課題：ソフトウェアサプライチェーン全体で増え続けるオープンソースの脆弱性への対応
アジア太平洋地域を代表するショッピング、リワード、決済プラットフォームであるShopBack Groupは、3,800万人以上の買い物客にサービスを提供しています。オンラインおよび実店舗の加盟店パートナーは15,000社を超え、年間売上高は37億ドル以上にのぼります。
ShopBackは昨年、金融サービスへと事業を拡大し、ShopBack PayとPayLaterの提供を開始しました。シンガポール、ベトナム、台湾の約300人の開発者が、プラットフォームの維持と成長に取り組んでいます。
ShopBackチームは、Log4jのような重大なオープンソースの脆弱性を懸念していました。ソフトウェアに含まれるオープンソースの脆弱性を把握、分析、解決する方法が必要でしたが、何から始めればよいのかわかりませんでした。
エンジニアリングマネージャーのDipin Thomas氏は、次のように説明します。「脆弱性が世の中に出回ると、誰もがその修正に取り組みます。私たちにとっては、『自分たちがどこで影響を受けているのか』『どうすれば簡単に修正できるのか』を把握して分析するのが非常に困難でした」
解決策：Snyk Open Source
ShopBackチームは、オープンソースの脆弱性を見つけて修正するためにSnyk Open Sourceを導入しました。AWSとのプレミアムパートナーシップを通じてSnykを知り、Snykと類似ツール数種類を評価することにしました。一般的なコードベースを使って、各セキュリティソリューションの機能をテストしました。パイプラインとの連携とCLI機能が評価され、Snyk Open Sourceが最も優れた結果を示しました。
「大きな差別化要因は、GitLabのプライベートネットワークへの対応、GitLab CIとの容易な連携、そして結果が速く得られることでした」とDipin氏は語ります。「SnykにはCLIで利用できる機能もいくつかあります。たとえば、レベル、種類、場所によって特定の脆弱性を絞り込んだり、対象を指定したりできます。これまで使った他のツールのほとんどには、こうしたフィルタリング機能がありません。レポート全体が出力されるので、自分たちでフィルタリングする仕組みを作る必要があり、ずっと手間がかかります」
ShopBackチームはSnyk Security Intelligenceも活用し、CVEやサードパーティプロバイダーからの開示情報など、重要なセキュリティ情報を常に把握しています。
エンジニアリング担当バイスプレジデントのTao-Sheng Chen氏は、次のように話します。「新たなオープンソースの脆弱性がいつ公表されるかはわかりません。状況は常に変化しており、今日安全だと思っていたアプリに、明日新たな脆弱性が見つかる可能性もあります。サードパーティ製ソフトウェア全体について信頼できる情報源があることで、重大な脆弱性を開発者がいち早く把握できるのは心強いですね」
脆弱性の発見と修正を支援する機能
ShopBackの開発者は、Snyk Open Sourceプラットフォームの自動修正機能も高く評価しています。見つかった脆弱性ごとに解決策を探し回る必要はなく、ボタンをクリックするだけで数秒で問題を修正できます。Node.jsやDockerのファイルを含む既存のエコシステムに、この機能を簡単に統合できる点もチームに好評です。
Dipin氏はこう話します。「自動修正機能を使えば、開発者が『どう直せばいいんだろう』とあちこち探す必要はありません。ボタンをクリックするだけで、適切なパッチやアップグレードが用意され、あとはマージするだけです」
導入効果：60日足らずで成果を実感
Snykを導入してまだ間もないものの、ShopBackチームはすでに大きな成果を上げています。ソフトウェアサプライチェーンのセキュリティ態勢を、これまでよりはるかに可視化できるようになりました。その結果、30日間で重大および高リスクの脆弱性を16%削減しました。また、過去2か月間で、プロジェクトを保護するためのSnyk Open Sourceの開発者による利用が247%増加しました。
セキュリティソリューションを導入した今、チームはISO認証の取得に取り組む予定です。将来的には、Snykの他のソリューションも評価したいと考えています。
Tao-Sheng氏はこう語ります。「導入初期から成果が出ているのは、プラットフォームが既存のエコシステムにうまく統合されているからだと思います。今後、ツールの利用が広がることで、さらに成果が上がることを期待しています」