Snyk移行により脆弱性の誤検知が激減。スキャン頻度も向上
参考になった
1
株式会社セゾンテクノロジー / kuniaki-hulft
セキュリティエンジニア / 従業員規模: 501名〜1,000名 / エンジニア組織: 301名〜500名
| 利用プラン | ツールの利用規模 | ツールの利用開始時期 | 事業形態 |
|---|---|---|---|
・Snyk Code - 50 Enterprise Contributing Developer Pack | 11名〜50名 | 2022年2月 | B to B |
導入の背景・解決したかった問題
導入背景
Snyk導入前は全社標準のオンプレツールを利用していました。このツールは利用環境が限られており、同時に複数名が利用できない状態でした。また、すぐに脆弱性をスキャンできないだけでなく誤検知が非常に多く、実害有無の精査には非常に多くの工数がかかっていました。
これらの課題を解消するため、開発するソースコードに対し誰もが必要なタイミングで脆弱性を確認できることを目指し、ツール置き換えを検討しました。
選定理由
ツール比較の際は使い勝手や誤検出の少なさだけでなく、導入構成が弊社のセキュリティポリシーに適合している必要がありました。Snyk導入に至ったのは、これらを満たしたことが理由です。
比較したサービス
- Coverity
- SonarCloud（SonarQube）
導入の成果
従来ツール利用時は誤検知が約4,000件もありましたが、Snyk導入によって数十件程度へと激減しました。また脆弱性スキャンもIDEツール上のプラグインにより、いつでも利用可能となり、開発者やレビュワーが各々で随時作業できるようになりました。
導入時の苦労・悩み
使い慣れたSonarQubeの利用を要望していた開発者達を説得することと、品質管理部門から社内で定められた標準ツール以外を承認いただくことに苦労しました。加えて自社セキュリティ規準に則ったシステム構成も必要となり他部門の協力を得る必要がありました。
導入に向けた社内への説明
経営陣・上長への説明
経営陣はセキュリティ対策の必要性を認識していたため、費用は抑えたかったものの採用に大きな問題はありませんでした。
それよりも、DevSecOpsの推進にあたり開発者のモチベーションを保てるツールであることが重要でした。
チームへの説明
Snykの利用方法について操作手順書を作成し、海外メンバーも含め説明を実施しました。
システム構成の構築にあたっては、自身の権限では設定できない部分もあり、関連部門の協力を得ながら進めました。
活用方法
開発担当は、コード改変のためのPR作成時とレビュー時に新規脆弱性の混入を確認しています。
セキュリティチームでは輸出該否判定（ライセンス確認）やゼロデイ監視に利用しています。
よく使う機能
- 多くのソースリポジトリで検出された脆弱性やライセンス問題を一括して確認できるレポート機能
- 開発者の利用状況を確認するAPI
- 問題無い部分の検出を抑制する機能
アーキテクチャ
アーキテクチャの意図・工夫
会社資産へのネットワークアクセスには厳しい会社ルールが存在したため、これをクリアするためのSSOやプロキシを利用するアーキテクチャ構成の構築が必用でした。
ツールの良い点
- 単純な脆弱性の重大度だけでなく、攻撃手法の成熟度やパッチ有無などを加味したSnykスコアがあるため、SASTやSCA、コンテナスキャン、ライセンス、IaC等の異なるジャンルの問題でも優先度を決め易い
- Web画面やIDEプラグイン、CLIコマンド、APIなど多様な操作インタフェースと多様なソース連携が可能な統合機能で利用できる
- 脆弱性に関する充実したドキュメントや修正提案だけでなく、各種レポート機能を持っている
ツールの課題点
- 利用できる機能がツール（操作インタフェース）により異なる
- チェック結果がビルドツールやUI（操作インタフェース）により異なる場合がある
- 高機能で多くのUIが有るため、使いこなすための知識が必要
その他
Snykを使っている中で失敗したエピソード
これは使える！と思って飛びついた新機能が、我々の開発構成や採用しているビルドツールの条件などにより利用できないことがありました。利用可能になるのを期待して待っています。
ツールを検討されている方へ
スキャンが高速であり、用途に応じたUIで手軽に利用できる使い易さと、どんどん強化される多様な機能、進化するゼロデイ対応やスキャン精度の向上などなど、必要に応じた利用が可能な、柔軟で奥深いプロダクトです。標ぼうされているとおり「開発者」こそ利用価値を実感するのではないでしょうか。
株式会社セゾンテクノロジー / kuniaki-hulft
セキュリティエンジニア / 従業員規模: 501名〜1,000名 / エンジニア組織: 301名〜500名
公官庁や金融機関の基幹系システム開発を経て、1998年よりHULFTのUNIX版開発に従事。 以後HULFT-SANやHULFT-HUB、HULFT7のAES暗号ロジックなどの企画や研究開発を担当。
よく見られているレビュー
株式会社セゾンテクノロジー / kuniaki-hulft
セキュリティエンジニア / 従業員規模: 501名〜1,000名 / エンジニア組織: 301名〜500名
公官庁や金融機関の基幹系システム開発を経...
