開発者を第一に考えた動的テストで開発者セキュリティを拡張

本日、Snykが急成長中の最新APIセキュリティテストおよび動的アプリケーションセキュリティテスト（DAST）プロバイダーであるProbelyを買収したことを発表しました。この買収により、Snykは開発とアプリケーションセキュリティの幅広いソリューションを提供できるようになり、お客様は開発者に使いやすい多様なテスト手法をすぐに活用できます。 

あらゆる業種・規模の企業において、インターネットに公開されるアプリケーションの重要性が高まるなか、APIテストと「最新のDAST」はアプリケーションセキュリティプログラムの基盤として、いっそう重要になっています。「APIエコノミー」と生成AIの時代を背景に、大規模言語モデル（LLM）の機能の一部として公開されるAPIの保護が、APIやWebアプリケーションのテストに対する需要を今後も押し上げるでしょう。 

Snykのポートフォリオを自然に拡張しながら、開発者を第一に

アプリケーションセキュリティのリーダーであるSnykが、APIセキュリティテストとDASTの市場に参入すると決めたことは、意外ではないかもしれません。しかし、この一歩については長年Snyk内で議論されており、参入は当社にとって適切ではないという結論に至ったことも何度もありました。長い間、動的アプリケーション/APIテストソリューションは「右側」に位置づけられることが多く、一方でSnykは、理念として常に「シフトレフト」の考え方とモデルを重視してきました。開発者セキュリティへの取り組みを通じて、開発ライフサイクルの早い段階にセキュリティ対策を組み込み、開発者のフローを妨げない開発者第一のアプローチを実現することを目指してきました。DASTソリューションプロバイダーとのパートナーシップやインテグレーションを通じて、AppSecプログラムにこのカテゴリーのテストを含めたいと当然ながら考えるお客様を支援してきましたが、一般的には当社のミッションや企業文化とのずれを感じていました。

しかし、こうした見方を変える要因がいくつかありました。まず、CI/CDパイプラインとのCLIベースのインテグレーションを通じて、開発プロセスの早い段階でテストを行えるようにする、最新のDASTソリューションという新しいカテゴリーが登場しました。もう一つは、DASTと開発者セキュリティの関係に対する当社自身の見方です。従来、DASTは主に「シフトライト」のツールと捉えられ、開発者第一の要件にそぐわないため、このアプローチの一部とは考えていませんでした。しかし近年、開発者セキュリティにおいて、開発者とセキュリティチームの連携をより重視するようになりました。この観点から、開発者第一の要件を満たせる動的セキュリティテストツールは、明らかに当社のミッションに合致します。

こうした市場への参入を決め、買収先としてProbelyを優先したもう一つの大きな要因は、生成AI時代にAPIが新たなLLM搭載アプリケーションの原動力となっているという、先述のトレンドです。 AIモデルの高度化に伴い、開発者がアプリケーションにモデルを組み込む機会が増えるほど、データへのアクセスや処理を担うAPIへの依存も高まります。この相互接続性は悪意ある攻撃者に新たな攻撃経路をもたらすため、潜在的な脅威からAPIを保護することが不可欠です。 ポートフォリオにAPIセキュリティテストを加えることで、お客様がLLMベースの脅威を検知し、モデルとデータを保護し、安心してAI搭載アプリケーションを構築できるよう、より適切に支援できます。

これらの要因が重なり、APIやWebアプリケーションの動的テストを開発者セキュリティモデルに本格的に組み込めるようになりました。適切なテクノロジーを用いれば、これまで導入の障壁となっていた課題の克服にもつながります。

真の開発者第一のDAST

自社のプロダクトセキュリティチーム向けにAPIとアプリケーションの動的テストソリューションを探していたとき、Probelyのチームと初めて出会い、そのテクノロジーを詳しく調べました。FedRAMP認可の取得に向けた準備の一環として、デプロイ前にアプリケーションセキュリティの問題を排除するSnykの社内利用にとどまらず、動的テストを求める監査担当者の具体的なニーズにも対応しようと考えました。従来型のDASTツールを検討していましたが、Probelyも評価することにしました。テスト結果の精度、ツールの使いやすさ、そしてプロダクトセキュリティチームが対処すべき誤検知によるノイズの少なさに、すぐに感銘を受けました。 

検討を進めるなかでチームとも交流し、こうした成果に加え、イノベーションのロードマップを支える理念から、開発者を第一に考えた真のAPI/Web動的テストプロバイダーであることが明らかになりました。 

導入率の低いソリューションには価値がほとんどないと認識し、Probelyのチームは当初から、開発者への影響や負担を最小限に抑えるテクノロジーの実現に取り組んできました。それを実現する基盤は3つあります。まず、業界最高水準の低い誤検知率（約0.1%）により、開発者が修正を求められるのは、実際にアプリケーションセキュリティのリスクとなる問題だけです。次に、非常にシンプルな導入方法とユーザー体験により、新しいツールの習得や動的テストへの移行に伴う開発者の認知負荷を軽減します。最後に、APIファーストの開発モデルに続いてCLI機能を提供し、CI/CDパイプラインでのDASTスキャンの自動化を支援します。また、課題管理ソリューションなど、さまざまな開発者ツールとのインテグレーションを効率化する堅牢なAPIも構築されており、既存の開発ワークフローとの連携をさらに強化できます。

