Red Ventures、Snykを活用してコンテナスキャンを大規模に展開

ハイライト:

Snykによる依存関係スキャンの導入範囲を拡大し、コンテナスキャンを追加

350以上のAWSアカウントにわたり、毎日新たに追加される1,300以上のイメージを対象にコンテナスキャンを拡大

既存の開発者ワークフローにSnyk CLIをシームレスに統合

独自に構築した検出サービスを使ってコンテナ登録を自動化

エンジニアが直接修正に取り組めるよう、実用的なセキュリティインサイトを提供

課題：多様な技術スタック全体のセキュリティ管理

Red Venturesはデジタル体験の最前線で事業を展開していますが、事業のスピードと複雑さゆえに、セキュリティが課題となることがあります。同社の大規模な技術スタックは、数百のAmazon Web Services（AWS）アカウント、開発チーム、コードリポジトリなどにまたがっています。

チームが直面していた課題の一つは、既存のコンテナスキャンツールでは、セキュリティを測定可能な形で改善するために必要な、実用的なインサイトが得られないことでした。同社は、技術スタックにシームレスに統合できる堅牢なコンテナセキュリティツールを探し始めました。

「今年の初め、私たちは課題を抱えていました」と、Red Venturesのプラットフォームエンジニアリング担当ディレクター、Alfonso Cabrera氏は語ります。「コンテナイメージのセキュリティ状況を把握するために使っていた自社開発のツールには満足していませんでした。ツールの選択肢を検討する中で、Snykのコンテナスキャン製品を詳しく調べました。アプリケーションの依存関係スキャンですでに成果を上げており、プラットフォームも気に入っていたからです。」

解決策：開発プロセスにSnyk CLIを統合

選択肢を評価した結果、Red Venturesは既存の技術スタックにシームレスに統合できることから、コンテナイメージのスキャンにSnykを採用しました。同社はすでにアプリケーションの依存関係スキャンにSnykを導入し、350以上のAWSアカウントで利用できるようにしていました。そこで、Snyk CLIを基盤とした一元的なスキャンプロセスを構築し、さまざまなプラットフォームやアカウントに分散していたすべてのリポジトリを、単一のSnyk組織に集約しました。これにより、セキュリティ状況を一か所で包括的に把握できるようになりました。

「CodeBuildをベースにしたスキャンプロセスを使っています。確認したいDockerイメージを取得し、Snyk CLIで調べた後、そのイメージを処理キューに入れます」と、Red Venturesのシニアエンジニア、Matt Stegall氏は説明します。「キューの反対側で結果を取得し、注目すべき点や対応が必要な問題がないかを確認して、そのデータをもとにJIRAチケットを作成します。」

さらに、Red Venturesにはさまざまな事業やプロジェクトに携わるエンジニアが700人以上在籍しており、チームごとに仕事の進め方が少しずつ異なります。たとえば、多くのエンジニアがコンテナイメージの保管にセルフホスティングやArtifactoryを利用しており、そうしたイメージもSnykのスキャン対象にする必要がありました。一貫性を高めるため、Red VenturesはSnykと連携する独自の検出サービスを構築しました。これにより、Amazon Elastic Container Registry（ECR）への新しいイメージのプッシュ時や、多数のAWSアカウント内にすでに存在するイメージを自動で検出し、登録できます。

実用的なセキュリティ課題を可視化

Red Venturesは、コンテナセキュリティを改善するには、開発者にとって摩擦のない体験を実現する必要があると考えていました。そのため、Snykを既存のJIRAボードに統合し、修正方法があるセキュリティ課題のみを新しいチケットとして登録するようにしました。JIRAに届く前に検出結果を評価することで、実際に対応できるセキュリティ課題を提示し、修正をより効率的に進められます。開発者を第一に考えるセキュリティツールであるSnykは、エンジニアリングのワークフローに自然に溶け込みます。

「現実的に考えて、ほとんどのソフトウェアエンジニアが、イメージの検出結果を見るために自分からSnykにログインするとは思っていませんでした」とAlfonso氏は説明します。「エンジニアが普段働いている場所で情報を届け、重要な検出結果を直接伝えて修正につなげる方法を見つけたかったのです。」

導入効果：セキュリティの深度を高めながら規模を拡大

Snykプラットフォームにより、Red Venturesはエンジニアが毎日生成する1,300以上の新しいイメージを、JIRAやAmazon ECRなどの既存ツールやシステムを使ってスキャンできます。独自の検出ツールがイメージを見つけてSnykに登録し、AWS CodeBuildがコンテナ内で修正可能なセキュリティ課題を検出すると、JIRAチケットを作成します。

既存のアプリケーション依存関係スキャンと組み合わせたこの新たなSnykの導入により、ワークフローを複雑にしたり、エンジニアにセキュリティの専門知識を求めたりすることなく、詳細で実用的なセキュリティタスクをエンジニアに直接届けられるようになりました。Snykプラットフォームの拡張性は、複雑かつ進化し続けるRed Venturesの技術スタックとの統合において、大きな価値を発揮しました。

「システムをどのように拡張できるか、また、その上にどのようなものを構築できるかを常に意識することは非常に重要です。私たちが使うツールは日々変わり、この業界では統合したい技術も頻繁に変わるからです」とStegall氏は締めくくります。「そのため、システムが時間とともにどう変化するかを念頭に置くことが、この分野ではさらに重要になります。」

Snyk について Red Ventures

Red Venturesは、顧客体験に良い影響を与え、消費者がより良い選択をできるよう支援するオンラインブランドとデジタルプラットフォームのポートフォリオです。同社の成功の中核を担うのは、パーソナライズされたコンテンツ、製品、サービスを提供するテクノロジー、データ、デジタルのプラットフォームです。5大陸に数千人の従業員を擁するRed Venturesは、デジタル分野で競争力を保つため、俊敏性と規模のバランスを取る必要がありました。