開発者ファーストのクラウドセキュリティの未来を築くため、FugueをSnykファミリーに迎えます

本日、SnykによるFugueの買収を発表し、FugueのチームをSnykファミリーに迎えられることをうれしく思います。FugueがSnykのプラットフォームに加わることで、開発者が作成するアプリケーションのセキュリティ問題を発見して修正できるよう支援するという私たちのミッションをさらに推進できます。アプリケーションと、それらが利用するクラウドサービスのセキュリティを可視化できるからです。しかし、これは単にクラウドのセキュリティ態勢を可視化するだけではありません。クラウドにデプロイされたアプリケーションの状態を新たに把握することで、脆弱性や構成上の問題に関する、より詳細なコンテキストを提供できます。本番環境の状態を可視化し、そのコンテキストを活用して脆弱性の優先順位を付けるとともに、アプリケーションとその構成が意図した状態から乖離しないようにできます。

コードからクラウドへ、そしてコードへ

Snykは、開発ライフサイクルの早い段階、デプロイ前から、何百万人もの開発者がコード、コンテナ、構成を保護できるよう支援してきました。現代のDevOpsチームでは、アプリケーションがデプロイされた後も、開発者のセキュリティにおける役割は終わりません。開発者は、コードの実行中も継続して、そのセキュリティとパフォーマンスに責任を負います。また、アプリケーションが利用するクラウドインフラの管理も担います。クラウドインフラは、Infrastructure as Code（IaC）として管理するのが理想的です。コードを起点にクラウドを可視化し、その情報を再びコードにフィードバックするクラウドセキュリティソリューションによって、開発者はセキュリティのオーナーシップを持てるようになります。

インフラの状態に関する情報を提供するクラウドセキュリティ態勢管理（CSPM）ツールは数多くありますが、セキュリティチームや運用チーム向けに構築されています。その多くはIaCとの連携がなく、インフラ上で実行されるアプリケーションの詳細も把握できません。しかし、インフラはアプリケーションを支えるために構築されるものです。したがって、インフラの問題は、アプリケーションを壊さず、またIaCにおける「信頼できる唯一の情報源」であるインフラ定義から乖離させない方法で修正する必要があります。SnykとFugueは、これらの課題を解決します。

クラウドをデータセンターとして捉える人は多くいますが、実際にはクラウドはソフトウェアであり、その運用はますますコードによって支えられています。Fugueはこの考え方に基づき、クラウドへのデプロイをコードとして捉え、自動化されたインフラのセキュリティ確保に最適化したプラットフォームを構築してきました。Fugueはクラウドのセキュリティ態勢を構成コードに結び付け、ライフサイクル全体を通じてセキュリティとコンプライアンスを管理するための共通ポリシーを提供します。デプロイ前にコードを保護し、実行中のセキュリティを維持し、開発者が保守するコードに修正を反映する。このフィードバックループは、SnykとFugueが共有するビジョンです。両社が一つになることで、この計画をはるかに早く実現できます。

Fugueを選んだ理由

Fugueのチームとの話し合いを始めてすぐに、インフラはコードで定義し、開発者が管理・保護すべきだという基本理念を共有していることがわかりました。また、現在のCSPMツールには、可視性とフィードバックという重要な要素が欠けている点でも意見が一致しました。2018年には、Fugueのチームが次のように記しています。

ほとんどの[企業]は何らかのクラウド監視ツールを利用していますが、重大な設定ミスの特定と修正には手作業に過度に依存しています……インフラチームと開発チームは迅速に動く必要があり、セキュリティチームとコンプライアンスチームは、そのスピードを支援する必要があります。

SnykとFugueは、開発者がアプリケーションの問題を発見し、優先順位を付けて修正できるよう支援するという信念とビジョンを共有しています。対象には、アプリケーションが依存する構成やインフラも含まれます。

また、OPAや、そのポリシー言語であるRegoのようなオープンなクラウドネイティブ技術を活用する考えも共有しています。実際、現在Fugueで使われているポリシーは、Snykでもすぐに利用できるようになります。さらに広い視点では、SnykとFugueのユーザーが、当社製品でしか使えない専用のポリシーエンジンや言語を新たに習得する必要がないということです。OPAはKubernetesをはじめ、ますます多くのクラウドネイティブ技術で幅広く使われています。その結果、開発者とセキュリティチームの生産性が向上し、すべての人にとってメリットとなります。

開発者ファーストのクラウドセキュリティに向けたビジョン

開発者によるクラウド上のアプリケーション保護を支援するための第一歩として、IaCとクラウドセキュリティの両方のソリューションを支える統合ポリシーエンジンを構築します。開発者とクラウドセキュリティチームが連携して、コードとクラウドの設定ミスを修正し、両者の乖離を管理できる、最高水準のPolicy as Codeエンジンを提供します。

設定ミスを防ぐだけでなく、開発者がアプリケーションの実行状況を把握できるようになり、高度な悪用可能性分析も提供できます。これは非常に重要です。コード内のクラウド定義だけをスキャンしても、稼働環境全体を把握して初めて明らかになる重要なコンテキストを見落とすからです。一方、従来のCSPMツールのように稼働中のクラウド環境だけを把握しても、コードレベルの詳細、つまりアプリケーションとその依存関係に存在する脆弱性を見落とします。こうした脆弱性は、外部に公開されることでリスクがさらに高まります。両方の課題を解決するには、アプリケーションコード、コンテナ、構成を含むフィードバックループが必要です。現在の実行状態を可視化し、その情報をコードや、開発者が問題を修正するために使うツールにフィードバックします。

現在のFugueユーザーとお客様への影響は？

現在Fugueをご利用のお客様には、当面の間、引き続きFugueをご利用いただけます。Fugueの機能をSnykプラットフォームに取り込む作業を進めており、その過程でロードマップや計画をお伝えできることを楽しみにしています。

現在のSnyk IaCユーザーとお客様への影響は？

Snyk IaCをご利用のお客様には、FugueのIaC製品との統合と、すでに計画していたロードマップの加速を通じて、既存製品の機能を今後も拡充・強化していきます。FugueとSnyk IaCの構成ポリシーおよびクラウドポリシーを統合し、近日中に新しいルールを利用できるようにするとともに、Snyk IaCの開発を継続します。CloudSkiffの買収後、ドリフト検出機能の開発を進めてきましたが、当時お約束したとおり、これらの機能はSnyk IaCに追加されます。今年のIaC向けロードマップには、ほかにも楽しみな機能が控えています。Fugueが提供するクラウドのコンテキストを活用することで、ローカル開発時のクラウドに関するインサイトの利用や、セキュリティ問題の優先順位付けが可能になり、開発者体験を大幅に向上できます。