主な成果
オープンソースコードに伴うアプリケーションセキュリティリスクを低減
Snykの脆弱性スキャンを導入し、潜在的な問題を検出・修正
脆弱性がペネトレーションテストで発見される前に、問題の予防的な修正を開始
組織全体でLog4Shellを検出・修正
Snykを活用し、過去6か月で脆弱性リスクを49%改善
過去6か月で修正した重大な脆弱性が10倍に増加
課題：オープンソースに伴うセキュリティリスクの低減
デンマーク最大級の携帯電話通信会社であるTelenor Denmarkでは、約50人の開発者からなるチームが、顧客向けのWeb・モバイルアプリケーションや社内ミドルウェアシステムのソフトウェアソリューションを開発しています。同社にはすでに強固なセキュリティプログラムがありましたが、Telenorのチームはオープンソースコードとコンテナに関するアプリケーションセキュリティ対策をさらに強化したいと考えていました。
「AppSecの課題は、ますます大きくなっています」と、TelenorのDevSecOps担当シニアマネージャー、Torben Frølund氏は述べています。「Log4jのような問題が起きてから、オープンソースコードがリスクになり得ることが誰の目にも明らかになりました。」
ソリューション：脆弱性スキャンにSnykを導入
複数のアプリケーションセキュリティベンダーと話し合った結果、Telenorはオープンソースの依存関係とコンテナのスキャンにSnykを導入することを決定しました。決め手となったのは、開発チームが進んで使いたくなる、開発者に使いやすいセキュリティツールとしてSnykが高く評価されていたことです。
「セキュリティ製品を購入することと、開発者に実際に受け入れて使ってもらうことは別です」とFrølund氏は述べています。「スキャンツールを日常的に活用するには、すべての開発者に参加してもらうことが重要です。」
まず、現在のアプリケーションセキュリティの状況を把握することから始めました。SnykとBitbucket、Jiraとのインテグレーションにより、Telenorはすばやくツールを稼働させ、開発チームはワークフローの一環として脆弱性のスキャンを開始できました。SnykとBitbucketの無料インテグレーションにより、Telenor Denmarkの開発者はセキュアなソフトウェアをより速くビルド、テスト、リリースできるようになりました。
次にTelenorは、コード内で見つかった深刻度の高い問題の修正に注力しました。SnykはCVSSスコアや悪用可能性などの要素に基づいて脆弱性に優先度スコアを付与し、開発チームが潜在的な高リスクの問題を効率的に解決できるよう支援します。これらの問題は本番環境へのリリース前にコード内で修正されるため、差し迫ったリスクにはなりませんでした。また、Jiraとのインテグレーションにより、問題ごとにチケットを作成し、修正の進捗を追跡することも容易になりました。
Log4Shell脆弱性への曝露状況を可視化
2021年12月、世界中の何百万ものアプリケーションやデバイスに脅威をもたらす可能性のある重大な脆弱性、Log4Shellが専門家によって発見されました。世界中の組織が、問題を特定して修正するため、迅速な対応を迫られました。この事案は、SnykがTelenorに価値を示した最初の事例のひとつとなりました。Log4jのようなライブラリは、多くのアプリケーションで間接的な依存関係にあるため、大規模なコードベースの中から特定するのが難しいという課題があります。
たとえばTelenorでは、データレイクをはじめとするさまざまな場所でLog4jを使用していました。当時Snykを利用していたのはウクライナの開発チームだけでしたが、Frølund氏のチームはBitbucket内のすべてのコードリポジトリをスキャンすることにしました。その多くはまだSnykに登録されていませんでしたが、これによりLog4jの使用箇所をさらに特定できました。その結果、Telenorは組織全体でLog4Shellを検出し、リスクを軽減できました。
「Log4Shellが公表されるとすぐに、セキュリティ部門から情報が届きました」とFrølund氏は説明します。「このような問題があるとわかったときに、コードをスキャンしてLog4jが使われている多数の箇所をすばやく把握できるのは非常に役立ちます。」
成果：アプリケーションセキュリティの状況を予防的に改善
開発プロセスにSnykを組み込んだことで、Telenorはペネトレーションテストで後から発見される緊急性の高い脆弱性になる前に、潜在的なセキュリティ問題を予防的に修正できるようになりました。実際、発見・修正した脆弱性の数に基づくリスク状況を約49%改善し、修正した重大な脆弱性の数も10倍に増加しました。
今後Telenorは、開発プロセスへのSnykの組み込みをさらに進め、ツールの使い方について開発者への啓発を強化したいと考えています。これにより、開発チームが隔週のスプリント計画に脆弱性の修正を組み込めるようになります。
「Snykを導入する前は、問題の平均修正時間を追跡していませんでしたが、かなり長かったのは確かです」とFrølund氏は振り返ります。「修正時間を短縮できたことで、大きな改善につながりました。」