Depop、Snykを活用して脆弱性管理プログラムを自動化

主なポイント

• 多数のScalaマイクロサービスにおける脆弱性管理を自動化

• セキュリティスキャンを拡大し、約100人のソフトウェアエンジニアを支援。コードベース全体を100%スキャン

• 依存関係のライフサイクル全体を管理するSnyk Open Source

• Snyk Containerでコンテナとイメージを保護する

• Snyk Infrastructure as Codeでデプロイへの信頼性を高める

• Snyk Intel Vulnerability Databaseを活用し、ゼロデイに近い脆弱性検出を実現

• チームの平均修正時間を43日短縮

課題：大規模な脆弱性管理の自動化

同社のアプリは主にScalaで構築されたマイクロサービスアーキテクチャを採用しており、サービスごとに個別のコードリポジトリが多数存在し、開発状況もさまざまでした。課題は、これらのリポジトリにまたがる依存関係の管理と、新たに見つかったセキュリティ脆弱性の修正が場当たり的だったことです。Depopのチームは、オープンソースの依存関係、コンテナ、Infrastructure as Code（IaC）を網羅する自動化された脆弱性管理プログラムが必要だと認識していました。

「依存関係のライフサイクル全体を管理する仕組みは、ほとんどありませんでした」と、Depopのセキュリティエンジニア、Charlie Stocker氏は述べています。「新しいCVEや重大な問題の情報を誰かが耳にしてから、対処するという場当たり的な対応もしていました。これでは規模を拡大できないため、開発者が自らワークフローを管理できる自動化された仕組みが必要でした」

ソリューション：安全な開発プロセスの構築

脆弱性管理ツールを探すにあたり、DepopはScalaを含むすべてのテクノロジーをカバーするソリューションを必要としていました。Snykは導入当初からDepopの既存の開発プロセスにスムーズに統合できたため、開発者がアプリケーションセキュリティに取り組む際の負担を抑えられました。

セキュリティスキャンを自動化することで、開発者は自分で調べなくてもSnyk Intel Vulnerability Databaseから最新の脆弱性情報を得られるようになりました。実際、SnykのデータベースによりDepopはゼロデイ脆弱性の検出に大きく近づきました。それまで使用していたソリューションでは、問題の発見から数カ月後にようやく検出されることもありました。

「開発者がセキュリティに関心を持つことを期待するわけにはいかないと分かっていました」と、Depopの情報セキュリティ責任者であるPedro Borracha氏は説明します。「すべてが自動化され、脆弱性を可視化できるワークフロー全体が必要でした」

急速な事業拡大の中で、開発チームの作業を遅らせないことが重要だとInfoSecチームが認識していたことからも、SnykはDepopに適した選択肢でした。ソフトウェアの提供に障壁を設けないSnykのような開発者に使いやすいツールは、開発者への定着に欠かせませんでした。他のセキュリティツールとは異なり、DepopはSnykが開発者のために作られ、より使いやすいユーザー体験を提供していると感じていました。

「セキュリティを確保しながら迅速に開発を進めることは可能ですが、適切なツールとプロセスを見つける必要があります」とStocker氏は述べています。「ソフトウェア開発を難しくする障壁を次々と設けるわけにはいきません。そうすれば開発者は使わなくなってしまいます。これがSnykを選んだ大きな理由でした」

開発ライフサイクル全体へのSnykの統合

Depopは依存関係、コンテナ、インフラストラクチャをすべてカバーするとともに、ソフトウェア開発ライフサイクル（SDLC）全体にスキャンを統合したいと考えていました。Snyk CLIを使ってソフトウェア提供プロセスの各段階にセキュリティ対策を簡単に導入でき、わずか1カ月で全プロジェクトをインポート。コードベース全体の100%をSnykでスキャンできるようになりました。これにより、Depopはマーケットプレイスプラットフォーム全体のセキュリティ態勢に自信を持てるようになりました。

「インフラストラクチャはすべてコードとして管理しています」とBorracha氏は述べています。「SnykはCLIでほとんどの作業ができるため、監視や監査のプロセスを有効にするうえで便利で、私たちにぴったりでした」

導入効果：プラットフォームのセキュリティ態勢をすぐに改善

Snykを開発プロセスに統合したDepopは、すぐに数千件の脆弱性を検出・修正し、セキュリティ態勢を改善できました。これまでにチームは100万件を超えるテストを実施し、平均修正時間を43日短縮しました。Snykにより、開発チームが自ら脆弱性を管理できるようになり、小規模なAppSecチームで約100人の開発者を支援できるようになりました。

「私たちがすべてのセキュリティ作業を担うのではなく、開発者自身が使いたいと思えるツールが必要でした」とBorracha氏は説明します。「私たちだけでは、そこまで対応する余力がありません」

Depopは、プラットフォームと数百のマイクロサービスベースのコードプロジェクトのセキュリティ態勢を、より詳しく把握できるようになりました。実際、Etsyによる買収時には、Depopのアプリケーションセキュリティの成熟度を示すSnykの証跡がすでに数多くありました。Snykはユーザーが利用できる充実した監査ログを保持し、脆弱性管理プロセスを完全に可視化する詳細なレポートを提供します。

「Snykはすぐに効果を発揮しました」とStocker氏は振り返ります。「数多くの問題を次々と修正し、脆弱性管理をプロセスとソフトウェア開発ライフサイクルに組み込めました」