安全なDevOpsワークフローを実現するDevSecOpsツール4選

ここ数年、DevOpsチームはシフトレフト、つまり開発プロセスの早い段階でセキュリティに取り組むようになっています。その結果、組織では脆弱性の全体的な減少、デプロイの迅速化、セキュリティ統合の向上が見られます。シフトレフトはDevOpsワークフローの早い段階でセキュリティを検討する重要性を示していますが、実際にはDevSecOps（Development、Security、Operationsの略）と呼ばれる、より大きな実践の一部です。組織や企業が、拡大し複雑化するアーキテクチャにクラウドベースのツールやサービスをますます取り入れるなか、本番環境からデプロイ、さらにその先までDevOpsワークフローにセキュリティを組み込むことは、安全で効率的な本番パイプラインを構築するうえで不可欠です。 

DevSecOpsを導入するメリットを考えれば、すべてのDevOpsチームがすでに移行していると思うかもしれません。しかし、組織のDevOpsワークフローにDevSecOpsを実践として導入する際の最大の障壁の一つは、適切なテクノロジーがないことです。DevSecOpsの考え方を取り入れて、DevOpsワークフローを安全にしたいとお考えですか？手法と必要なツールについて、詳しく見ていきましょう。 

各フェーズで、チームは作成中のコードをスキャン、テスト、検証する必要があります。さらに、製品のリリース後は監視が欠かせません。AT&Tのサイバーセキュリティ部門によると、監視は「アプリケーションやシステム全体の挙動と状態に関する認識と可視性を高め、障害のリスクを低減します」。こうしたスキャン、テスト、検証、監視の追加要素が、DevSecOpsの有効性を支える重要なセキュリティ要素となります。 

DevOpsチームはすでに、コードを迅速かつ効率的にデプロイするために、さまざまなツールを利用しています。Mavenなどのビルドツールから構成管理ツールまで、それぞれが開発プロセスの効率化と自動化に役立ちます。同様に、DevOpsパイプラインにセキュリティを組み込むには、適切なツールが必要です。優れたDevSecOpsツールは、DevOpsワークフローにシームレスに統合でき、包括的なテストと監視、迅速なフィードバックループを提供し、チーム独自のDevSecOps目標をサポートします。 

安全なワークフロー／パイプラインを実現するDevSecOpsツール7選 

1. ソフトウェア構成分析（SCA）ツール 

Snykが最近、オープンソースパッケージを扱う開発者とセキュリティチームを対象に調査したところ、回答者の87%が、推移的依存関係に関わるものを含む、1つ以上のサプライチェーンセキュリティ問題の影響を受けていました。推移的依存関係とは、開発者が直接選択したものではなく、オープンソースコンポーネントを介して開発プロジェクトに間接的に取り込まれるオープンソースコードパッケージです。独自のライフサイクル、ライセンス、著作権、バグ、脆弱性を抱えていることも少なくありません。そこで役立つのがソフトウェア構成分析です。これは、開発プロセスで使用されるオープンソースコンポーネントを開発者が把握するための重要な可視性を提供します。 

SCAがなければ、開発者はオープンソースコンポーネントに潜む脆弱性に気づけません。オープンソースコンポーネントの普及に伴い、DevOpsワークフローを保護するうえでSCAツールは欠かせないものと考えられています。DevSecOpsチームは、ソフトウェアライセンス、非推奨の依存関係、脆弱性、潜在的なエクスプロイトを検出し、分析プロセスを管理・自動化するためにSCAツールを活用しています。 

DevOpsパイプラインに最適なツールを見つけるために、SCAチートシートをご覧ください。 

2. 静的アプリケーションセキュリティテスト（SAST）ツール

SASTは、アプリケーションのソースコード、バイトコード、バイナリを分析します。アプリケーションを「内部から」調べ、コードや設計上の問題に潜む脆弱性を探します。SASTは開発の早い段階、通常はコードのデプロイ前に実行され、DevSecOpsの「シフトレフト」の考え方を支えます。 

DevOpsワークフローにSASTツールを加えると、開発サイクルの早い段階でコードの問題を発見でき、時間とコストを大幅に削減できます。Open Web Application Security Project（OWASP）によると、SASTツールはバッファオーバーフローやSQLインジェクションなど、よく知られた脆弱性を特定します。また、ファイル名、場所、行番号、該当するコード部分を示すなど、特に有用な詳細度の高いレポートを提供します。 

SASTツールに関心がありますか？DevSecOpsソリューションを評価する際に重要なポイントを、こちらのガイドで解説します。 

3. 動的アプリケーションセキュリティテスト（DAST）ツール

SASTが実行していない状態のコードを「内部から」スキャンするホワイトボックステストであるのに対し、DASTはソフトウェアの実行中にアプリケーションのコードをスキャンします。ブラックボックステスト手法であるDASTは、攻撃者の視点に立ち、アプリケーションを外部から調べます。その結果、クロスサイトスクリプティング（XSS）攻撃、SQLインジェクション、認証や暗号化の問題など、幅広い脆弱性を検出できます。アプリケーション内でSASTツールとDASTツールが検出する脆弱性には重複もありますが、DevSecOpsツールキットに両方のソリューションを備えることが重要です。 

SASTがソフトウェア開発ライフサイクル（SDLC）の初期にコードをテストするのに対し、DASTはソフトウェアがほぼ完成したDevOpsワークフローの終盤にテストを行います。これにより、APIエンドポイントやWebサービスなどのコンポーネントに必要なセキュリティチェックを行い、本番環境でのアプリケーションの挙動を把握できます。データ侵害につながる弱点をチームが修正するのにも役立ちます。 

