Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Trivy + Regoを用いたパッケージ脆弱性管理 /trivy-rego
Search
Masayoshi Mizutani
December 14, 2021
Technology
7
4.5k
Trivy + Regoを用いたパッケージ脆弱性管理 /trivy-rego
2021.12.14 (Tue) Ubie Tech Talk で発表した資料です
Masayoshi Mizutani
December 14, 2021
Tweet
Share
More Decks by Masayoshi Mizutani
See All by Masayoshi Mizutani
クラウドセキュリティのベストプラクティスと実装例 /cloudsec-bestpractice-example
mizutani
9
2.8k
汎用ポリシー言語Rego + OPAと認可・検証事例の紹介 / Introduction Rego & OPA for authorization and validation
mizutani
1
690
Ubieにおけるセキュリティ課題管理の自動化 / ubie-sec-issue-automation
mizutani
0
870
リモートワークを支える 社内セキュリティ基盤の構築と運用 /secueiry-for-wfh
mizutani
0
720
SOARによるセキュリティ監視業務の効率化とSecOps /soar-and-secops
mizutani
1
1.1k
Amazon Athena を使った セキュリティログ検索基盤の構築 /seclog-athena
mizutani
5
2.9k
Webサービス事業会社におけるEDRの検討と導入の事例 /falcon2019
mizutani
1
770
AWS re:Inforce recap 2019
mizutani
1
4.3k
スケーラブルなセキュリティ監視基盤の作り方 /techconf2019-mizutani
mizutani
3
3.2k
Other Decks in Technology
See All in Technology
近年の PyCon 情勢から見た PyCon APAC のまとめ
terapyon
0
280
20250413_湘南kaggler会_音声認識で使うのってメルス・・・なんだっけ?
sugupoko
1
310
.mdc駆動ナレッジマネジメント/.mdc-driven knowledge management
yodakeisuke
23
9.8k
大AI時代で輝くために今こそドメインにディープダイブしよう / Deep Dive into Domain in AI-Agent-Era
yuitosato
1
200
AIエージェント開発における「攻めの品質改善」と「守りの品質保証」 / 2024.04.09 GPU UNITE 新年会 2025
smiyawaki0820
0
370
テキスト解析で見る PyCon APAC 2025 セッション&スピーカートレンド分析
negi111111
0
270
【5分でわかる】セーフィー エンジニア向け会社紹介
safie_recruit
0
21k
AI Agentを「期待通り」に動かすために:設計アプローチの模索と現在地
kworkdev
PRO
1
200
ソフトウェア開発現代史: なぜ日本のソフトウェア開発は「滝」なのか?製造業の成功体験とのギャップ #jassttokyo
takabow
3
1.9k
Amazon CloudWatch Application Signals ではじめるバーンレートアラーム / Burn rate alarm with Amazon CloudWatch Application Signals
ymotongpoo
3
150
フロントエンドも盛り上げたい!フロントエンドCBとAmplifyの軌跡
mkdev10
2
190
All You Need Is Kusa 〜Slackデータで始めるデータドリブン〜
jonnojun
0
140
Featured
See All Featured
How to Think Like a Performance Engineer
csswizardry
22
1.5k
RailsConf & Balkan Ruby 2019: The Past, Present, and Future of Rails at GitHub
eileencodes
135
33k
It's Worth the Effort
3n
184
28k
VelocityConf: Rendering Performance Case Studies
addyosmani
328
24k
Visualization
eitanlees
146
16k
Why Our Code Smells
bkeepers
PRO
336
57k
[RailsConf 2023] Rails as a piece of cake
palkan
53
5.4k
Designing Dashboards & Data Visualisations in Web Apps
destraynor
231
53k
StorybookのUI Testing Handbookを読んだ
zakiyama
28
5.6k
Sharpening the Axe: The Primacy of Toolmaking
bcantrill
40
2.2k
How GitHub (no longer) Works
holman
314
140k
Code Review Best Practice
trishagee
67
18k
Transcript
Trivy + Regoを用いたパッケージ脆弱性管理 Ubie株式会社 水谷 正慶 Ubie Tech Talk 2021.12.14
(Tue)
Confidential 2 会社概要 自己紹介 水谷 正慶(@m_mizutani) Ubie Discovery セキュリティエンジニア 略歴:
2011/4~ 日本IBM(東京基礎研究所、SOC) 2017/10~ Cookpad株式会社 2021/09~ Ubie株式会社
医師を目指し、起業するまで 外部パッケージの 脆弱性管理
Confidential 4 会社概要 現代のWebサービス開発 • 3rd party(主にOSS)パッケージの多大な恩恵 ◦ サービスの機能やフレームワークとして利用 ◦
開発用ツールとしての利用 • エコシステムの発展により依存関係が膨張 ◦ 1プロダクトあたり多いと数百〜数千パッケージへの依存 ◦ 利用パッケージがさらに別のパッケージに依存する
Confidential 5 会社概要 脆弱性の発見と対応 • パッケージ脆弱性の情報は取得しやすくなっている ◦ メディアの発展による脆弱性情報の流通 ◦ 脆弱性を検査するためのツールが充実
◦ Continuous Integratoin (CI) などの文化が広がりサー ビスも増えてきた • それによって既知の脆弱性は駆逐されたか? ◦ → 残念ながらそうでもない
医師を目指し、起業するまで なぜ既知の脆弱性を駆逐 できないのか?
