2022年、Snykは開発者ファーストのソリューションでクラウドセキュリティを変革
Lauren Place
2023年1月11日
0 分で読めますSnyk Cloudの最新情報
この記事は、Snyk CloudがSnyk IaCに名称変更されたことを反映して更新されました。クラウド関連の機能はすべて、Snyk IaCまたはより広範なSnykプラットフォーム全体に含まれています。
Snykは、開発ライフサイクルの早い段階で開発者がコードの脆弱性を見つけて修正できるよう支援する、開発者ファーストのアプリケーションセキュリティの先駆者として知られています。コードを書き始めた瞬間からセキュリティチェックを実施できるようにすることで、セキュリティチームと開発チームの間にあるツール、人、プロセスのサイロを解消し、AppSec市場に変革をもたらしました。これは、多くのセキュリティツールが採用している「デプロイ、検知、対応」モデルとは異なるアプローチです。
そして、クラウドセキュリティにも、こうした課題の多いパラダイムが依然として存在することに気づきました。現在の世代のクラウドセキュリティツールはITセキュリティチーム向けに作られており、IT部門が所有するワークロードやインフラストラクチャに対して、従来と同じ「デプロイ、検知、そして対応」というモデルを採用しています。Infrastructure as Code（IaC）、アプリケーション、クラウドのセキュリティツールはサイロ化しています。こうしたクラウドセキュリティツールは、インフラストラクチャのライフサイクルのかなり後になってから問題を検知し、クラウド上の問題をコード（IaC）までたどる機能も備えていないため、修正が遅れ、開発者の不満が高まっています。
Snykでは、現代のカスタム開発アプリの多くにとって、クラウドはアプリに統合されたプラットフォームサービスを制御するコードとして扱うべきであり、開発者主導のセキュリティが最適だと考えています。つまり、本番環境に移行する前にプログラム可能なインフラストラクチャ（IaCとコンテナ）を保護し、デプロイ済みのクラウド環境のコンテキストを活用して、IaCでクラウドの問題を修正できるようにすることで、開発者が大規模な修正を推進できるよう支援します。
2022年にはFugueの買収を完了し、新たなチームメンバーとテクノロジーを活用して、Snyk IaCの機能強化を進めました。Snykは、インフラストラクチャがコードで定義された時点からクラウド上でリソースが稼働するまで、クラウドインフラストラクチャの脆弱性を見つけて修正する、開発者ファーストかつアプリケーション中心のアプローチを採用しています。この1年にリリースした注目の機能を振り返りましょう。
ソースからクラウドインフラストラクチャを保護
コード（IaC）を通じて開発者がクラウドを事前に保護できるようにすることは、Snykのクラウドセキュリティビジョンの重要な要素です。その実現には、コードを書き始める最初の時点、つまりIDEからIaCを保護する必要がありました。
2022年には、Snyk VS Code拡張機能、Jetbrains、EclipseプラグインでIaCセキュリティチェックをサポートしました。これにより、開発者は選択したIDEから直接、コード、オープンソース依存関係、IaC構成を保護するための、迅速で無料の実用的なフィードバックを得られます。Snyk IDE拡張機能は、Terraform、CloudFormation、ARMテンプレート、Kubernetesなど、Snyk IaCのすべての形式に対応しています。
また、SDLCのより早い段階で開発者がインフラストラクチャを保護できるよう支援するというミッションの一環として、Terraform CloudおよびEnterpriseとのインテグレーションを導入しました。Terraformの実行タスクを使って、IaCセキュリティチェックと適用を自動化できます。
コードからクラウドまで、SDLC全体でセキュリティを統合
これまで、多くの組織ではクラウド、アプリケーション、IaCの保護に別々のツールやプロセスを使ってきました。その結果、開発者やセキュリティチームは、結果の不一致、管理に伴う手戻り、ソフトウェア開発ライフサイクル（SDLC）全体のセキュリティ態勢を一貫して把握できないといった課題に直面しています。
