進化する事業とデータ構造 ~Cloudbaseの場合~

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

自己＆事業紹介   自己紹介  5 © Cloudbase Inc. All rights reserved 佐藤琢斗（tockn）  ・20新卒で株式会社ディー・エヌ・エー  　・ライブ配信サービスの開発、立ち上げに携わる  ・22年8月にCloudbase株式会社へJOIN  　・初期のスキャナ、アプリケーションを開発  　・現在はアプリケーションチームのエンジニア  tockn_s  tockn 

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

事業の進化とデータ構造の変化   コンテナスキャンのデータ構造v1  ・クラウド上のコンテナイメージをスキャンし、脆弱性を検出  ・スキャン結果のデータ構造  　・スキャン対象のコンテナリポジトリ＆イメージと、それに紐づく脆弱性を表したテーブル設計  14 © Cloudbase Inc. All rights reserved コンテナイメージテーブル     イメージ1, リポジトリ1  イメージ2, リポジトリ1  ︙  コンテナイメージの検出脆弱性テーブル     イメージ1, CVE-2021-44228  イメージ1, CVE-2022-22965  イメージ2, CVE-2021-44228  ︙  ⚠ かなり抽象的なイメージです   コンテナリポジトリテーブル     リポジトリ1, name-1,  リポジトリ2, name-2  ︙ 

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

事業の進化とデータ構造の変化   VMスキャンのデータ構造v1  ・Amazon EC2などのVMに潜む脆弱性を検出  ・スキャン結果のデータ構造  　・スキャン対象のVMと、それに紐づく脆弱性を表したテーブル設計  17 © Cloudbase Inc. All rights reserved VMテーブル    VM1, hoge-server  VM2, fuga-server  ︙  VMの検出脆弱性テーブル     VM1, CVE-2021-44228  VM1, CVE-2022-22965  VM2, CVE-2021-44228  ︙  ⚠ かなり抽象的なイメージです  

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

事業の進化とデータ構造の変化   Functionスキャンのデータ構造？？？？  ・AWS LambdaなどのFunctionに潜む脆弱性スキャン  ・スキャン結果のデータ構造？？？？  　・スキャン対象のFunctionと、それに紐づく脆弱性を表したテーブル設計…？？？？  21 © Cloudbase Inc. All rights reserved Functionテーブル？？？    Function1, hoge-function  Function2, fuga-function  ︙  Functionの検出脆弱性テーブル？？？     Function1, CVE-2021-44228  Function1, CVE-2022-22965  Function2, CVE-2021-44228  ︙  ⚠ かなり抽象的なイメージです ?? 

Slide 22

Slide 22 text

Slide 23

Slide 23 text

事業の進化とデータ構造の変化   Functionスキャン…？ちょっと待った！  ・スキャンの種類毎にデータが独立  ・冗長！横断検索もできない！  23 © Cloudbase Inc. All rights reserved コンテナイメージテーブル     イメージ1, リポジトリ1,  イメージ2, リポジトリ2  ︙  コンテナイメージの検出脆弱性テーブル    イメージ1, CVE-2021-44228  イメージ1, CVE-2022-22965  イメージ2, CVE-2021-44228  ︙  VMテーブル    VM1, hoge-server,  VM2, fuga-server  ︙  VMの検出脆弱性テーブル     VM1, CVE-2021-44228  VM1, CVE-2022-22965  VM2, CVE-2021-44228  ︙  Functionテーブル    Function1, hoge-function,  Function2, fuga-function  ︙  Functionの検出脆弱性テーブル     Function1, CVE-2021-44228  Function1, CVE-2022-22965  Function2, CVE-2021-44228  ︙  ⚠ かなり抽象的なイメージです  

Slide 24

Slide 24 text

事業の進化とデータ構造の変化   Functionスキャン…？ちょっと待った！  ・スキャンの種類毎にデータが独立  ・冗長！横断検索もできない！    データ構造を変えよう！  24 © Cloudbase Inc. All rights reserved コンテナイメージテーブル     イメージ1, リポジトリ1,  イメージ2, リポジトリ2  ︙  コンテナイメージの検出脆弱性テーブル    イメージ1, CVE-2021-44228  イメージ1, CVE-2022-22965  イメージ2, CVE-2021-44228  ︙  VMテーブル    VM1, hoge-server,  VM2, fuga-server  ︙  VMの検出脆弱性テーブル     VM1, CVE-2021-44228  VM1, CVE-2022-22965  VM2, CVE-2021-44228  ︙  Functionテーブル    Function1, hoge-function,  Function2, fuga-function  ︙  Functionの検出脆弱性テーブル     Function1, CVE-2021-44228  Function1, CVE-2022-22965  Function2, CVE-2021-44228  ︙  ⚠ かなり抽象的なイメージです  