Confidential 7 会社概要 課題1) 修正版がリリースされない • 外部パッケージなのでリリースタイミングをコントロールできな い ◦ 特にOSSの場合はコントリビュータの都合に依存する
◦ PR含む要望をだすことはできるが、取り入れられるかは 状況次第 • 依存関係の先のパッケージが脆弱な場合、依存元と依存先の すべてのパッケージが要対応
Confidential 8 会社概要 課題2) 更新によってプロダクトに破壊的変更が起きる(かも) • 必ずしも起きるとは限らないが検証は必要 • 破壊的変更が発生する場合は修正も必要 •
直ちに影響がないと見られる脆弱性についてはどうしても優先 順位が下がってしまう
Confidential 9 会社概要 課題3) パッケージ更新以外の方法で緩和されている • 脆弱性によっては外的要因によってリスクを低減できる ◦ 例) サーバ設定の変更
◦ 例) WAFなどのフィルタリング • 緩和した後、一定期間後に修正すべきなのか・長期的にその まま運用するのかという判断が必要 ◦ 判断の結果とツールの検査結果が紐付いて欲しい
医師を目指し、起業するまで ということで脆弱性の 「管理」が必要
Confidential 11 会社概要 要件1) プロダクト・脆弱性ごとに状態を管理したい • すぐに修正できない脆弱性の状態を管理 ◦ なぜ修正しない・できないか? ◦
いつまで様子見するか? • アップデートできないパッケージについて警告などをだしたくな い ◦ 無用な警告はノイズとなり、本来見るべき警告を見落とし てしまう
Confidential 12 会社概要 要件2) 組織全体で脆弱性の管理を統制したい • 全体の状況を把握したい ◦ どのような脆弱性があるか ◦
新しく検出された脆弱性があるか • 独自の脆弱性の評価が必要 ◦ 外部で評価された深刻度(CVSSなど)はブレがある ◦ 内部的にも脆弱性の特性を確認していく必要がある
Confidential 13 会社概要 要件3) 判定やCIの結果をカスタマイズしたい • 脆弱性の扱いを単純なルールで表現するのは困難 ◦ 複数の条件の組み合わせや例外の設定 ◦
Pass/Failだけでなく緊急度の判定などもやりたい • 脆弱性だけでなくプロダクト側の文脈も必要 ◦ 外部に公開しているプロダクトか? ◦ インターネットから直接アクセスできるか?
医師を目指し、起業するまで ということで
Confidential 15 会社概要 Octovy https://github.com/m-mizutani/octovy
Confidential 16 会社概要 Octovy • GitHub AppでソースコードをTrivyでスキャン • 脆弱性を検出したパッケージごとに対応状況を管理 •
リポジトリ・脆弱性に任意のラベルを付与可能 ◦ 例: m-mizutani/some-product → “外部公開” ◦ 例: CVE-2021-0000 → “Critical” • OPA/Regoを使うことで自由にCIの結果を制御 https://github.com/m-mizutani/octovy
Confidential 17 会社概要 OPA/Regoについて • OPA: ポリシーエンジン(サーバ or Go言語組み込み) •
Rego: ポリシー記述言語 • 「入力したJSONをポリシーに従って自由に判定・変換する」 • テスト可能かつ汎用的な判定エンジンとして利用可能
Confidential 18 会社概要 リポジトリごとの設定 https://github.com/m-mizutani/octovy 脆弱性の状態を 個別に管理可能 リポジトリの性質を 管理可能
Confidential 19 会社概要 アーキテクチャ ・検出した脆弱性情報 ・リポジトリ情報 ・パッケージ一覧情報 ・commitに関する情報
Confidential 20 会社概要 ポリシー管理 on GitHub
Confidential 21 会社概要 ポリシーの例 CriticalならFail Highかつ外部公開 ならFail msgを集計して conclusionを返す
Confidential 22 会社概要 Regoのテスト 特に問題ないテストデータ Criticalを含むテスト データ High & publicを含
むテストデータ High だけを含む テストデータ
Confidential 23 会社概要 Future Work 社内の様々なポリシーを集約し コードベースかつテスト可能な 管理にしていく
Confidential 24 会社概要 宣伝:OPA/Rego Advent Calender 2021 https://adventar.org/calendars/6601 • OPA概論
• Policy as Codeとは • Regoの基礎(概要編) • Regoの基礎(PolicyとData) • Regoの基礎(結果の出力編) • Regoの基礎(イテレーション編) • Regoの基礎(パッケージ編) • Regoの基礎(Safety) ︙ 以下、順次公開予定
Confidential 25 会社概要 まとめ • 社内プロダクトで利用しているパッケージ情報を俯瞰すること でリスクの把握・コントロールを用意にする • OPA/RegoによるPolicy as
Codeによる恩恵 ◦ 柔軟で自由なルールを記述できる ◦ テスト可能なので管理がしやすい ◦ コード管理により複数人で知見の共有ができる
Confidential 26 会社概要 セキュリティエンジニア募集 https://recruit.ubie.life/jd_dev/eng_productsec https://recruit.ubie.life/jd_dev/corp_sec コーポレートエンジニア (Security Administrator) ソフトウェアエンジニア
(Product Security) Ubieで一緒にセキュリティをエンジニアリングしていく 仲間を募集しています