yamoryを利用した開発チームとセキュリティチームを横断する脆弱性管理
弥生株式会社 / くろ
CTO・VPoE / CTO / 従業員規模: 501名〜1,000名 / エンジニア組織: 301名〜500名
利用プラン | 利用機能 | ツールの利用規模 | ツールの利用開始時期 | 事業形態 |
---|---|---|---|---|
Enterprise | SCA、OSSライセンス管理、ホストスキャン、コンテナスキャン、EOL管理、ダッシュボード | 101名〜300名 | 2020年1月 | B to B |
導入の背景・解決したかった問題
導入背景
ツール導入前の課題
組織拡大フェーズでのセキュリティ担保
サービスに利用しているOSSの脆弱性対策、ライセンスのリスク管理、パッチマネジメント、EOL管理などが属人的になっていた。新製品開発のため組織拡大が必要になり、特定のリーダーの力量によらないセキュリティ対策の仕組みが必要になった。各サービス開発チームで利用するツール、その開発チームを裏で支援するセキュリティチームが利用するツールが必要となった。
どのような状態を目指していたか
- セキュリティ対策の属人化解消
- セキュリティチームによる対策状況の把握&監査
比較検討したサービス
- Snyk
- JFrog
比較した軸
- コスト
- カバー範囲(SCAが必須)
- 運用が回せること
選定理由
運用可能な機能がそろっており低コスト、且つ、スモールスタートでの導入が可能だったこと
導入の成果
改善したかった課題はどれくらい解決されたか
- 新メンバーがリードする製品であっても基準が守られる状況になっている
- セキュリティ担当者が各チームの脆弱性対策状況を一元的に確認できるようになっている
どのような成果が得られたか
- SCAをCICDに組み込むことで、リリース関門としている外部業者によるWebアプリケーション診断で深刻なエラーを指摘されるケースがほぼ無くなっている
- AWSで動作中の本番環境に対するホストスキャン、コンテナスキャンの抜け漏れがなくなった
- 本番環境に対するホストスキャン、コンテナスキャンによる脆弱性検出タイミングの高速化と抜け漏れ防止と第三者チェックの実現
- サービス開発チームの状況をセキュリティチームでWatchする運用が回せるようになった
導入時の苦労・悩み
新サービスでウォーターフォールからアジャイルに移行した。それに伴いSCA、SAST、DAST、CSPM、リリース判定基準などセキュリティ全般のルール改定と、その基準を満たす為の開発・運用体制の構築
導入に向けた社内への説明
上長・チームへの説明
新サービス開発チームからスモールスタートで導入を進めた。実利用環境でカバーできたセキュリティ対策の範囲をフレームワークに当てはめて説明し、全社展開に向けての予算を確保した
活用方法
- サービス開発チーム
- CICDにSCAを組込み脆弱性の排除
- OSSのライセンスチェック(GPL、APGL、OSSからリンクされるOSSの把握)観点のレビュー支援
- EOL管理
- 本番環境に対するクラウドアセットスキャン経由でのホストスキャン/コンテナスキャン
- スキャン対象のAWSアカウントで起動しているホストやコンテナを検出してスキャンする機能
- CSPMはAWS Configなどを利用した自動復旧まで実施しているためyamoryでは運用をしていない
- セキュリティチーム
- ダッシュボードでサービス開発チームのセキュリティ対策状況の確認
- 構成管理ツールの補助としても利用している。特にEOL管理
よく使う機能
- SCA
- EOL管理
- ホストスキャン/コンテナスキャン
ツールの良い点
- SCAをCICDに組込み可能
- クラウドアセットスキャンを利用したホストスキャン/コンテナスキャンが便利
- 導入しやすい料金
- シンプルなのでとっつきやすい
ツールの課題点
- ライセンス料の見積もりが難しい。SCAが開発言語によって消費するライセンス数が上下するケースがあるので予想と事実が合わないケースがある
- SnykやJFrogなどに比べると機能は少ない(使い切れるのか?という話もあるので導入目的次第)
ツールを検討されている方へ
サービス開発のセキュリティ対策をどこから手を付けるか?は悩ましい問題だと思います。これから着手する方や改めて対策の見直しを検討されている方は、IPAが公開している安全なウェブサイトの作り方に立ち返るのをお勧めします。こちらのサイトを確認して頂くと「SQLインジェクション」「OSコマンドインジェクション」などの一般的な対策が記載されています。これらは有名なフレームワークを利用して開発し、適切にパッチをあてていれば対策することは可能です。開発完了時には顕在化していなくとも日々脆弱性は増え続けますので、脆弱性管理ツールを活用して対策していくことをお勧めします。yamoryはSCAを中心とした機能がシンプルに提供されていますのでとっつきやすいと思います。ツールを導入しただけでは意味が無いので運用についても併せて検討して下さい。
今後の展望
現在はAWSで稼働しているサービスを中心にyamoryで運用しているのですが、Azureやオンプレミスのシステムにも広げていきます
弥生株式会社 / くろ
CTO・VPoE / CTO / 従業員規模: 501名〜1,000名 / エンジニア組織: 301名〜500名
AI系ベンチャー:PG、SE、PL、PM、TechL、EM、R&D、Div.Mgr→ 外資系クラウドベンダー:コンサルタント(Cloud Infrastructure Architect)→ 弥生:CTO
よく見られているレビュー
弥生株式会社 / くろ
CTO・VPoE / CTO / 従業員規模: 501名〜1,000名 / エンジニア組織: 301名〜500名
AI系ベンチャー:PG、SE、PL、PM...