Terraform Cloudのワークフローに開発者ファーストのセキュリティを導入

HashiCorp Terraform、Docker、Kubernetesなどのテクノロジーが普及するなか、開発者はアプリケーションの構築に加えて、より多くの構成ファイルを作成・保守するようになっています。Infrastructure as Codeの利用拡大に伴い、セキュリティは複雑化し、リスクも高まっています。ワークロードが増え、より高度なスキルが必要になるにつれて、開発者がこうした課題に苦慮することも少なくありません。

HashiCorpとの新たなパートナーシップと、開発者がInfrastructure as Codeの提供時に直面する重大な構成セキュリティの課題を解決するための、HashiCorp Terraform Cloud向けSnykインテグレーションを発表できることを嬉しく思います。Terraform Cloudを使えば、組織はInfrastructure as Codeに関するコラボレーションを強化できます。Terraform Cloudのユーザーは、run tasksと呼ばれる機能を使って、Terraformのワークフローにサードパーティ製ツールを統合できるようになりました。Snyk Infrastructure as Code（Snyk IaC）は、このワークフローに対応する初のインテグレーションの一つです。コード内の構成上の問題を直接検出し、インフラストラクチャのデプロイに伴うリスクを低減します。招待制ベータ版として提供されるこの機能を利用するには、こちらからTerraform Cloudベータ版へのアクセスをお申し込みください。https://hashi.co/tfc-beta

Terraformでインフラストラクチャを安全にプロビジョニングするのは容易ではありません。最近発表されたクラウドネイティブアプリケーションセキュリティの現状レポートで、Snykの調査により、回答者の半数以上がクラウドネイティブアプリケーションで設定ミス、または既知の未修正脆弱性を経験していることがわかりました。また、別の業界レポートでは、設定ミスがセキュリティ侵害につながるエラーの第1位になったことが報告されています。構成ファイルが適切に扱われなければ、セキュリティ上の問題を引き起こす可能性があることは明らかです。

解決策は、ソフトウェア開発ライフサイクルの早い段階で即座にフィードバックを提供する、開発者のためのインフラストラクチャセキュリティです。

「設定ミスと既知の脆弱性が最大の懸念事項であり、インシデントの主な原因となっている今、開発チームがセキュリティ作業にどのような優先順位をつけるべきかを見直す必要があります。Terraform Cloud向けSnyk IaCを使えば、開発者は開発ライフサイクルの初期段階で、設定ミスをすばやく簡単に解消できます」と、Snykのグローバルテクニカルアライアンス担当シニアディレクター、Jill Wilkinsは述べています。

HashiCorpユーザーに開発者ファーストのセキュリティを提供

HashiCorp Terraform OSSは、何百ものクラウドサービスを管理するための、一貫したCLIワークフローを提供するオープンソースのInfrastructure as Codeツールです。Terraformは、さまざまなプラットフォームや製品にわたってインフラストラクチャをプロビジョニングおよび管理できる、自動化ツールです。HashiCorp Terraformの幅広いプロバイダーエコシステムにより、1,000を超える製品やツールと連携できます。HashiCorpのTerraform Cloudは、Terraformをマネージドサービスとして提供するもので、実務担当者、チーム、グローバル企業がインフラストラクチャを構築・共同管理し、セキュリティ、コンプライアンス、運用上の制約に関するリスクを管理するために必要な機能を備えています。

HashiCorpはSnykと提携し、開発の早い段階で脆弱性に対処する、Snykならではの開発者ファーストのセキュリティをInfrastructure as Codeに取り入れます。この新たなパートナーシップにより、組織はIaCを導入し、設定ミスを解消しやすくなります。

新しいSnykインテグレーションは、terraform planの段階でSnyk IaCによる概要レベルの構成修正案とセキュリティに関するアドバイスを提供し、コードレビューに提出する前に潜在的にリスクのある構成を検出します。

これにより、開発者は本番環境にデプロイする前に問題を修正できます。Terraform CloudのUIに表示される設定ミスについて、より詳しいIaCセキュリティの分析情報や背景を確認するには、Snykに移動し、安全でない構成をすばやく修正してコーディングを続けられます。Snykは問題を把握できるようにするだけでなく、修正方法に関する背景情報やアドバイスを提供し、開発者が実際に対処できるよう支援します。

「テクノロジーパートナーとしてSnykを迎えられることを嬉しく思います」と、HashiCorpのアライアンス担当シニアディレクター、Asvin Rameshは述べています。「Snykは、Terraformを利用する組織が開発チーム全体でアプリケーションとインフラストラクチャの仕様の安全性を事前に確保できる、シンプルで無料の方法を提供します。」

SnykとTerraform Cloudのインテグレーションに関するSnykのドキュメントはこちらをご覧ください。

SnykのIaCセキュリティについて詳しくは、以下のリソースをご覧ください。

• Snyk Infrastructure as Codeのすべての構成上の問題を確認してレポートする

• Snyk IaCスキャンの機能強化：AzureとAWSのInfrastructure as Codeに対応

• Infrastructure as Codeツールを安全に保つには？

• Snyk IaC

Terraformファイルの構成上の問題を可視化するだけでなく、無料のSnyk IaCアカウントを使えば、コード、オープンソース、コンテナに潜む脆弱性を自動で検出、修正、監視できます。これにより、開発者はアプリケーションセキュリティを包括的に把握できます。

利用を開始するには、無料のSnykアカウントを作成し、リポジトリからプロジェクトを作成する手順に従ってください。数分で、検出された問題に対する実行可能な修正案を確認できます。Terraform CloudでSnykを利用するには、HashiCorpの営業チームにお問い合わせください。