Skyscanner、プロジェクトを修正し、オープンソースの脆弱性リスクを可視化

「Snykは、Skyscannerで使用している最も重要なセキュリティツールの一つです。実際に連携すれば、その重要性がわかるでしょう。」

Alex Harriss、Skyscanner セキュリティエンジニア

主な成果

• Skyscannerの法務チームは、ライセンスのコンプライアンスを監視できるようになりました。

• Skyscannerのセキュリティエンジニアリングチームは、開発チームがオープンソースの依存関係のセキュリティに責任を持てるよう支援しました。

• Skyscannerの開発チームは、Snykの「修正用マージリクエスト」を活用して脆弱性の修正に優先順位を付け、セキュリティリスクを低減できるようになりました。

• Skyscannerは、Snykの導入から数日以内に、複数のプロジェクトに影響する問題を修正できました。

課題

Skyscannerと同じ状況にあるチームは少なくないでしょう。大量のトラフィックを処理するウェブサイトやアプリを提供し、迅速かつ大規模に開発を進める一方で、プラットフォームのセキュリティも維持しなければなりません。

Snykを導入したことで、Skyscannerは各プロジェクトで直接または間接的に使用している依存関係を一元的に可視化できました。セキュリティチームは、リスクのある箇所をできるだけ効率よく特定したいと考えていました。それまでは、どのプロジェクトがどの依存関係を使用しているかを調べるための一元管理された一覧がなかったのです。現状を可視化して把握できていなかったため、Skyscannerの開発チームは、オープンソースの脆弱性リスクを効果的に減らすための取り組みに、思うように集中できませんでした。

Skyscannerの法務チームは、プロジェクト内の依存関係で使用されているライセンスの追跡にも大きな課題を抱えていました。Skyscannerをはじめ多くの企業にとって、製品全体で使われているライセンスを詳細に把握することは重要です。これにより、依存関係が適切にライセンスされていることを確認できるだけでなく、用途に合う場合には、過度に制限的な一律のポリシーに頼らず、より「寛容性の低い」ライセンスのソフトウェアを活用する余地も広がります。

Snykによる支援

Skyscannerは、自社の開発環境や手法に適合するツールを探していました。複数の選択肢を評価した結果、開発者の主体性を重視する自社の方針に合うのはSnykだけだと判断しました。

「多層的なアプローチができる点が気に入りました。Snykは、Skyscannerでのセキュリティの進め方にうまく合っています。セキュリティチームが門番となって、コードのすべての行をレビューし、すべてに承認を出すのではなく、開発者が自ら対応できるようにします。GitLabのソースコード管理にSnykを組み込み、コミット時にスキャンしたり、CIに組み込んでビルド時に問題を検出したりできます。開発者には、希望に応じてSnykポータルへのアクセス権を付与できます。この多層的なアプローチにより、エンジニアリングチームは必要に応じてSnykを活用でき、私たち［セキュリティチーム］も、プロセスのどこかの段階で脆弱性を検出できるとわかります。」

Alex Harriss、Skyscanner セキュリティエンジニア

「最優先で導入するツールは何かと考えているなら、依存関係の脆弱性スキャナーはリストの上位に入るはずです。使い始めれば、どれほどのリスクにさらされているかがわかり、対処が必要だと実感するでしょう。」

Alex Harriss、Skyscanner セキュリティエンジニア

Snyk Vulnerability Databaseでは、依存関係のどのバージョンに脆弱性があるか、そしてその修正方法を正確に確認できます。GitLabとの連携やマージリクエストの作成など、Snykの修正ツールを活用することで、Skyscannerの開発者はアップグレードやSnykのパッチを適用し、コードベースの脆弱性修正に取り組めるようになりました。

導入の成果

Skyscannerは現在、Snykを使って約500件のプロジェクトを監視し、セキュリティ状況を把握するとともに、脆弱性とライセンスの問題に対処しています。

導入後まもなく、Skyscannerは、ベースプロジェクトのテンプレートの一つで使用されていたQSの重大な脆弱性についてアラートを受け取りました。ベースプロジェクトのテンプレートには複数のライブラリが含まれており、多くのプロジェクトの基盤となっています。SkyscannerはSnykのパッチを使って、すべてのプロジェクトにわたって脆弱性を修正できました。その効果は大きく、このベーステンプレートを使用する数百のプロジェクトが保護され、セキュリティリスクが大幅に低減しました。

SkyscannerがSnykを信頼する3つの理由

「GitLabで脆弱性の修正をマージするまで、わずか2クリック。本番環境を安全に保てます」

「開発者は、既存のツールとの連携を気に入っています」

「SDLCの複数の段階に簡単に組み込めるので、確実に保護されているとわかります」

Skyscannerについて

2003年に創業したSkyscannerは、世界をリードする旅行検索サイトです。数百万件の旅行プランから最適な価格を見つけ、直接予約できるサービスを通じて、人々の旅の計画を後押ししています。毎月7,000万人がこの旅行検索エンジンを利用しています。従業員数は900人を超え、バルセロナ、北京、ブダペスト、エディンバラ、グラスゴー、ロンドン、マイアミ、深セン、シンガポール、ソフィアにオフィスを構えています。SkyscannerはCtripグループの一員です。