Snykの脆弱性をCortexのサービスに簡単にマッピング

著者

Cristina Buenahora Bustamante

2021年6月14日

0 分で読めます

Snykは開発者ファーストのクラウドネイティブなセキュリティプラットフォームです。コード、依存関係、コンテナ、Infrastructure as Codeをスキャンして脆弱性を検出します。Snykはコードベースの脆弱性を効果的に可視化しますが、それらの問題を実際のサービスやその担当者にひも付けるのは難しいことがあります。幸い、Snykの堅牢なAPIを活用すれば、エンジニアリングチームがサービス指向アーキテクチャを理解し、改善するためのソリューションと連携するようSnykを調整できます。

Cortexはそのようなツールの1つです。依存関係とともに社内サービスを自動でカタログ化し、Snykなどのサードパーティ製ツールとも連携して、アーキテクチャ全体を一元的に把握できる画面を提供します。CortexとSnykを連携することで、企業はマイクロサービスアーキテクチャ全体を把握できるだけでなく、その全体に存在するセキュリティ脆弱性も確認できます。

Cortexは、次の機能によってSnykプラットフォームを強化します。

脆弱性を既存のマイクロサービスに自動でマッピング
Snykの脆弱性をサービスのタイムラインに集約し、オンコールインシデントなど、サービスに関する他の重要な指標と合わせて確認
スコアカードを使って、Snykのデータを他のインテグレーションのデータと併せて評価し、サービス品質を測定・改善

脆弱性をサービスにマッピング

仕組み

CortexでSnykを設定したら、SnykのレポートAPIを呼び出して、そのサービスの最新の問題を取得します。取得した問題は、他のサービス情報も確認できるサービスのSnykタブに表示されます。さらにフィルターを適用すれば、必要な情報をすばやく見つけられます。

複数のプロジェクトにおける修正可能な重大度の高い問題を絞り込んで表示したSnykのインテグレーションダッシュボード

なぜ重要なのか

エンジニアは、サービスに存在するSnykの問題をすばやく確認し、重大な問題の修正を優先できます。

サービスのタイムラインに表示されるSnykの情報

各サービスのSnykの問題だけでなく、Kubernetesの変更、Gitコミット、デプロイ、オンコールインシデントなど、サービスに関する他のイベントと並べて、1つのタイムラインで確認できます。問題の根本原因をすばやく特定する必要があるインシデント発生時に、特に役立ちます。

日付フィルター、イベントタイプのチェックボックス、脆弱性の項目、GitHubのコミットアクティビティを表示するタイムラインインターフェース

スコアカードとの連携

各サービスのSnykデータを利用して、スコアカードを作成できます。スコアカードでは、一連のサービスに適用するベストプラクティスを定義し、各サービスがルールを満たしているかを評価できます。Snykとの連携により、次の項目を確認できます。

サービスにSnykプロジェクトが設定されているか（リポジトリ名から自動検出を試みます）
無視済み・修正済みを除くすべての問題の数
重要度や修正可能かどうかで任意に絞り込んだ、すべての問題の数

2つのSnyk条件を表示するルールパネル：snyk != null、および重大度が高く修正可能な問題が5件以下。

これらのルールを他のルールと組み合わせて、サービスの運用準備状況を測定できます。このようなスコアカードを使えば、サービスを本番環境にデプロイできる状態かどうかを判断できます。手順書、ダッシュボード、ログ、オンコールのエスカレーションポリシー、責任者がそろっていること、そして脆弱性がないことを確認できます。

owners.count > 2 - サービスの担当者が定義されているため、インシデント発生時に責任を持つチームが明確です。
oncall escalations count > 1 - エスカレーションポリシーに少なくとも2段階の連絡先が設定されているため、最初のオンコール担当者が応答しない場合に備えてバックアップがあります。
runbooks count >= 1 - サービスの手順書が整備されています。これにより、事前準備を大切にする文化が生まれます。
number of links (type = logs) > 1 - インシデント発生時に、対応者が適切なログ（通常はロードバランサーのログとアプリケーションログ）をすぐに見つけられます。
dashboards count >= 1 - サービス用の標準Grafanaダッシュボードが定義されています。
Compare custom data to boolean: "pre-prod-enabled" = true - 非同期プロセスを使って、サービスの稼働中の本番前環境の有無を確認し、カスタムメタデータAPI経由でCortexにtrue/falseフラグを送信します。
Snyk issues with HIGH severity = 0 - セキュリティ脆弱性がある状態で、本番サービスがデプロイされないようにします。

このようなスコアカードを設定すると、これらのルールに基づいて評価されたサービスが、順位順に一覧表示されます。

利用を開始する

利用開始は簡単です。設定ページで組織IDとAPIキーを追加するだけです。設定すると、サービスカタログで各サービスを、リポジトリに関連付けられたSnykプロジェクトにマッピングします。

その後、スコアカードに移動して、上記のルールをいくつか追加できます。これで、コードベースで見つかった脆弱性をもとに、サービスの品質を評価できるようになります。このインテグレーションの設定について質問がある場合やサポートが必要な場合は、team@getcortexapp.comまでメールでお問い合わせください。

Cortexの創業エンジニアであるCristina Buenahora Bustamante