AtlassianはSnykの脆弱性インサイトを数千人の開発者に提供

ハイライト:

Snykのスキャン結果を可視化し、3,500人以上の開発者に共有

Snyk Open Sourceを使用して550万件のSCAテストを実行

Snyk Containerで、組織全体にデプロイされたコンテナを100%スキャン

数か月で重大度の高いコンテナ脆弱性を65%削減

他のスキャンソリューションよりも報告される誤検知が少ない

SOC 2などの規制要件への準拠を確保

課題：組織全体にセキュリティスキャンを拡大

Atlassianは顧客数が20万人を超え、コミュニティメンバーも260万人以上に増えるなか、アプリケーションセキュリティはリスクを低減するうえで、ますます重要になっています。事業の拡大に伴い、ツールの安全性と業界規制への準拠を確保したいと考えたAtlassianは、開発者がアプリケーション全体のセキュリティに責任を持ち、開発に組み込めるよう支援してきた実績を持つSnykと提携しました。

「Trello製品のコンテナスキャンには、以前のツールを一時的な対策として使っていましたが、拡張できる製品が必要でした」と、Atlassianのシニアプロダクトセキュリティエンジニア、Will Ratner氏は説明します。「自社でインフラを管理する必要がなく、脆弱性の修正を容易にする開発者向けのデータを提供する製品を求めていました。」

解決策：数千人の開発者にSnykを導入

複数の選択肢を評価した結果、AtlassianはSnyk Containerを選びました。自社でインフラを管理することなく、製品や開発チーム全体にコンテナスキャンを拡大できるためです。Atlassianのサービスの99%がコンテナ上にデプロイされているため、Snykは企業全体のソフトウェアのセキュリティ確保に役立ちます。

「当初、Snykの評価を始めた主な理由は、既存のコンテナスキャンツールに代わる製品を見つけることでした」と、Atlassianのシニアプロダクトセキュリティエンジニア、Sharada Moorthy氏は説明します。「他の製品にも拡張できるプラットフォームに切り替えたいと考えていました。」

さらに、Snyk Open Sourceを利用すると、Atlassianはオープンソースの依存関係にある脆弱性をスキャンできます。Atlassianは各ビルド環境の個別のリポジトリをスキャンしたいと考えていたため、Snykは要望に応える一括スキャン機能を新たに導入しました。この機能は、Atlassianの依存関係スキャンワークフローに欠かせないものとなっています。

「Snykの大きなメリットの一つは、開発者がパイプラインに簡単に統合できることです」と、Atlassianのプロダクトセキュリティエンジニア、Matthew Bass氏は述べています。「一元管理されたスキャンだけでは不十分な場合、開発者が自分でSCAスキャンを統合するための具体的な手順を提供できます。」

Snykが提供する使いやすさと実用的なインサイト

Snykの使いやすさと効率性も、Atlassianが導入を決めた重要な理由でした。各開発チームのCI/CDパイプラインにSnykを統合する代わりに、デプロイ時にコンテナと依存関係を自動でスキャンし、修正チケットのリクエストを通じて数千人の開発者にインサイトを共有しています。

プロジェクトのスキャンが完了すると、Atlassianのセキュリティチームは、開発者による修正が必要な脆弱性についてチケットを作成します。Snykが提供する重大度や優先度スコアなどのメタデータにより、最も重大な脆弱性から効率的に修正できます。また、修正方法がない可能性のある低リスクの脆弱性で開発者の時間を無駄にせずに済みます。

「使いやすさに加え、検出結果の品質も大きなメリットです」と、Atlassianのシニアセキュリティエンジニア、Chris Walz氏は説明します。「他のスキャンソリューションと比べて、Snykは誤検知や、実際には脆弱性ではない問題を少なく報告します。」

効果：未修正の脆弱性を大幅に削減

以前、Atlassianのコンテナスキャン対象は1つの製品のごく一部に限られていましたが、その後、組織全体で対象範囲を100%に拡大しました。さらに重要なのは、わずか数か月で、未修正の重大度「高」と「クリティカル」のコンテナ脆弱性をそれぞれ65%、39%削減したことです。

「現在は、デプロイされたすべてのコンテナを把握し、すべてがスキャンされ、脆弱性を修正するチケットが作成されるようにしています」とRatner氏は説明します。「コンテナとSCAのスキャン機能が有効に働いているかを確認するため、これらの指標を経営層レベルで追跡しています。」

現在までにAtlassianは、Snykを使用して依存関係のスキャンを550万件実行し、コンテナを370万個スキャンしました。コンテナの脆弱性修正を順調に展開し、わずか数か月で脆弱性を大幅に削減できたことを受け、次はSnyk Open Sourceの検出結果について修正チケットの作成を開始する予定です。

「Snykが新機能を追加し、ドキュメントを改善してくれているのは心強いです」とRatner氏は締めくくります。「導入プロセスは順調で、他のスキャンツールと比べて、Snykの成果にも開発者からのフィードバックにも満足しています。」