Slide 25

Slide 25 text

事業の進化とデータ構造の変化   データ構造を変更  ・脆弱性スキャン対象のリソースを表す抽象的なテーブル  　・脆弱性検出結果はその抽象リソーステーブルに紐づける  　・要はCTI (Class Table Inheritance)  ・扱いやすく、横断検索も可能に  25 © Cloudbase Inc. All rights reserved ⚠ かなり抽象的なイメージです   脆弱性スキャン対象リソーステーブル   id , type  リソース1, コンテナ  リソース2, コンテナ  リソース3, VM  リソース4, VM  リソース5, Function  リソース6, Function  ︙  検出脆弱性テーブル     id-1, CVE-2021-44228  id-2, CVE-2022-22965  id-3, CVE-2021-44228  ︙  コンテナイメージテーブル     リソース1, リポジトリ1,  リソース2, リポジトリ2  ︙  VMテーブル    リソース3, hoge-server,  リソース4, fuga-server  ︙  Functionテーブル    リソース5, hoge-function,  リソース6, fuga-function  ︙ 

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

どのようにマイグレーションしたか？   整合性を確かめたい  データのパターンが膨大  ・クラウドプロバイダ  ・対象サービス  ・検出項目  ・脆弱性  31 © Cloudbase Inc. All rights reserved AWS  Google Cloud  Azure  CVE-2021-44228  CVE-2022-22965  GCE  ECS  ECR  GCR  EC2  Key Vault  Windows  Ubuntu  Amazon Linux  RHEL  S3  IAM  検出対象・環境は多岐に渡る  CVE-2023-44487  SSHポート解放  ストレージ公開 

Slide 32

Slide 32 text

どのようにマイグレーションしたか？   整合性を確かめたい  データのパターンが膨大  ・クラウドプロバイダ  ・対象サービス  ・検出項目  ・脆弱性  32 © Cloudbase Inc. All rights reserved AWS  Google Cloud  Azure  CVE-2021-44228  CVE-2022-22965  GCE  ECS  ECR  GCR  EC2  Key Vault  Windows  Ubuntu  Amazon Linux  RHEL  S3  IAM  検出対象・環境は多岐に渡る  CVE-2023-44487  → 事前に検証データを用意するのは難しい  SSHポート解放  ストレージ公開 

Slide 33

Slide 33 text

どのようにマイグレーションしたか？   不整合チェッカーを開発  ・本番環境のデータで検証する  ・v1, v2の集計値を比較し、不整合が無いかをチェックするツール  　・検出数サマリなど  ・デイリーで検証し、異常があればSlack通知  （Platform Teamが開発してくれた）    ・不整合があれば修正し、潰しきったのを見てv2へ切り替え  33 © Cloudbase Inc. All rights reserved

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

どう設計しておけばよかった？   将来的に開発予定だが今はやらない機能要件  ・基本的には考慮するべき  ・ただし「今考慮することのコスト」vs「将来考慮することのコスト&マイグレーションコスト」との天秤  　　・例えばマイグレーションコストが低い予想が付き、現段階で要件定義をすることのコストが高いのであれば  　　　設計スコープから外すべき  41 © Cloudbase Inc. All rights reserved

Slide 42

Slide 42 text

どう設計しておけばよかった？   将来的に開発するかわからないが何となくやりそうな機能要件  ・考慮しないほうがよい場合が多そう  ・こちらも「今考慮することのコスト」vs「将来考慮することのコスト&マイグレーションコスト」との天秤  ・ただしこの解像度の低さから要件定義をするコストは高く付きがち  　・諦めて要件定義が曖昧な状態での設計をするとギャンブル性を持ったオーバーエンジニアリングになる  42 © Cloudbase Inc. All rights reserved

Slide 43

Slide 43 text

Slide 44

Slide 44 text

どう設計しておけばよかった？   今回のケースで考えてみる  ・VMスキャン、Functionスキャンは「将来的に開発予定だが今はやらない機能要件」  　・今回はやらないが、脆弱性領域に本格的に踏み出すならば開発することはわかっていた  ・横断検索は「将来的に開発するかわからないが何となくやりそうな機能要件」  　・「横断検索あったら便利だろうな〜」くらいの気持ちはあった  44 © Cloudbase Inc. All rights reserved

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

どう設計しておけばよかった？   コストの天秤  ・「今考慮することのコスト」vs「将来考慮することのコスト&マイグレーションコスト」  ・今考慮することのコスト  　・VMスキャン、Functionスキャンの仕様、技術的制約の明確化が必要  　　・脆弱性市場をまずは見に行くという目的の上では、コスト高  ・将来考慮することのコスト&マイグレーションコスト  　・スキャンの仕様、技術的制約の明確化コスト自体は今も将来も変わらない  　・性質上、ダブルライト可能でマイグレーションコストが低  47 © Cloudbase Inc. All rights reserved