GitGuardianとの連携で実現するCodeSecDaysカンファレンスと、より包括的なセキュリティ対策

シークレットは多くのセキュリティインシデントに関わるため、SnykはGitGuardianとのパートナーシップを発表できることをうれしく思います。開発チームとセキュリティチームがセキュリティプログラムを拡大し、コードからクラウドまでのライフサイクルのあらゆる段階で、アプリケーションの攻撃対象領域をさらに縮小できるよう支援します。

先日、GitGuardian初のオンラインカンファレンスCodeSecDaysに登壇しました。Chainguard、Doppler、Konduktoなどのセキュリティリーダーとともに、ソフトウェア署名、オープンソースセキュリティ、シークレット管理について知見を共有しました。

ソフトウェアサプライチェーンのセキュリティが確立された世界を思い描くパネリストたち

特に人気の高かったセッションの一つは、RedMonkのアナリスト、Rachel Stephensが司会を務めたパネルディスカッションでした。Snykのシニアセキュリティアドボケイト、Sonya Moissetは、より安全なソフトウェアサプライチェーンを実現するために、組織内の開発チームとセキュリティチームの分断をなくすことが重要だと強調しました。また、新しいセキュリティツールが開発チームのワークフローやパイプラインにどう適合するのかを説明し、導入の障壁や摩擦を最小限に抑えることが大切だと述べました。さらに、導入当初から開発者をうまくオンボーディングし、新しいツールの利用定着を促すことも重要だと語りました。

Dopplerのシニアソフトウェアエンジニア、Nic Manoogianは、開発者にとって使いやすくすることの重要性を訴えました。誰もがコンピューターに強い優秀な人材を採用します。だから、何かを邪魔するものがあれば、開発者は回避策を見つけるでしょう、と彼は言います。Dopplerでは全エンジニアがセキュリティのトレーニングを受けており、セキュリティチームも開発側で仕事を完遂しなければならないことを理解しています。開発チームとセキュリティチームは、互いに利益をもたらす関係を築けると彼は考えています。

開発者が楽しみながらセキュリティを学べるようにし、学習を後押しする仕組みをつくる必要があります。ゲーミフィケーションやハッカソン、スプリントで脆弱性を修正するバグバッシュは、セキュリティ意識を高め、企業の脆弱性修正を促すのに役立ちます。」

- Snyk シニアセキュリティアドボケイト、Sonya Moisset

パネリストたちは、効果的なセキュリティトレーニングプログラムのつくり方、セキュリティツールを最大限に活用する方法、そして企業のセキュリティ態勢を改善するために優先して取り組むべきことについても議論しました。

ソフトウェアサプライチェーンのセキュリティ対策を始めるにあたり、GitGuardianのスタッフセキュリティエンジニア、Kayssar Daherは、小さく始めることを勧めました。たとえば、Pythonパッケージ用のレジストリを設定し、セキュリティ上の問題がないかスキャンします。Sonyaは、数百ものチームに一気に広げるのではなく、まず1〜2チームと取り組むことを提案しました。Chainguardのスタッフデベロッパーリレーションズ、Eddie Zaneは、使用中の依存関係を棚卸しすることも、よい出発点だと述べました。

「私は多くのイベントに参加しています。ここ1年で、ソフトウェアサプライチェーン分野とは縁がないと思っていたような企業も目にしました。多くの人がチェック項目を埋めるためだけのものを売っているように感じます。新しい規制や大統領令はありますが、この問題を解決する特効薬はありません。」

- Chainguard スタッフデベロッパーリレーションズ、Eddie Zane

開発ワークフローで人工知能の利用が広がっていますが、AIが生成したコードにも、組織内で私たちが書くコードと同じように、脆弱性が含まれる可能性があることを忘れてはならないとSonyaは指摘します。そのため、AI生成コードにも同じツールセットとワークフローを適用し、セキュリティ脆弱性がないことを確認することが不可欠です。

氷山：攻撃対象領域はさらに広がっている

Sonyaの単独講演では、オープンソースプロジェクトのリスク軽減について取り上げました。主なサイバーセキュリティ上の課題、パイプラインを保護するためにGitHub Marketplaceで活用できるツール、オープンソースソフトウェアのセキュリティを強化するベストプラクティスを紹介しました。また、「氷山」のたとえを用いて、アプリケーションコード、オープンソースライブラリ、コンテナ、Infrastructure as Codeなど、現代のアプリケーションを構成するレイヤーを説明しました。水面上に見えるのは氷山の一角にすぎません。現代のアプリケーションには、すぐには見えなくても機能に欠かせない多くのレイヤーがあります。

氷山のたとえは、現代のアプリケーションの複雑さと、包括的なアプローチで保護する重要性を示しています。アプリケーションを安全に保つには、独自開発のコード、オープンソースライブラリ、コンテナ、Infrastructure as Codeなど、あらゆるレイヤーを考慮し、保護する必要があります。

Sonyaは講演の冒頭で、タイポスクワッティングやソフトウェアへの悪意あるコードの注入など、オープンソースソフトウェアに対する一般的な攻撃を紹介します。オープンソースソフトウェアは誰でも利用できるため、サプライチェーン攻撃の標的にもなりやすいものです。オープンソースプロジェクトでは、攻撃者がソフトウェアに脆弱性を持ち込む可能性があり、そのソフトウェアを利用する企業へ新たな脅威を容易に広げてしまうおそれがあります。

SDLCの各段階でパイプラインを保護する

こうした攻撃などに対処するには、GitHub Marketplaceで利用できるセキュリティアプリケーションやアクションを活用し、ソフトウェア開発ライフサイクルの各段階でパイプラインを保護することが有効です。Sonyaによると、メンテナーやコントリビューターは、次の要素を含む基本的なパイプラインの構築を検討するとよいでしょう。

• コードベースに含まれるオープンソースを特定するソフトウェア構成分析（SCA）ツール。メンテナーやコントリビューターが、セキュリティやライセンスコンプライアンス上のリスクを把握し、管理できるようにします。

• シークレットの拡散を防ぐツール。APIキーや認証情報などのシークレットが複数のシステムに意図せず広がるのを防ぎます。

• 静的コード解析ツール。プログラムの実行前にソースコードを調べ、コードが一定のコーディングルールに準拠しているかを分析するデバッグ手法です。

さらに、機密情報の暗号化など、シークレットを管理する効果的な方法や、設計・開発の初期段階からテスト、デプロイまで、ソフトウェア開発ライフサイクルのさまざまな段階で静的コード解析を活用する方法についても解説しています。このトピックをさらに詳しく知りたい方は、Sonyaの『オープンソースソフトウェアセキュリティハンドブック：プロジェクトを保護するためのベストプラクティス』をご覧ください。

CodeSecDaysの目標に共感し、セキュリティ脆弱性のない世界を思い描く方は、イベントの全編プレイリストをご覧ください。

SnykとGitGuardianを使い始める

GitGuardianとSnykが、より安全な開発をどのように支援できるかについて詳しく知りたい方は、tapp@snyk.ioまでメールでお問い合わせいただくか、チームとのデモをご予約ください。