SnykLaunch 2023年4月：C/C++への対応、クラウドとIaCのアップデート、コンテナセキュリティのカスタマイズ、新しいインテグレーションなど

今月、最新のSnykソリューションをご紹介する、最新のSnykLaunchを開催しました。すべてのリリースで重視しているのは、現代の開発手法に合わせてセキュリティを進化させることです。数年前と比べ、独立した開発チームの多くがより速いペースで開発を進める一方、ソフトウェアサプライチェーンははるかに複雑化し、コードの一部としてクラウドも含まれるようになりました。

今日の開発手法は大きく変化しているため、セキュリティチームは対応に苦慮することが少なくありません。開発やDevOpsを遅らせて、時代遅れのセキュリティ対策を実施することは、もはや選択肢ではありません。だからこそ、組織には、革新的 かつ 安全にアプリケーションを構築するための、開発者向けセキュリティが必要です。

最高製品責任者のManoj Nairとエンジニアリング担当シニアバイスプレジデントのPat Poelsが、開発者向けセキュリティに関するビジョンと、Snykの開発者向けセキュリティプラットフォームの基盤となる次の5つの原則について説明しました。

• ワークフローとの統合、組み込みの教育、オートメーションによって実現する、開発者の利用促進。

• 脆弱性の検出と修正を優先順位付け、検証、修正、自動化できる、修正を重視したアプローチ。

• 既存のセキュリティエコシステムとの広範なカバレッジ、ポリシー、インテグレーションによる、セキュリティの規模と深さ。

• コードからクラウドまでをコンテキストに基づいて360度見渡せる、アプリ全体のカバレッジ。

• マルチクラウドに対応する統合プラットフォームを信頼できる唯一の情報源とする、DevSecOpsの実現。

今回の新機能には、これらすべての原則が反映されています。それでは早速、SnykLaunch 2023年4月で登壇者が紹介した内容を見ていきましょう。

Snyk CodeとSnyk Open SourceでC/C++に対応

Snyk Codeのシニアプロダクトマネージャー、Roy Ramと、Snyk Open Sourceのシニアプロダクトマネージャー、Neha Shenoyが最初のプレゼンテーションを担当しました。Snykの新たな言語対応として、Snyk Code（自社開発コード向けスキャナー）とSnyk Open Source（サードパーティーコンポーネントを保護するツール）におけるC/C++対応を紹介しました。

約40年の歴史を持つエコシステムにセキュリティカバレッジを提供できることを、大変うれしく思います。開発者が使いやすい形でC/C++を保護するには、専門的なアプローチが必要です。その構造（あるいは構造の欠如）は、他の言語とは大きく異なります。同じ結果を実現するコードの書き方が数多くあるため、単純なパターンマッチングではセキュリティ上の問題を特定しにくくなります。また、C/C++は集中型のパッケージ管理が広く普及する前に成熟した言語であるため、使用中のオープンソースモジュールやライセンスの特定も困難です。

この複雑なエコシステムには、開発者のために構築された新しいセキュリティソリューションが必要です。しかし、開発者はC/C++を他の複数の言語と併用することが多いため、この言語だけを保護するソリューションでは不十分です。すべての言語に共通するのは、開発者向けに最適化されたアプリケーションセキュリティツールを使わないと、開発者の生産性とROIが低下し、リスクが高まり、最終的にはプロジェクトの状況を全体的に把握できなくなることです。

そこで、Snyk CodeのC/C++対応のオープンベータ版と、Snyk Open SourceのC/C++パッケージカバレッジおよびライセンスサポートの拡張を発表できることをうれしく思います。ユーザーは、他のエコシステム向けにSnykが提供しているものと同じSASTおよびSCAツールを利用できます。他のツールより最大100倍高速なスキャン、IDEから始まる開発者ツールへのシームレスな統合、高い精度、実行可能な結果を提供します。すべてC/C++エコシステムと連携するように特別に設計されています。

プレゼンテーションでは、Nehaが開発者向けのネイティブIDEで、自社開発コードやサードパーティーコンポーネントのC/C++脆弱性を直接見つけて修正する方法を実演しました。また、セキュリティチームがSnykのUIですべての脆弱性を確認する方法も紹介しました。

Snyk Cloud：IaCでクラウドの問題を修正

続いて、シニアソフトウェアエンジニアのAgata KrajewskaとプロダクトマーケティングディレクターのAnthony Larkinが、Snyk Cloudの新機能であるIaCでクラウドの問題を見つけて修正する機能を紹介しました。

クラウドアーキテクチャとセキュリティを別々のチームが担当しているケースはよくあり、連携が難しくなっています。問題が発生すると、セキュリティチームはどのエンジニアがクラウドのデプロイを担当したのかを手作業で特定しなければなりません。その後、エンジニアリングチームもクラウドセキュリティのアラートを実際の発生源まで手作業でたどる必要があり、時間とリソースが無駄になります。このプロセスが遅すぎると、多くのチームは「ClickOps」に頼り、本番環境でクラウドの問題を直接修正することで、構成ドリフトなど、さらに深刻な問題を引き起こしてしまいます。

