SnykLaunch 2024年10月：強化されたPRエクスペリエンス、可視性の拡大、AIを活用したセキュリティ、包括的なリスク管理

創業からまもなく10年を迎えるなか、私たちはソフトウェア開発業界が劇的に変化する様子を見てきました。開発者はかつてないほど多くの要素を扱い、サードパーティのリソースやAIコーディングアシスタントなどのテクノロジーを活用しながら、厳しい期限のなかで高度なソフトウェアをリリースしています。開発とセキュリティの関係について、私たちはこの10年間取り組んできましたが、DevSecOpsをめぐる議論は大きく変化しました。

まず、開発チームには、ますます複雑になる環境でシームレスに機能するソリューションが必要です。開発者が使いやすい環境を実現するには、プラットフォームのトレーニングや使いやすいセキュリティインターフェースだけでは不十分です。既存のワークフローを離れることなく、セキュリティを実現できる手段を提供する必要があります。

また、セキュリティチームはAI生成コードのような新しいテクノロジーをどう保護するかも検討する必要があります。AIコードの膨大な量と固有の脆弱性に対応するには、新たな手法が求められます。さらに、セキュリティチームがこうした変化する要素のセキュリティ態勢を把握し、ビジネスに対する実際のリスクに基づいて最も重要な取り組みを優先できるよう、包括的な可視性も必要です。多くの要因が絡む現在、脆弱性を個別に評価し、CVSSなどの一般的なスコアだけで優先順位を決める方法は、もはや通用しません。

Snykの最新製品リリースでは、AppSecの全体像の把握、リスクの優先順位付け、AIコードへの対応、開発者のワークフローへの直接的な統合を実現する新たな方法により、これらの課題に取り組んでいます。今回の注目アップデートについて、ぜひご覧ください。また、オンデマンド配信のDevSecConプレゼンテーションもご視聴いただけます。

開発者エクスペリエンス

開発者を第一に考えるセキュリティは、創業当初からSnykのエクスペリエンスの礎となっています。開発者が既存のワークフロー内でセキュリティ修正を行えるツールを提供することは、今日の組織に不可欠だと考えています。それ以外の方法では、作業が増えるだけで、開発チームとセキュリティチームの負担を大きくしてしまいます。現在もこの基本理念を軸に、開発者エクスペリエンスをさらに向上させる機能を開発しています。新たに追加した機能は次のとおりです。

プルリクエストのコメントに表示される問題のサマリー

プルリクエストは、安全な開発プラクティスを徹底するうえで重要なポイントです。Snykはこれまでもプルリクエスト時のセキュリティテストを提供してきました。今回の機能強化では、開発者の時間を節約し、コンテキストスイッチを減らすことを目指しています。ソフトウェア構成管理（SCM）プラットフォーム上のプルリクエストに、重要度別にまとめたセキュリティ問題のサマリーを表示。開発者がプルリクエスト内で、より多くの情報を確認し、すぐに対応できるようになります。

カスタマイズ可能なPRテンプレート

さらに、PRのタイトル、説明、コミットメッセージをカスタマイズできるようになりました。SnykがOpen SourceやContainerのプロジェクトを修正またはアップグレードすると、リポジトリに対してプルリクエストを自動作成します。これらのPRを、チーム固有の基準や好みに合わせて簡単に調整できるようになりました。

カスタマイズできる内容

title

「SNYK:」など、独自のプレフィックスを追加

commit_message

チームの規約に合わせてコミットメッセージの形式をカスタマイズ

description

補足情報や関連ドキュメントへのリンク、タスクのチェックリストなどを追加

APIまたはシンプルなYAMLファイルを使って、PRテンプレートをカスタマイズできます。プルリクエストは開発者のワークフローの中心であり、開発以外の多くのチームとのコラボレーションにおいても重要な接点です。そのため、共有する情報は標準化され、理解しやすいものでなければなりません。Snykの新しいカスタマイズ可能なPRテンプレートにより、Snykが生成するプルリクエストを、組織固有の基準、プラクティス、コミュニケーションの好みに合わせられます。タイトルや説明、共有するセキュリティ情報、JIRAチケット情報などを指定して、開発者がPRで確認したい内容に整えることができます。

可視性の拡大

セキュリティリーダーが組織のリスク態勢を把握するための可視性も高めています。SnykはSnyk Analyticsのリリースにより、レポートと分析機能を拡充しました。組織全体のアプリケーションセキュリティプログラムの健全性を効果的に測定し、全体的なリスク態勢の改善に最も大きな効果をもたらす戦略を把握するための、データ分析ツールとフレームワークを提供します。Snyk Analyticsで利用できる機能は次のとおりです。

• 開発者分析：チーム全体のシフトレフトの取り組み状況を把握

• 問題分析：重大度がクリティカルおよび高の問題に関する重要な指標を掘り下げ、全体的なリスクエクスポージャーと、そのリスクの解消・防止に向けた進捗をすばやく把握

• アプリケーション分析：オープンな問題のステータス、コントロールの適用範囲、リポジトリのメタデータ、インポートしたアセットなど、セキュリティの傾向を確認

Snyk Analyticsのリリースにあわせて、Snowflake AI Data Cloudとのインテグレーションも導入します。Snyk独自の開発者向けセキュリティ分析データをビジネスインテリジェンスダッシュボードに取り込み、活用できるようになります。この新しいインテグレーションにより、分析にすぐ使えるSnykのデータを、Snowflake内の他のソースから取得した既存のセキュリティデータと並べて確認できます。全体像を踏まえた戦略的な意思決定に役立ちます。

