのに役立つ豊富なコンテキストが蓄積されています。 

IDPまたはサービスカタログを利用している場合は、初期設定の追加ステップとしてSnyk AppRiskに接続することをおすすめします。これにより、Snykの資産インベントリがさらに充実し、資産の検出とカバレッジ管理をより効果的に行えるようになります。 

IDPまたはサービスカタログを接続するには、もう一度Integration Hubを開き、該当するインテグレーションを選択します。Snyk AppRiskはBackstage、ServiceNow CMDB、Atlassian Compass、Datadog Service Catalog、Harness、OpsLevelに対応しています。

Backstageの設定手順は、他の対応IDPやサービスカタログとは少し異なり、各SCMインテグレーション内で行います。

詳しい手順については、製品ドキュメントをご覧ください。

SCM（任意でIDPまたはサービスカタログ）を正常に設定すると、インテグレーションページに「Connected」と表示され、資産インベントリに情報が反映され始めます。すべてのデータが利用可能になるまで、最大24時間かかる場合があります。

ステップ2：関連するポリシーを作成する

資産インベントリに表示されるデータを確認する前に、ポリシーを活用してデータを整理し、より適切に把握・活用するための簡単な方法をいくつかご紹介します。

資産を分類する

ステップ1で設定したインテグレーションを通じて、Snykは資産に関する大量の情報を取り込みます。ポリシーを使えば、資産インベントリ内で資産をより適切に管理するための重要なコンテキストを追加できます。  

まずは、資産を自動的に分類するポリシーを作成することをおすすめします。 

資産インベントリでは、資産の「クラス」（「A」から「D」）によってビジネス上の重要度が示されます。分類は手動でも設定できますが、より効率的な方法は、環境や組織のニーズに応じて資産を自動分類するポリシーを作成することです。

一般的なポリシーの例：

• 機密性の高い顧客情報を含む資産や、特定のコードオーナーがいる資産を「A」に分類する。

• 「QA」「test」「dev」のタグが付いた資産を「B」または「C」に分類する。

• リポジトリの更新状況に基づいて、利用されていない資産を「D」に分類する。

カバレッジを管理する

ビジネス上重要な資産を特定したら、Snykが効果的に導入されていることを確認できます。カバレッジポリシーを設定すると、必要なSnykのセキュリティ対策を定義し、カバレッジの不足が見つかった場合に迅速に対応できます。

一般的なポリシーの例：

• すべての「A」資産に対してSnyk Open SourceとSnyk Codeのスキャンを毎日実施し、「B」および「C」資産は週1回スキャンする。

• スキャンされていない新しい「A」資産が見つかった場合に、Slack通知を送信する、またはJiraチケットを作成する。

ポリシーの作成は簡単です。SnykのWeb UIで、PoliciesページのAssetsタブを開き、New Policyをクリックします。

既存のポリシーテンプレートを使うことも、一から新しいポリシーを作成することもできます。ポリシーの作成手順について詳しくは、こちらをご覧ください。

ステップ3：インベントリとカバレッジを把握する

最後のステップでは、最初の2つのステップの成果を活用します。インベントリに必要なデータを揃えてアプリケーションを可視化し、Snykによるカバレッジを把握して、適切な修正の優先順位を決定できるようにします。 

インベントリでは、直感的な並べ替え、検索、フィルタリング機能を使って、利用可能なデータを柔軟に確認できます。プログラム内のリスク領域をすばやく絞り込むのに役立ちます。

まずは「A」資産に注目するのが一般的です。Filtersボタンをクリックして、表示する資産を絞り込みます。

Controls列では、必要なSnykのセキュリティ対策が、定義したポリシーに従って適切に実施されているかどうかをすばやく確認できます。上記の「spring.goof」リポジトリの例では、Snyk Open Sourceが資産を適切にスキャンし、重大な脆弱性を検出しています（赤い点で表示）。一方、Snyk Codeは想定どおりに資産をスキャンできていません。Developers列では、その資産の所有者を特定し、カバレッジの不足にすばやく対処できます。

資産を選択すると、検出された問題の概要や関連資産の一覧など、追加情報を確認できます。

問題のトリアージを始めるには、Snykのセキュリティ対策の名前（この場合はSnyk Open Source）をクリックします。該当する資産でSnykが検出したすべての問題を統合して表示するIssuesページが開きます。 

その後、Snykの問題レベルのリスクスコアリングを活用して、リスクがより高い問題を優先的に確認できます。

前述のとおり、Snyk AppRisk Proではさらに一歩進み、アプリケーションの実行時のリスク要因を取り入れることで、より包括的でリスクベースの優先順位付けを実現します。こうした実行時のコンテキストにより、たとえば、脆弱なオープンソースライブラリがデプロイされているか、メモリにロードされているかを把握できます。これらのリスク要因と実行時のコンテキストについて詳しくは、Snyk AppRisk Proのこちらをご覧ください。

インベントリに加えて、Asset DashboardページでSnykプログラム全体の状況を確認できます。このページには、Snykが特定した資産や、それらがどの程度保護されているかを示すウィジェットが表示されます。

Snykで投資対効果を最大化する

Snyk AppRisk Essentialsのアプリケーション検出とカバレッジ管理機能を利用できるようになったことは、お客様がシフトレフトによるアプリケーションセキュリティ対策をより適切に運用するうえで、大きな前進だと考えています。 

コードベースの資産を可視化し、Snykによる一貫したセキュリティカバレッジを確保することで、これらの機能は組織のプログラムの効率化、セキュリティ態勢の改善、そしてSnykへの投資対効果の最大化を支援します。

すでにEnterpriseプランをご利用のお客様も、これからのご契約を検討されているお客様も、新たに利用可能になったこれらの機能や活用方法について詳しく知りたい場合は、Snykの担当者にお問い合わせいただくか、オンラインドキュメントをご覧ください。