4. コンテナセキュリティツール 

コンテナの利用は拡大しています。Cloud Native Computing Foundation（CNCF）によると、企業の92%がコンテナを利用しており、2016年以降で300%を超える増加です。コンテナはCI/CDパイプラインに不可欠ですが、開発プロセスのほぼすべての段階で脆弱性にさらされる可能性があります。コンテナイメージに取り込まれた安全でないライブラリや依存関係が、その原因となることがあります。コンテナスキャンツールは依存関係を評価し、脆弱性のある関連コンポーネントを報告します。自動化されたプロセスにより、開発者はコンテナの作成後、任意のタイミングでスキャンを実行できます。 

5. Infrastructure as Code（IaC）スキャンツール

IaCは多くのDevOpsワークフローに欠かせない要素であり、インフラストラクチャの仕様を記述した構成ファイルを作成します。これによりDevOpsチームは構成を編集・配布でき、記録されていない変更によって構成ドリフトやインフラストラクチャのエラーが生じるのを防げます。 

ただし、IaCも無敵ではありません。たとえば、IaCテンプレートに信頼できないソースからの情報が含まれていると、脅威アクターに悪用される可能性があります。また、IaCテンプレートに設定ミスや安全でないデフォルト設定があると、アプリケーションの機密データが露出するおそれがあります。IaCスキャンツールを自動化すれば、開発者はセキュリティ上の欠陥を特定し、不審、悪意のある、または危険な動作を検知するルールを適用できます。

6. クラウドセキュリティツール 

現在、企業の94%以上がクラウドサービスを利用しています。あらゆる業界でクラウドコンピューティングが広く採用されたことで、組織はこれまでにない柔軟性を得て、迅速なスケーリングとデプロイが可能になりました。しかし、クラウド環境に脆弱性がないわけではありません。たとえば、クラウド環境同士の相互接続によって、悪意のある脅威アクターの侵入経路が複数生まれます。複数の侵入経路を保護することに苦慮する一方で、多くのDevSecOpsチームはクラウド環境に対する可視性が不足しています。こうした課題などから、DevOpsワークフローにおけるクラウドセキュリティは不可欠です。 

クラウドセキュリティには、データ、ID・アクセス管理、ガバナンスとコンプライアンス、データと事業の継続性など、複数の側面があります。理想的には、効果的なパイプラインセキュリティ制御の構築、設定ミスの検出と修正、コンプライアンスに関するチェックとレポートの自動化に役立つツールを選びましょう。 

7. 自動テストツール

米国国防総省が公開しているDevSecOpsの基本に関するハンドブックでは、DevSecOpsにおけるセキュリティテストについて多くのことが述べられています。DevSecOpsの自動化プロセスによって、テストのあり方は変わりました。DevSecOpsの「シフトレフト」の考え方では、実装されたシステムをテストするのではなく、「システムを実装するコードをテストする」ことが推奨されます。そのため国防総省は、ソフトウェア開発ライフサイクル（SDLC）全体で自動テストを行うことを推奨しています。DevOpsワークフローで自動化できるテストの例を2つ紹介します。 

• 回帰テスト：アプリケーションや関連するソフトウェアコンポーネントへの変更によって不具合が生じていないかを評価する品質保証テストです。新機能の追加、リファクタリング、ホスト環境の変更後に回帰テストを実行すると、デプロイ前に問題を発見して修正できます。 

• 統合テスト：アプリケーションの個々のユニット、コンポーネント、モジュールを組み合わせた状態で評価するソフトウェアテストです。統合テストでは、モジュール間のインターフェースにある欠陥を検出し、コンポーネントの連携時に発生しうる問題を明らかにできます。 

自動テストツールを活用すると、DevOpsチームは時間を節約し、組織のテスト手法を標準化して、デプロイするソフトウェアやアプリケーションの全体的な品質を高められます。テストツールを評価する際は、柔軟性があり、チーム間のコラボレーションをサポートし、導入時に発生する問題の解決に必要なカスタマーサポートを提供するソリューションを選びましょう。 

次のステップ：Snykで実現するDevSecOps

サイバー脅威が絶えず拡大し、進化するなか、DevSecOpsの考え方を取り入れることは、組織が高額なサイバー攻撃から身を守る最善の方法の一つです。移行は容易ではありませんが、適切なツールを選べば、チームはDevOpsワークフローを迅速かつ効率的に保護できます。Snykの開発者向けセキュリティツールを使えば、開発者は最初のコード行からセキュリティを組み込めます。Snykのプラットフォームには、オープンソース依存関係スキャナー、コンテナセキュリティ、インフラストラクチャセキュリティが含まれています。このプラットフォームは、コードからクラウド、そしてコードへとつなぎ、SDLC全体を通して脆弱性、エラー、設定ミスを検出して修正します。 

Infrastructure as Code（IaC）： Snyk IaCを使用すると、コード変更のたびにセキュリティやアーキテクチャのポリシー、標準への準拠をテストできます。AWS、Azure、GCPのインフラストラクチャ、Kubernetes、TerraformのIaCツールに対応しています。リソースデータエンジンがクラウド環境のスナップショットを継続的に取得し、クラウドの構成や関係性を記録するため、状況を把握して安全性を維持しやすくなります。 

コンテナセキュリティ： Snyk Containerを使うと、開発者はアプリケーションとコンテナを同時に保護できます。SCを使えば、脆弱性を迅速に解決できます。また、IDE環境と実行環境のコンテナにある脆弱性を自動的に検出し、修正します。