JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと

by Takashi Yamaguchi

Slide 1

Slide 1 text

株式会社 Gunosy テクノロジー本部プロダクト開発部 SREチームマネージャー山口隆史 2023年10月16日(月) コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと

Slide 2

Slide 2 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 2 エレベーターピッチ［コンテナセキュリティに興味がある人］、［コンテナセキュリティをこれから始めたい人］向けに発表する［コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと］は［現場の泥臭い話］ですこれは［大きくない開発組織でのセキュリティ対応の現場での実践に基づいて構成しているため、現実感］がありこれまでの成功事例やベンダーのセールス資料とは違って［ツールの限界と、ツールを導入してから定常運用に至るまでの活動に焦点をあてている］

Slide 3

Slide 3 text

Slide 4

Slide 4 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 4 注意事項 ■ ステルスマーケティング規制対応（2023年10月1日〜） – Snykさんの宣伝と受け取られそうなところにPRマークをつけています ※注意 – Snykさんからは金銭もしくはその他の経済利益の提供はいただいていません – Tシャツはいただきました ● 発表するんですよ〜って伝えたら、「これ着て発表して！」ってことでいただきました PR

Slide 5

Slide 5 text

Slide 6

Slide 6 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 6 自己紹介氏名：山口隆史(やまぐちたかし) 所属：株式会社Gunosy テクノロジー本部プロダクト開発部 SREチームマネージャー業務：Pure SREとしての活動略歴：フリーランス、SIer等を渡り歩く→現職（2022/01〜）自称：Security Hub芸人好きなAWSサービス：Security Hub、CloudShell、サポート他：AWS Community Builder(Security & Identity)、JAWS-UG千葉支部運営第022587号

Slide 7

Slide 7 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 7 株式会社Gunosy ギリシャ語で「知識」を意味する「Gnosis（グノーシス）」＋「u(“you”)」「”Gnosis” for “you”」あなたのための知識　＝情報を届けるサービスを提供し続ける、という意味 ■ 2012年11月創業 ■ 2015年4月東証マザーズ上場 ■ 2017年12月東証第一部に市場変更 ■ 2022年4月東京証券取引所の市場一部からプライム市場に移行 ■ 従業員数 252名（2023年5月末現在連結ベース） ■ 事業内容 – 情報キュレーションサービスその他メディアの開発及び運営 ■ 提供サービス　グノシー、ニュースパス、 auサービスToday、YOU IN 企業理念「情報を世界中の人に最適に届ける」

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

（C） Gunosy Inc. All Rights Reserved. PAGE | ホスト・基盤 17 コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub 定期的自動的にスキャン（コード、OSS、ライセンス、Dockerfile）

Slide 18

Slide 18 text

（C） Gunosy Inc. All Rights Reserved. PAGE | ホスト・基盤 18 コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub EKS ECS マニュフェストをスキャン使用Imageをスキャン

Slide 19

Slide 19 text

（C） Gunosy Inc. All Rights Reserved. PAGE | ホスト・基盤 19 コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub EKS ECS EC2 Fargate ワークロード保護ランタイム保護

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 24 ツール（Snyk）を導入することでカバーできる範囲開発 GitHub CI/CD コンテナレジストリオーケストレーターホスト・基盤パイプラインで求められる内容開発者の手元でスキャン PR作成時に差分スキャン定期的自動的にスキャンビルドした成果物をスキャン定期的自動的にスキャンマニュフェストをスキャン使用Image をスキャンワークロード保護ランタイム保護 AWSサービスで対応できること Snykで対応できること GuardDuty Inspector Amazon CodeWhisperer 一部対応 Imageスキャン PR

Slide 25

Slide 25 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 25 ツール（Snyk）を導入することでカバーできる範囲開発 GitHub CI/CD コンテナレジストリオーケストレーターホスト・基盤パイプラインで求められる内容開発者の手元でスキャン PR作成時に差分スキャン定期的自動的にスキャンビルドした成果物をスキャン定期的自動的にスキャンマニュフェストをスキャン使用Image をスキャンワークロード保護ランタイム保護 AWSサービスで対応できること Snykで対応できること GuardDuty Inspector Amazon CodeWhisperer 一部対応 Imageスキャン PR Snykを導入することでほぼほぼカバーできる

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 30 初期導入時の大量の脆弱性への対応 ■ 初期導入時に大量に検出されるはずの既存の脆弱性への対応が大変 – 優先順位を付けて順次対応していく必要がある（これは初期導入後の運用時も必要） ● internet-facing / internal（攻撃面） ● 攻撃コードの公開有無 ● 脆弱性の重大度 ● 攻撃された際の業務影響引用　米カーネギーメロン大学ソフトウェア工学研究所公開のオリジナル論文より https://resources.sei.cmu.edu/asset_files/WhitePaper/2021_019_001_653461.pdf 

Slide 31

Slide 31 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 31 初期導入時の大量の脆弱性への対応 ■ 初期導入時に大量に検出されるはずの既存の脆弱性への対応が大変 – 優先順位を付けて順次対応していく必要がある（これは初期導入後の運用時も必要） ● internet-facing / internal ● 攻撃コードの公開有無 ● 脆弱性の重大度 ● 攻撃された際の業務影響 ■ なぜ必要なのか？ – 全部対応してくださいだと拒絶が先に来てしまう ● 優先順位をつけて対応していくことで、開発チーム側の理解を得やすい

Slide 32

Slide 32 text

Slide 33

Slide 33 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 33 脆弱性への対応の追跡（チケット管理） ■ 導入後の脆弱性消し込み段階ではリポジトリ・Image単位でJIRAチケットを起票する – Snykの機能でサポートされているのは脆弱性単位のJIRAチケット起票 ■ Why – 初期導入時の脆弱性消し込み段階だと、脆弱性単位だと大量にJIRAチケットが発生する ● 開発チームの拒絶反応に直結してしまう

Slide 34

Slide 34 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 34 脆弱性への対応の追跡（チケット管理） ■ 導入後の脆弱性消し込み段階ではリポジトリ・Image単位でJIRAチケットを起票する – Snykの機能でサポートされているのは脆弱性単位のJIRAチケット起票 ■ Why – 初期導入時の脆弱性消し込み段階だと、脆弱性単位だと大量にJIRAチケットが発生する – 開発チームの拒絶反応に直結してしまう ■ 脆弱性が消し込み終わった段階で、脆弱性単位のJIRAチケット起票に切り替える（まだできてません）

Slide 35

Slide 35 text

Slide 36

Slide 36 text

（C） Gunosy Inc. All Rights Reserved. PAGE | 36 まとめ ■ セキュリティ対応ツールに期待しすぎない – 脆弱性を減らすのは結局はマンパワーと事前調整が必要です ■ セキュリティ対応ツールを導入すると結構なところまではツールがやってくれます – うまくツールとサポートを使いましょう ■ テストの自動化、いい感じのCI/CD等の開発の足回りの強化は脆弱性対応にも効きます – 普段から整備しておきましょう