Snyk IaCは、IaCとクラウドのワークフロー全体を対象とする統合ポリシーエンジンを搭載しています。セキュリティエンジニアはSnykのセキュリティルールを一度適用するだけで、あらゆる場所で徹底できます。Snykの統合ポリシーエンジンはOpen Policy Agent（OPA）を基盤としており、ローカル開発時のCLI／IDE、Gitリポジトリの自動スキャン、CI/CDでのテストとゲーティング、稼働中のクラウド環境のチェックなど、あらゆるテスト段階でIaCとクラウド構成を一貫してチェックします。クラウド環境では、UIとAPIからすばやく簡単にエージェントレスでAWSにオンボーディングでき、Google Cloud環境にも対応しています。Azureは翌年に対応予定です。
Snyk IaCでは、問題、リソース、環境を一貫した統合インターフェースで確認できます。さらに、詳細なフィルターを使えば、特定の本番環境に絞り込んだり、重要度がcritical_and _highの問題のみを表示したりして、優先すべき修正や開発作業を特定できます。
クラウドのコンテキストをコードに戻し、開発者に役立てる
クラウドの可視性はクラウドセキュリティの重要な要素ですが、最終的なセキュリティはコードに施した修正によって決まります。そのため2022年は、クラウドのコンテキストをコードに戻し、開発者がクラウドの問題を把握して優先順位を付けられるよう取り組みました。
2022年5月、Snyk IaCのドリフト検知機能を発表し、開発者がクラウド環境の構成ドリフトを特定できるようになりました。Snyk IaCはCLIを活用し、読み取り専用の権限でIaCに定義された内容とクラウド上のリソース構成を比較します。Snykは次の情報をレポートします。
構成ドリフト：IaCを使って設定・デプロイされたものの、意図した状態から逸脱したクラウドリソース（悪意のあるユーザーや、直接変更できるアクセス権を持つ人による変更など）
未管理リソース：コードで定義されていないため、開発プロセス中に同じレベルのセキュリティフィードバックを受けていないクラウドリソース。
クラウド環境におけるIaCカバレッジ率：IaCで管理され（そのためセキュリティおよびコンプライアンス基準が適用され）ているリソースの割合
従来のSASTやIaC向け静的解析ツールは大量の誤検知を生み、セキュリティチームとプラットフォーム開発チームの双方でアラート疲れを引き起こします。2022年11月には、IaCの問題における誤検知を減らすため、IaCの問題にクラウドコンテキストを追加しました。
クラウドとコードをつなぐことで、Snykの統合ポリシーエンジンは、クラウドアカウントの設定によってすでに緩和されているIaCの設定ミスを認識し、自動的に抑制します。たとえば、「一般公開されているS3バケット」の問題が検出されても、デプロイ先のAWSクラウドアカウント設定でパブリックアクセスが制限されている場合、Snykはこのクラウドコンテキストを認識し、誤検知を防ぐためにIaCの問題を自動的に抑制します。
2023年に向けて
今年は、開発者主導のクラウドセキュリティというビジョンの実現を進めるうえで、非常に大きな節目となりました。TealiumやGlobal Givingなどのお客様から、多くのご支援と好意的なフィードバックをいただきました。将来のSnyk Platformでは、SDLC全体を通じてアプリケーション、インフラストラクチャ、稼働中のクラウドを完全に可視化し、クラウドにおける最もリスクの高い箇所から脆弱性を特定して、適切な開発チームがコードで修正できるよう、単一のプラットフォームで実現します。
2023年前半には、クラウドの問題を原因となったコード資産に結び付ける機能を強化し、IaCでクラウドセキュリティの問題を直接修正できるようにするとともに、ドリフト検知レポートを拡充する予定です。
セキュリティチームを支援するセキュリティおよびコンプライアンス態勢のビューとレポート、さらにカスタムルールを使ってSDLC全体にセキュリティポリシーを適用する機能も、引き続き開発していきます。
Infrastructure as Codeについては、ルールセットとエンジンのフィルタリング機能を引き続き強化し、Terraformのワークフローへの対応拡大、新しいIaC形式への対応、クラウドコンテキストを認識する問題検知を進めます。これにより誤検知を減らし、重要なアラートに開発時間を集中できるようにします。
Snykにご関心をお寄せいただきありがとうございます。皆さま、どうぞよい新年をお迎えください。
