VoltosがSnykを活用して自社のセキュリティ製品を守る方法

本記事は、Voltosの共同創業者の一人であり、アプリやサービスの認証情報を安全に管理するためのサービスを提供するGlenn Gillenによるゲスト投稿です。また、オンラインコースTiny Security Wins: Quick steps to secure your dev environmentの共同執筆者でもあります。以前はHerokuのアドオンエコシステムを運営し、現在は開発者向けツールを手がけるスタートアップの創業初期投資家として活動しています。

多くの企業は、「お客様のセキュリティを非常に重視しています」と公言します。そう言わなければ、広報上の印象が悪くなるからです。セキュリティを重視した製品を開発する企業にとって、これはチーム全員が実践すべき行動指針です。実践できなければ、最終的にはお客様の信頼を損ない、事業の継続も難しくなります。

Voltosでは、開発者がアプリの認証情報や設定をチーム内やインフラ全体で管理・共有できるよう支援しています。セキュリティへの意識が薄れれば、お客様と私たち双方が危険にさらされるため、決して妥協できません。私が初期の情報セキュリティの経験から学んだのは、自分が一番賢いと思わないこと、すべての答えを知っていると思わないこと、すべてに備えたと思い込まないこと、そして何より、助けを求めることを恐れないことです。

Snykでセキュリティを強化

CVEの最新情報を常に確認し、発表されたらすぐにパッチを適用し、テストして、本番環境に変更を反映する。私たちはかなりうまく対応できています。しかし、実際にやってみればわかるとおり、これは相当な手間がかかります。Node、React、Rubyのエコシステムから取り込まれる、依存関係が幾重にも重なる広大な環境では、必要な作業は増える一方です。さらに、社内の誰か一人や特定のチームが専任で取り組んでいるわけでもありません。何かを見落としてしまう可能性があるのは、容易に想像できます。

実際に、以前紹介した中程度の深刻度のリモートメモリ情報漏えいの脆弱性のように、見落としは起きていました。

このワークフローでは、すべてのCVEを把握していれば、可能な限り安全だという前提に立っています。しかし実際には、Snykのデータベースに登録されているnpm/Nodeの脆弱性の約85%には、CVEが公表されていませんでした。

Snykに登録し、最も重要なアプリをスキャンして問題を見つけるまで、わずか5分もかかりませんでした。ワンクリックでプルリクエストを作成でき、問題の解決方法まで示してくれます。すぐに導入を決めました。

ワークフローに自然に溶け込む

優れたツールとは、ワークフローに自然に溶け込むか、生産性を大きく高めることでワークフローそのものを変えるものです。メールでPGPを使ったことがある人なら、セキュリティ重視のツールがワークフローにもたらすものをよく知っているでしょう。非常に面倒な作業です。

Snykの魅力は、使っていることを意識しなくてよいところです。

GitHub連携が組み込まれているため、すべてのプルリクエストが自動で脆弱性チェックされます。私たちは新機能について議論するため、早い段階でPRを作成します。そのため、新たな潜在的な脆弱性は、コードに取り込まれた瞬間に検出されます。デプロイ直前になって代替案を急いで探す一週間後でも、本番環境にコードがリリースされた後でもありません。お客様が3か月間リスクにさらされた後の、四半期ごとのセキュリティ監査で見つかるのでもありません。

コードの変更がなくても、リポジトリは定期的に非同期でスキャンされます。前回のコミット以降に見つかった脆弱性は、Slackやメールで通知されます。安定してきて開発の頻度が下がったコードベースには、とても役立っています。問題なく動き続けているものほど、見落としやすく、大きなリスクにつながることがあるからです。

必要に応じた分析

セキュリティ分析のために、いつものGitHub PRワークフローを使いたくないこともあります。個人プロジェクトや、新しいブランチで試している、まだ共有する準備ができていない変更の場合もあれば、リポジトリで設定したデフォルト以外の言語を分析したいだけの場合もあります。Snyk CLIを使えば、どんな状況でも一つのワークフローに縛られず、必要なときに分析を実行できます。

自ら実践する

脆弱性の発見を第三者に任せることには、大きな価値があります。それと同じくらい重要なのは、セキュリティを大切にする文化をさりげなく強化できることだと思います。

誰かがプルリクエストを作成するたびに、小さな緑色のチェックマークが表示されます。取り組むすべての作業で、常にセキュリティを考慮すべきだということを、繰り返し思い出させてくれます。