あらゆる場面に広がるAI

AIはすでに今日の開発ライフサイクルに欠かせない要素となっており、今後さらに普及していくでしょう。開発者には、AI生成コードがリポジトリに取り込まれる速度と量に対応するセキュリティツールが必要です。開発を遅らせるセキュリティでは、ソフトウェア開発を加速し、貴重な時間を節約するというAI活用の目的が損なわれてしまいます。SnykはAIセキュリティ製品を継続的に強化しており、最近のリリースには次のものがあります。

Snyk CodeのSnyk Agent Fix（GA提供開始）

今ではすべてのSnykユーザーがAIを活用してAIを修正できるため、開発者はAIが生成したコードを最速で保護できます。DeepCode AIエンジンは、セキュリティに特化したデータとトップクラスのセキュリティ研究者による知見でトレーニングされた複数のAIモデルを統合。新しいテクノロジーのスピードに対応しながら、デメリットなく利用できます。精度は80%を超え、IDE内で2回クリックするだけで実行できます。

AIを活用した到達可能性分析

AIを活用して、正確な到達可能性分析も提供しています。Snykはデータフローを通じてコードベースを分析し、実行中のアプリケーションから直接または間接的に呼び出される問題を特定。その割合は全体の7%です。本番環境にある脆弱性に取り組みを絞ることで、セキュリティチームは重要な問題に集中し、ノイズを減らせます。

包括的なアプリケーションリスク管理

今年初めには、AppRisk Proのリリースにより、リスク管理における包括的なセキュリティアプローチをさらに拡充しました。リスクベースの視点から、チームが最も重要な修正に集中できるよう、より的確に優先順位を付け、ノイズを抑えます。脆弱性に関する個別の情報を提供するだけでなく、アーキテクチャ、ビジネス上の重要度、ランタイム環境など、アプリケーションの全体像をまとめて把握できます。

包括的なアプリケーションリスク管理を実現するため、以下の点を強化しました。

リスクスコア

到達可能性をリスク要素に含めるのは理にかなっています。しかし、到達可能性を重視しすぎると、実際には脅威とならない問題にチームが注力したり、重大なリスクを見落としたりする可能性があります。チームが必要としているのは、アーキテクチャ、ビジネス価値、ランタイムの状態などを含む、より広いアプリケーションのコンテキストです。SnykのRisk Scoreは、これらすべての要素を単一の値にまとめ、悪用される可能性と潜在的な影響の両方に基づいてリスクを把握できるようにします。

Snykは、アプリケーションセキュリティリスクをより包括的かつ戦略的に管理できるよう、Risk Scoreを強化しました。今回のアップデートの中心となるのは、DeepCode AIを活用した到達可能性分析を他のリスク要因と組み合わせ、SnykのRisk Scoreに反映する機能です。アプリケーションのコードから悪用される可能性がある、オープンソースパッケージ内の脆弱な関数を、間接的に参照されている場合も含めて特定します。高・重大な脆弱性の90%にまで到達可能性分析の対象を広げることで、組織は潜在的なセキュリティ脅威に先手を打って対処できます。到達可能性に加え、EPSS評価、パッケージの人気度などのリスク要因を組み合わせることで、最もリスクの高い問題を簡単に判断できます。

AppRisk Essentials

最近、Snyk AppRisk Essentialsの対象を拡大し、アプリケーションの検出とカバレッジ管理機能を、追加料金なしでSnyk Enterpriseのすべてのお客様に提供しています。これらのツールを活用すると、アプリケーションの構築に使われているアセットの可視性を高め、ポリシーによってアセットとSnykのカバレッジを自動的に管理できます。

DevSecOpsエコシステム全体でのインテグレーション

アプリケーションセキュリティ態勢管理（ASPM）ソリューションであるSnyk AppRiskの機能も大幅に拡充しています。AppRisk Proのすべてのユーザーが、新たにサードパーティとのインテグレーションを利用できるようになりました。対象は次のとおりです。

• GitHub、Bitbucket、Azure DevOps、GitLabなどのSCMシステム

• Backstage、ServiceNow CMDB、Atlassian Compass、Harness、OpsLevelなどの社内開発者プラットフォーム（IDP）およびサービスカタログ

• DynatraceやDatadogなどのオブザーバビリティツール

• Sysdig、Orca、SentinelOne、Crowdstrikeなどのクラウドおよびランタイムセキュリティソリューション

これらの新しいパートナーシップにより、アプリケーションのコンテキストをさらに包括的に把握できるようになり、より高い精度と効率でセキュリティリスクの管理を継続できます。

最新のDevSecConプレゼンテーションを視聴

Snykチームは、リスクベースの優先順位付け、AIセキュリティ、開発者を第一に考えたワークフローに関する機能拡充をうれしく思います。安全性を保ちながら迅速な開発を支援し続けられることを誇りに思います。

DevSecConのプレゼンテーション全編をオンデマンドで視聴して、これらの機能強化について詳しくご覧ください。