一目でわかる
- Aikido チームを誤検知の嵐に巻き込んでいた一連のオープンソースのセキュリティツールを置き換えた
- 開発者たちは現在、 Aikidoの調査結果を、解決すべき実際の問題の暫定リストとして扱っている
- ワンクリックの「AutoFix」プルリクエストは、Codafication独自のレビューパイプラインを通じて、数分以内に作業ブランチに反映されます。
- サプライチェーン攻撃の最中にクライアントから証明を求められた際、ある Aikido ダッシュボードのリンクに答えが用意されていた
あるオープンソース・スタックによって、セキュリティは「量」の問題となってしまった
ブリスベンの保険ソフトウェア企業であるCodaficationは、自社のエンジニアが組み立てたオープンソースのセキュリティツールを一式置き換えた後、 Aikidoを導入し、自社のエンジニアが独自に組み合わせていた一連のオープンソースのセキュリティツールに取って代わった。
CTOのカーティス・ウィルキンソン氏は、セキュリティ担当スタッフやクラウドインフラから、品質保証（QA）、エンジニアリング、プロダクトに至るまで、Codaficationのあらゆる技術部門を統括している。2015年に設立されたCodaficationは、オーストラリアの大手保険会社の多くが、建物や家財の損害賠償請求に伴う修繕管理に利用している保険請求管理ソフトウェアを開発している。同社の主力製品は、70～80の個別のコンポーネントで構成されている。
それ以前には Aikido、チームはCI/CD パイプライン内でコンテナチェックを実行していました。これはSAST のツールであり、生成されたSBOM はオープンソースのトラッカーに送信されていました。この構成は設定通りに正確に機能していましたが、その背後にある手作業の負担が膨大になり、対応しきれない状態になっていました。誤検知が大量に発生していましたが、それらをフィルタリングするための重複排除、グループ化、自動トリアージ、到達可能性分析といった機能は一切ありませんでした。
「何かがエラーとして表示されて、『あれ、一体何なんだ？』って思うんだ。ググってみると、1925年のアドビの変な機能とかが出てきて、実際に問題が見つかったことに、むしろ驚いてしまうほどだった。」
たった1つの実際の問題を確認するには、そのコードで問題の関数が実際に使用されているかどうかを手作業で確認する必要がありました。チームが作業に利用しているJiraとは一切連携していなかったため、チケット1件ごとに2か所でコピー＆ペーストや更新作業を行う必要がありました。改善を行うたびに、それに加えてエンジニアの作業時間がさらにかかってしまうことになっていました。
「企業としての私たちの役割は、自社のスタック全体にわたって独自のセキュリティ管理プラットフォームを構築することではありません。」
チームが実際に修正した不具合の一覧
Aikido これは現在、Codaficationが継続的に実施している是正プログラムに活用されており、最初に変更されたのは検出結果の一覧でした。重複排除と課題のグループ化により、製品のすべてのコンポーネントにわたる検出結果が1つのビューに集約され、各課題が発生している場所や、どのチームが修正すべきかが一目でわかるようになっています。
また、同チームは Aikido「AIコードセキュリティ監査」（AIコード分析の一部）を、プラットフォームを支えるコードの大部分に対して実行した。実行には14時間を要したが、チームは結果の中に誤検知をまだ見つけていない。そのため、発見された問題への対応は容易だった。それらは是正ロードマップの最優先事項となり、開発者たちは約6週間で39件を修正・マージした。カーティスは開発者たちにアクセス権を与え、彼らの見解を求めた。
「そのコメントはこうだった。『うわっ、これは本物の情報だ。ここにあるものはすべて、おそらく役に立たないもののリストとしてではなく、解決すべき問題として扱うべきだ』」
