JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと

株式会社 Gunosy テクノロジー本部プロダクト開発部 SREチームマネージャー山口隆史 <YAMAGUCHI Takashi>
2023年10月16日(月) コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと

（C） Gunosy Inc. All Rights Reserved. PAGE | 2 エレベーターピッチ
［コンテナセキュリティに興味がある人］、［コンテナセキュリティをこれから始めたい人］向けに発表する［コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと］は［現場の泥臭い話］ですこれは［大きくない開発組織でのセキュリティ対応の現場での実践に基づいて構成しているため、現実感］がありこれまでの成功事例やベンダーのセールス資料とは違って［ツールの限界と、ツールを導入してから定常運用に至るまでの活動に焦点をあてている］

（C） Gunosy Inc. All Rights Reserved. PAGE | 3 LT終了後に狙う状態
論理面 - セキュリティ対策を現場に適用して、理想的な運用状態になるまでに発生する・した課題が理解できる - セキュリティツールを導入したら解決できる問題、解決できない問題が理解できる感情面 - セキュリティ対策に興味を持ってやってみようと思える

（C） Gunosy Inc. All Rights Reserved. PAGE | 4 注意事項
▪ ステルスマーケティング規制対応（2023年10月1日〜） – Snykさんの宣伝と受け取られそうなところにPRマークをつけています ※注意 – Snykさんからは金銭もしくはその他の経済利益の提供はいただいていません – Tシャツはいただきました • 発表するんですよ〜って伝えたら、「これ着て発表して！」ってことでいただきました PR

（C） Gunosy Inc. All Rights Reserved. PAGE | 6 自己紹介
氏名：山口隆史(やまぐちたかし) 所属：株式会社Gunosy テクノロジー本部プロダクト開発部 SREチームマネージャー業務：Pure SREとしての活動略歴：フリーランス、SIer等を渡り歩く→現職（2022/01〜）自称：Security Hub芸人好きなAWSサービス：Security Hub、CloudShell、サポート他：AWS Community Builder(Security & Identity)、JAWS-UG千葉支部運営第022587号

（C） Gunosy Inc. All Rights Reserved. PAGE | 7 株式会社Gunosy
ギリシャ語で「知識」を意味する「Gnosis（グノーシス）」＋「u(“you”)」「”Gnosis” for “you”」あなたのための知識　＝情報を届けるサービスを提供し続ける、という意味 ▪ 2012年11月創業 ▪ 2015年4月東証マザーズ上場 ▪ 2017年12月東証第一部に市場変更 ▪ 2022年4月東京証券取引所の市場一部からプライム市場に移行 ▪ 従業員数 252名（2023年5月末現在連結ベース） ▪ 事業内容 – 情報キュレーションサービスその他メディアの開発及び運営 ▪ 提供サービス　グノシー、ニュースパス、 auサービスToday、YOU IN 企業理念「情報を世界中の人に最適に届ける」

（C） Gunosy Inc. All Rights Reserved. PAGE | 9 アジェンダ
話すこと • コンテナセキュリティ対策で求められる内容とは • ツール（Snyk）を導入することでできること • 導入後に運用を開始するために必要なこと（導入するだけではできないこと） • まとめ

（C） Gunosy Inc. All Rights Reserved. PAGE | ホスト・基盤 11
Gunosyのデプロイパイプラインの一例オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub EKS ECS EC2 Fargate

コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者開発者の手元でスキャン（コード、OSS、ライセンス、Dockerfile、マニュフェスト）

コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ PR作成時に差分スキャン（コード、OSS、ライセンス、Dockerfile）定期的自動的にスキャン（コード、OSS、ライセンス、Dockerfile）

コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions Argo CD ビルドした成果物をスキャン（コード、OSS、ライセンス、Dockerfile、マニュフェスト）

コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub 定期的自動的にスキャン（コード、OSS、ライセンス、Dockerfile）

コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub EKS ECS マニュフェストをスキャン使用Imageをスキャン

コンテナセキュリティ対策で求められる内容オーケストレーターレジストリ CI/CD 開発開発者 Gitリポジトリ CircleCI GitHub Actions ECR （Private Registry） Argo CD Docker Hub EKS ECS EC2 Fargate ワークロード保護ランタイム保護

