TrivyによるTerraform脆弱性検知

Transcript

1. TrivyによるTerraform脆弱性検知 Naoki Suzuki
2. アジェンダ 1 課題： ・IaCにおけるセキュリティリスク ・現在のTerraform運用課題 2 セキュリティスキャナー： ・Trivyとは 3 実装プロセス： ・手動スキャン ・CI/CD連携 4 導入効果と今後の展望 1
3. 01 1. 課題 2
4. IaC運用におけるセキュリティ課題 コード化されたインフラに潜むリスク 設定ミスの見落とし セキュリティグループの全開放（ 0.0.0.0/0）や、リソースの暗号化忘れなど、 単純だが致命的なミス がレビューを すり抜けてしまう。 属人的なレビュー セキュリティチェックの品質がレビュアーのスキルに依存しており、 チェック基準が統一されていない ため、品質 にばらつきがある。 手戻りのコスト デプロイ後や運用開始後に脆弱性が発覚し、修正のための手戻り工数が発生し、 開発スピードを阻害 する可能 性がある。 3
5. 現在のTerraform運用課題 テンプレ利用 テンプレを使用することで開発スピードが上がる一方、脆弱性を検知しないまま applyしてしまう。 脆弱性検知パターン AWS環境への構築後、Guard Dutyを利用した脅威検出が可能だが、基盤構築後に判断できるため構築前に脆 弱性を検知できない。 Azure・GCPへの脆弱性検知 AWSにはGuard Dutyがテンプレで存在するが、 Azure・GCPはテンプレがないので脆弱性を検知する仕組みを 実装する必要がある。 4
6. 02 2. セキュリティスキャナー 5
7. Trivyとは オープンソースのセキュリティスキャナー スキャン対象 検出する内容 ・脆弱性: OSパッケージやアプリケーションの依存関係ライブラリの既知 の脆弱性 (CVE) ・ライセンス: ソフトウェアのライセンス違反をチェック ・セキュリティ設定ミス: IaCファイルやKubernetesマニフェストにおけるセキュリティ上 の設定ミスのチェック メリット ・導入が容易: シングルバイナリで依存関係がなく、インストールが簡単 ・CI/CD親和性: GitHub Actionsなどに簡単に組み込める ・包括的: OSパッケージと言語ライブラリの両方をカバー 6 コンテナイメージ、ファイルシステム、Gitリポジトリ、 Kubernetes、IaC、マルチクラウド環境など
8. 033. 実装プロセス 7
9. 手動スキャン ローカル検証方法 1 ローカル環境での検証 Trivyをインストールし、既存の Terraformコードに対して `trivy config .` を実行。 検出されるアラートの傾向とノイズを確認。 2 ベースラインの策定 クリティカルな項目（ HIGH/CRITICAL）に絞り込み、既存の脆弱性を修正。 修正不可能なものは `.trivyignore` で一時的に除外設定。 8
10. 9 ローカルでの実行例
11. 10 GitHub Actions(CI)での実行例
12. 044. 導入効果と展望 12
13. 導入前後の変化 セキュリティ品質と開発体験の向上 導入前 (Before) • 目視確認による抜け漏れが発生 • Terraform planが通ればapplyしていた • レビュー依頼時のレビュアーの属人性が高い 導入後 (After) • 機械的なチェックによる網羅性確保 • 本質的な設計レビューに集中可能 • コード作成段階での即時フィードバック 13
14. 今後導入できれば良さそうな流れ セキュリティチェックの流れ Developer Terraformコード修正 Pull Request作成 検知事項の修正 GitHub Actions (CI) Trivy Config Scan実行 脆弱性判定 (Severity) CRITICAL以上でJob失敗 Reviewer コードレビュー Security Check確認 マージ承認 11
15. Fin