Snyk for Serverlessのご紹介

サーバーレス関数を保護するSnykの新しいソリューションを発表できることを嬉しく思います。サーバーレスベースのアプリケーションに簡単に統合でき、保護します。初回リリースでは、AWS LambdaとHerokuの両方との緊密なインテグレーションを実現しました。今後数か月以内に各プラットフォームと直接連携できるよう、GoogleやRed Hatなどとも緊密に取り組んでいます。

サーバーレスのセキュリティ対策はなぜ異なるのか

サーバーレス（FaaS）やPaaSのアプローチは、開発者の生産性を大きく高めます。インフラに関する課題を専門チームに任せることで、開発者は中核製品に直接貢献するコードの開発に、より多くの時間を割けるようになります。その結果、こうしたインフラに関するセキュリティ上の懸念の多くがプラットフォーム側に移り、パッチ未適用のサーバーや侵害されたサーバーなどのリスクを大幅に軽減できます。

しかし、こうした攻撃経路が使えなくなると、攻撃者は次に侵入しやすい経路、つまり脆弱なアプリケーション依存関係に狙いを定めます。npm、Maven、PyPIなどのリポジトリから取得されるこれらのオープンソースパッケージは、私たちがよくパッチを適用するバイナリと同じくらい広く使われ、同じように脆弱性を抱えています。FaaSやPaaSのプラットフォームはサーバーの依存関係を管理・保護しますが、アプリに取り込まれた脆弱なパッケージまでは管理も保護もしません。

Snykはこのギャップを埋めるため、関数やアプリに隠れている依存関係を継続的に監視し、脆弱性（ライセンスの問題にも近日対応予定）を検出します。

サーバーレスのプラクティスやツールに関心がある方は、こちらのサーバーレスセキュリティのベストプラクティス10選のチートシートもぜひご覧ください。

サーバーレスアプリケーションを保護する

新しいサーバーレス対応機能では、AWS LambdaまたはHerokuにデプロイしたコードを監視し、既知の脆弱な依存関係がないか確認できます。対応プラットフォームは近日中に追加予定です。各プラットフォームでコードをデプロイしたら、該当するAPIキーを入力し、継続的に監視する関数やアプリケーションを選択できます。

SnykはAPIを使ってプラットフォームと直接通信し、各関数やアプリで現在デプロイされている依存関係を特定したうえで、既知の脆弱性がないか脆弱性データベースと照合します。すべての脆弱性の詳細なレポートと、修正方法に関するガイダンスを提供します。

各関数をどの頻度でテストし、新たに公表された影響のある脆弱性を確認するかも設定できます。脆弱性が見つかると、メールとSlackで通知され、すぐに対応できます。

ソースコードの監視だけで十分では？

当然ながら、デプロイされたコードはもともとソースコードです。そのため、開発プロセスの一環として脆弱な依存関係に対処することは、そもそも脆弱性をデプロイしてしまう可能性を減らす優れた方法です。また、開発中に問題を見つければ、より簡単に修正できます。

しかし、ソースコードを保護するだけでは不十分です。ソースコードからデプロイ済みコードに至るまでの道筋は常に直線的とは限らず、ソースコードの脆弱性がどの関数やアプリに影響するのか把握しにくい場合があります。また、デプロイ済みコードは常にソースコードより遅れており、開発中のコードで依存関係が更新または修正された後も、古い（潜在的に脆弱な）依存関係を使い続けていることがよくあります。

デプロイ済みコードの脆弱性を追跡することが、リスクを把握し管理する最善の方法です。開発プロセスでこうした脆弱性に対処すれば、問題をすばやく修正できるだけでなく、未然に防ぐこともできます。Snykを使えば、ライフサイクル全体を通じてコードを保護できます。ぜひご活用ください。

サーバーレス対応プラットフォームを今後さらに拡大

サーバーレスは開発者の生産性を大きく高めますが、それに合わせてセキュリティ対策も変える必要があります。Snykがサーバーレスアプリケーションに対応したことで、安全性を維持するのがさらに簡単になりました。今すぐLambdaとHerokuのアプリを保護しましょう！

AWS LambdaとHerokuへの対応とともにリリースできることを大変嬉しく思います。もちろん、今後さらに多くのプラットフォームに対応する予定です。先ほどお伝えしたとおり、今後数か月以内に各プラットフォームと直接連携できるよう、GoogleやRed Hatなどと緊密に取り組んでいます。デプロイ先を問わず、コードを簡単かつ継続的に監視できるようにしたいと考えています。

初回リリースに含まれていないプラットフォームをお使いの場合は、ぜひお知らせください。今後の対応予定を随時ご案内します。また、ご希望であれば、関連するベータプログラムへのご参加についてもご連絡します。