Snyk Cloudの新機能を使えば、チームはクラウドの問題を発生源から直接修正できます。監査結果を示すのではなく、実行可能な修正策の提供を重視しています。この新機能により、セキュリティチームやクラウドアーキテクトは、IaCのソースコード内のどこを修正すべきかをすぐに確認できます。コードを書いたらすぐに、クラウドの問題を修正できるようになります。

新しい「IaCで問題を修正」機能のデモは、SnykLaunchプレゼンテーション全編でご覧いただけます。Agataによるデモをぜひご確認ください。

ソフトウェアサプライチェーンに合わせて厳選されたコンテナセキュリティワークフロー

Jamie Smith（プロダクトマーケティングディレクター）とHadar Mutai（シニアプロダクトマネージャー）が担当したSnykLaunchの次のセッションでは、Snyk Containerのワークフローオプションのアップデートを紹介しました。

今日のアプリケーションは、一から構築するというより、組み合わせて作られるものです。コンテナを利用する方にはおなじみの考え方でしょう。コンテナはゼロから作るのではなく、あらかじめ構築されたベースイメージの上に新しいコンテナを構築します。イメージを探す際に最もよく知られている出発点はDockerです。多くの組織は、ニーズに合わせてイメージを社内でさらに強化・カスタマイズし、その社内の「ゴールデン」イメージを基にアプリを構築しています。こうした厳選イメージのワークフローを設定する方法はいくつかあり、2023年4月時点でSnyk Containerは、このような複雑な階層型コンテナワークフローをサポートする初の製品となりました。

拡張されたカスタムベースイメージの推奨ロジックにより、さまざまなワークフローに対応します。この機能では、プラットフォームチームがDocker（またはRed Hatなど、任意の提供元）からイメージを取得し、会社のニーズに合わせて強化・カスタマイズしたうえで、Snykが監視するコンテナイメージをカスタムベースイメージとして指定できます。このワークフローに従えば、開発者は提供された「ゴールデン」イメージに含まれる脆弱性のアラートを目にする必要がなくなります。代わりに、Snykが提供するガイダンスに従って最新の状態を保ち、アプリケーションに追加した可能性のある脆弱性を修正することに専念できます。

コンテナのビルドチェーンに必要な規模と自動化に対応するため、新しいコンテナ機能には、次のような複雑なエンタープライズワークフロー向けの機能も含まれています。

• ビルドワークフローを自動化・カスタマイズするためのAPIサポート

• 社内ベースイメージのバージョン管理用カスタムスキーマ

• 社内イメージを基に構築されたアプリが、常に最新の推奨社内ベースイメージを使うよう自動更新するプルリクエストの生成

目指すのは、開発者が自分では制御できないベースイメージの脆弱性を心配せずに済むようにすることです。JamieはSnykLaunchで、ベースイメージの推奨ワークフローに関するこの新しいサポートを実演しました。

エンタープライズツールを横断したソフトウェアサプライチェーンの可視化

今月のSnykLaunchを締めくくるプレゼンテーションでは、シニアパートナーソリューションアーキテクトのMarco Moralesと、ServiceNowのシニアパートナーソリューションアーキテクトのAkhila Managoliが、安全な開発プロセスをエンタープライズ全体で可視化する新しいSnykインテグレーションを取り上げました。

Snykは開発者向けセキュリティのエンタープライズツールであり、開発者が日々使うツールと連携します。一方、エンタープライズのセキュリティチームや脆弱性管理チームは別のツールを使い、運用チームやプラットフォームチームもまた異なるツールを使っています。DevSecOpsの真の連携とプロセスを実現するには、可視性を高め、エンタープライズワークフローを支援できるよう、これらすべてのツールが連携しなければなりません。そして、そのために開発を遅らせることはできません。開発のペースに合わせる必要があります。

最近では、ServiceNowなどの大手エンタープライズソリューションプロバイダーとのインテグレーションを発表し、サービス管理と脆弱性管理をエンドツーエンドで可視化できるようにしました。SnykLaunchでは、ServiceNowのAkhilaが紹介するSnykとServiceNowのインテグレーションのデモも行いました。

また最近、Dynatraceとのインテグレーションも発表しました。プラットフォームと運用チームが推奨するアプリケーション監視ソリューションに、新たなアプリケーションセキュリティの可視性をもたらします。さらに、集中監査のため、SnykはAWS CloudTrail Lakeとも連携するようになりました。アプリケーションセキュリティをJiraの中核的な体験として実現し、開発者にとってより使いやすくするAtlassian Jiraとのインテグレーションも近日公開予定です。最後に、Snykプラットフォームと連携できるソリューションをユーザーが見つけられるよう、Snyk Partner Solutions Directoryも公開しました。

開発者中心のセキュリティ体験を実現するために

Snykチームは、C/C++対応、Snyk Cloudの「IaCでクラウドの問題を修正」機能、厳選されたコンテナセキュリティワークフローのサポート、エンタープライズワークフロー向けの新しいインテグレーションなど、開発者を第一に考えたセキュリティプラットフォームの新機能に期待を寄せています。ユーザーの皆さまからのご感想を楽しみにしています。

このまとめを読んで興味を持たれた方は、プレゼンテーション全編もぜひご覧ください。各リリースの詳細やデモを収録したオンデマンド録画をチェックしましょう。