（C） Gunosy Inc. All Rights Reserved. PAGE | 22 Snykとは
PR

（C） Gunosy Inc. All Rights Reserved. PAGE | 23 Snykとは
PR

（C） Gunosy Inc. All Rights Reserved. PAGE | 24 ツール（Snyk）を導入することでカバーできる範囲
開発 GitHub CI/CD コンテナレジストリオーケストレーターホスト・基盤パイプラインで求められる内容開発者の手元でスキャン PR作成時に差分スキャン定期的自動的にスキャンビルドした成果物をスキャン定期的自動的にスキャンマニュフェストをスキャン使用Image をスキャンワークロード保護ランタイム保護 AWSサービスで対応できること Snykで対応できること GuardDuty Inspector Amazon CodeWhisperer 一部対応 Imageスキャン PR

（C） Gunosy Inc. All Rights Reserved. PAGE | 25 ツール（Snyk）を導入することでカバーできる範囲
開発 GitHub CI/CD コンテナレジストリオーケストレーターホスト・基盤パイプラインで求められる内容開発者の手元でスキャン PR作成時に差分スキャン定期的自動的にスキャンビルドした成果物をスキャン定期的自動的にスキャンマニュフェストをスキャン使用Image をスキャンワークロード保護ランタイム保護 AWSサービスで対応できること Snykで対応できること GuardDuty Inspector Amazon CodeWhisperer 一部対応 Imageスキャン PR Snykを導入することでほぼほぼカバーできる

（C） Gunosy Inc. All Rights Reserved. PAGE | 28 運用フローでSnykでカバーできる範囲
[定期･自動] スキャン DBとの照合ダッシュボードで確認 or 通知で確認トリアージ脆弱性対応無影響確認・テストデプロイ網羅的なスキャン強力な修正 Suggest 一覧で確認しやすいダッシュボード PR

（C） Gunosy Inc. All Rights Reserved. PAGE | 30 初期導入時の大量の脆弱性への対応
▪ 初期導入時に大量に検出されるはずの既存の脆弱性への対応が大変 – 優先順位を付けて順次対応していく必要がある（これは初期導入後の運用時も必要） • internet-facing / internal（攻撃面） • 攻撃コードの公開有無 • 脆弱性の重大度 • 攻撃された際の業務影響引用　米カーネギーメロン大学ソフトウェア工学研究所公開のオリジナル論文より https://resources.sei.cmu.edu/asset_files/WhitePaper/2021_019_001_653461.pdf 

（C） Gunosy Inc. All Rights Reserved. PAGE | 31 初期導入時の大量の脆弱性への対応
▪ 初期導入時に大量に検出されるはずの既存の脆弱性への対応が大変 – 優先順位を付けて順次対応していく必要がある（これは初期導入後の運用時も必要） • internet-facing / internal • 攻撃コードの公開有無 • 脆弱性の重大度 • 攻撃された際の業務影響 ▪ なぜ必要なのか？ – 全部対応してくださいだと拒絶が先に来てしまう • 優先順位をつけて対応していくことで、開発チーム側の理解を得やすい

▪ 導入後の脆弱性消し込み段階ではリポジトリ・Image単位でJIRAチケットを起票する – Snykの機能でサポートされているのは脆弱性単位のJIRAチケット起票 ▪ Why – 初期導入時の脆弱性消し込み段階だと、脆弱性単位だと大量にJIRAチケットが発生する • 開発チームの拒絶反応に直結してしまう

▪ 導入後の脆弱性消し込み段階ではリポジトリ・Image単位でJIRAチケットを起票する – Snykの機能でサポートされているのは脆弱性単位のJIRAチケット起票 ▪ Why – 初期導入時の脆弱性消し込み段階だと、脆弱性単位だと大量にJIRAチケットが発生する – 開発チームの拒絶反応に直結してしまう ▪ 脆弱性が消し込み終わった段階で、脆弱性単位のJIRAチケット起票に切り替える（まだできてません）

（C） Gunosy Inc. All Rights Reserved. PAGE | 36 まとめ
▪ セキュリティ対応ツールに期待しすぎない – 脆弱性を減らすのは結局はマンパワーと事前調整が必要です ▪ セキュリティ対応ツールを導入すると結構なところまではツールがやってくれます – うまくツールとサポートを使いましょう ▪ テストの自動化、いい感じのCI/CD等の開発の足回りの強化は脆弱性対応にも効きます – 普段から整備しておきましょう

情報を世界中の人に最適に届ける

JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 コンテナセキュリティ対応でS...

JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 コンテナセキュリティ対応でSnykを導入中に 発生した・発生中のいろんなこと

More Decks by Takashi Yamaguchi

Other Decks in Technology

Featured

Transcript

JAWS-UG コンテナ支部 × JAWS-UG 千葉支部 #1 コンテナセキュリティ対応でSnykを導入中に発生した・発生中のいろんなこと