デューデリジェンスの一環として、信頼できるデザインパートナーやお客様に加え、世界有数の金融機関や小売企業にも協力を仰ぎました。SnykとProbelyの両方をご利用のお客様と時間をかけて話し合い、Probelyとその機能について幅広く意見を交わしました。その結果、シンプルさとエンタープライズレベルの成熟度を備え、当社が大切にする開発者第一の考え方にも沿った、不可欠なアプリケーションセキュリティ機能を提供できると確信しました。

当然ながら、テクノロジー企業を買収することで得られるのは、テクノロジーだけではありません。Probelyのテクノロジーが現在そして将来にもたらす価値に感銘を受けたのはもちろん、Probelyのチームにも同じように期待を寄せており、Snykファミリーに加わることを心から歓迎します。Probelyの創業者2人は、開発者としてセキュリティツールを実務で使ってきた経験があります。その経験から、開発者を第一に考えた動的テストソリューションが生まれました。アプリケーションセキュリティは開発者とセキュリティチームが協力する「チームスポーツ」だと理解し、自らセキュリティチームを運営する際に使いたいと思える製品を目指して開発しました。 

アプリケーションリスク管理への次の一歩

DASTおよびAPI市場の可能性を評価するうえで、もう一つ重要だったのは、当社のミッションや今後の注力分野との長期的な適合性です。お客様との対話を通じて、SAST/SCAと同様に、DASTで発見される問題も最終的には開発者が修正し、セキュリティチームがポリシーや、広がりつつあるリスクベースのアプローチを通じて管理することが明らかになりました。また、APIセキュリティはまさにアプリケーションセキュリティの領域です。こうした状況を踏まえると、重要性が急速に高まるこれらの領域を可視化し、カバーせずに、「組織が迅速に開発し、安全性を維持できるようにする」というミッションを達成できるとは言えません。 

ご存じの方も多いと思いますが、昨年、Snyk Platformの一環として、アプリケーションごとのリスクベースの優先順位付けを推進するASPM機能をリリースしました。この新しいサービスと、アプリケーション資産全体の可視性やセキュリティカバレッジを統合して提供する機能は、大きな反響を呼んでいます。Probelyの検出とカバレッジ機能は、この進化にぴったり合致します。AppSecでは、シングルページアプリケーション、API、Webドメインなど、DASTの対象となるアプリケーション資産を可視化する必要があるからです。AppSecチームは、SASTやSCAを使ったデプロイ前と同じように、どの資産が存在するかを把握し、本番環境にある資産のリスクを評価・監視したいと考えています。

この買収によって、当社のポートフォリオは外部攻撃対象領域管理（EASM）にも広がりました。AppSecプログラムの基本は、自社の攻撃対象領域がどのような状態かを明確に把握することです。しかし、言うほど簡単ではありません。今年初めにDiscoveryをリリースしたことで、Probelyは組織がAPIやWebアプリケーションの一覧を検出、管理、優先順位付けし、外部攻撃対象領域の全体像を把握できるよう支援します。Discoveryは、お客様のインフラ全体で稼働するサービスやアプリケーションを自動かつ非侵襲的に検出します。  

その幅広い機能と、深刻化する課題への注力を踏まえ、ProbelyのテクノロジーをSnyk Platformに段階的に統合していくことで、お客様に大きな価値を提供できると考えています。業界最高水準の優先順位付けを実現し、包括的なアプリケーションリスク管理を可能にするという目標に向けて取り組んでいきます。 

Snyk + Probely = すぐに得られる価値、そして続く進化

本日は、新たな一連の機能をポートフォリオに統合する取り組みの初日です。皆様に計画をお伝えできることを、とても楽しみにしています。現時点ですでに大きな相乗効果があり、今後さらに拡大していくでしょう。DASTをSnykの活用に取り入れることで、AppSecプログラムにすぐに価値と効果をもたらす方法をご紹介し、皆様とともに検討できることを楽しみにしています。

Snykにとってのこの新たな一歩について詳しく知りたい方は、ぜひ12月9日午前11時30分（米国東部時間）開催のウェビナーにご登録ください。私が司会を務め、Probelyの前CEOであるNuno Loureiroを迎えます。APIセキュリティテストの重要性が高まっていることについてお客様が語っている内容、「モダン」で真に「開発者第一」のDASTを構築するとはどういうことか、さらにWebアプリケーション/APIセキュリティをめぐる課題の拡大と、リスクベースの優先順位付けがもたらす可能性との関連について詳しくお話しします。