AutoFixのプルリクエストの約4分の3は、チームによる変更を一切加えられることなくマージされています。 Aikido プルリクエストが提出されると、Codafication社のレビュー担当者が評価を行い、最終的なマージ承認へと進みます。通常、10分以内に作業ブランチに反映されます。カーティスは、AutoFixによるプルリクエストの第一波が到着し、自らそのリストを処理した際に、その違いを実感しました。これらの修正をすべて手作業で行っていたら、1件あたり30分から2時間はかかっていたでしょう。
「たった一つのボタンをクリックするだけで済むようになった。」
Jiraとの連携により、チケットのステータスが1か所に集約されるようになりました。カーティスはリストをスクロールするだけで、各修正の担当開発者や担当テスターを確認でき、セキュリティ修正もスプリントレポートに反映されます。この設定中に疑問点が生じるたびに、チームは共有チャネルを通じて Aikidoの技術スタッフに共有チャンネルを通じて直接相談しました。
「彼らはとても親切で、協力的でした。責任のなすり合いなど一切ありませんでした。実際に問題を解決できる人たちが、そのチャネルにすぐそこにいました。」
Codaficationが選んだ理由 Aikido
- Aikido Safe Chain。これは、悪意のあるオープンソースパッケージがインストールされる前にブロックする無料ツールであり、 Aikido「デバイス保護」の起点となるものです。npmのサプライチェーン攻撃がエコシステムを次々と襲った際、チームがすべての開発者用デバイスに導入したツールです
- Aikido同チームの脅威インテリジェンス作成に際して参照した情報源の中に、すでにその脅威に関する調査結果が含まれていた
- チームが機能を検証し、どの機能を最初に有効にするかを選択できるようにした概念実証
「私たちはSafe Chainとの取引で良い経験をしていましたし、 Aikido 良い会社だということは分かっていました。だから、実際に足を運んで、彼らがどんなサービスを提供しているのか見てみるのが理にかなっていたのです。」
Aikido クライアントが尋ねる前に答えを用意していた
Codaficationの顧客は、リスク許容度が極めて低い規制産業に従事しています。そのため、サプライチェーン攻撃を注視しています。大規模な攻撃が発生すると、メールや電話が殺到します。
先日のある攻撃の際、カーティスは出張中だった。 Aikido同社のアカウントチームが共有チャンネルにダッシュボードのリンクを投稿した。一目見ただけで緑色のチェックマークが表示されていた。Codaficationは影響を受けていなかったのだ。30分も経たないうちに、あるクライアントからメールが届き、Codaficationに対し、本番システムに影響がないことを証明するよう求められた。
「『はい』と言うだけで済むようになったので、ずいぶん楽になりました。」
以前なら Aikidoなら、カーティスは次の定期チェックが実行されるまで、タイミングにもよるが数時間ほど待ってからでないと答えられなかっただろう。しかし今回は、クライアントが質問する前から答えを用意していた。
Codaficationの活用方法 Aikido 今日
「私たちは、 Aikido 。その多くは手作業で作成されていたものを置き換えるものですが、中には単に新しい機能として追加されたものもあります。」
- 社内ツール、自動化、およびインフラストラクチャのリポジトリにおける主要なセキュリティゲートとしてのプルリクエストのチェック
- 主要な製品リポジトリにおけるAutoFixおよび予防的なブランチチェック
- AIコードセキュリティ監査。クレームプラットフォームを支えるコードの大部分を対象に実施
- コード品質のチェックに加え、コードカバレッジの追跡
- Jiraとの連携によるスプリントエンジニアリングレポートの生成
- ドメイン監視の結果、その最初の調査結果が、前回の外部ペンテスト レポートで指摘された2つの既知の問題と一致した
- 次は、コンテナリポジトリへのアクセスについてです。また、年2回実施される外部の「ペンテスト 」と同じ範囲を対象としたAIによるペンテスト を実施し、その結果を比較します。
最終的な評価
「これまでは、特定の1つの部分をカバーするツールは常にありました。しかし、それらすべてを統合し、管理しやすく、状況が把握できているかどうかを確認できるようなツールは、これまでありませんでした。」
