一目でわかる
- 従来のプロバイダーやツールからの切り替え時においても、スキャン範囲に隙間が生じない
- 到達可能性分析を用いて、数万件に及ぶ調査結果を、重要なもの数件に絞り込んだ
- 評価 Aikido実証実験において、その精度は従来のツールよりも高いと評価された
- 移行作業を通じて、監査人や規制当局向けに、確固たる監査証跡を確保した
- 未処理の発見事項が山積みになっている状態ではなく、各開発者の前に、明確なチケットを1枚ずつ提示する
- Slackを通じて Aikido Slackを通じてチームと直接連携し、当日中の修正や迅速な対応を実現します
次々と明らかになる知見の洪水をかき分けて
Revolutは、2015年に設立され、ロンドンに本社を置くグローバルなフィンテック企業であり、現在40カ国で事業を展開し、四半期ごとに新製品を投入しています。同社のエンジニアリング部門には2,500人以上の開発者が在籍しており、アプリケーション層、クラウド、ネットワーク、AIといった分野を横断してこれほど急速に変化する環境においてセキュリティを確保することは、常に変化し続ける課題となっています。
アルサラン・ガジ氏は、Revolutのアプリケーションセキュリティ責任者であり、同社の顧客データを全面的に保護する役割を担っている。彼は、ソフトウェア構成解析における根本的な問題を、たった一行で説明している。
「SCA は、研究成果の宝庫です。毎日、毎週、数十万件もの研究成果が掲載されており、AIの助けを借りて研究者がオープンソースからさらに多くの成果を見つけ出せるようになったことで、その数はかつてないほど急増しています。」
難しいのは、脆弱性を見つけることではありません。どの脆弱性が重要なのかを見極めることです。
課題
ますます広がり続ける水門
SCA どのチームも手作業で選別しきれないほどの量の調査結果が生み出されており、研究者がオープンソースでより多くの問題を明らかにするにつれて、AIがそのペースをさらに加速させている。悪用可能な脆弱性とノイズ を区別する方法がなければ、セキュリティチームは修正作業ではなく、選別作業に時間を費やすことになる。
規制対象銀行が失敗を許されない移行
RevolutではすでにSCA ツールを運用していたため、移行は Aikido への移行は、ゼロからの構築ではなく、ベンダーの全面的な切り替えを意味しました。規制対象のフィンテック企業にとって、これは社内の自動化システムの再構築、ドキュメントの更新、そしてスキャン範囲に空白期間がなかったことを監査人や規制当局に証明することを意味します。
Revolutが選んだ理由 Aikido
実際の業務につながる到達可能性
この概念実証で特に際立っていたのは、到達可能性分析でした。これは、Revolutの伝達的なライブラリに実際に到達する脆弱性を特定するものであり、これによりチームはどの発見を優先すべきかを把握できるようになります。
「到達可能性分析により、転送依存ライブラリ内の実際の脆弱性が特定されます。約10,000件の問題のうち、どの問題を優先すべきか、またビジネス側が重点的に取り組んで修正すべき問題がどれなのかが明確になります。」
以前のツールよりも精度が高い
実際のリポジトリを用いて概念実証（PoC）を実施した結果、チームは Aikidoの精度を、それまで使用していたツールよりも高く評価しました。
「概念実証（PoC）では、その精度は、私たちがすでに使用していたツールよりも優れていました。」
まるで自社の一員のように働くチーム
製品そのものと同じくらい、サポート体制も際立っていました。
「私たちが問題を報告すると、その日のうちに修正してくれることもあります。Slackを通じた直接のやり取りで、15分以内に誰かが確認して返信してくれます。私たちは Aikido を第三者と見なすのではなく、自社のチームの一員として捉えています。」
開発者はなぜ重要なことだけを見るのか
Revolutでは、不具合の対応を個々の開発者に任せることはありません。アプリケーションセキュリティチームが全サービスにわたる対応を統括し、優先順位付けを行い、報告された数千件の問題のうち、実際に修正が必要なものを決定します。開発者がキューにログインして自分の担当業務を探すようなことは一切ありません。開発者には、Revolutの脆弱性 管理システムを通じて、 Aikido、関連するCVE、および移行すべきバージョンが記載されています。
「当社の開発者には、自分に割り当てられたチケットのみが送られ、そこには Aikido、CVE情報、および更新が必要なバージョンが記載されています。フィードバックは好意的です。彼らはチケット上で必要な情報を確認し、そのまま修正に取り掛かっています。」
その管理体制は、Revolutが新しいパッケージのバージョンをどのように扱うかという点にも及んでいます。新しいリリースがセキュリティ上の問題を抱えている可能性に備えるため、チーム独自のポリシーでは、推奨バージョンを本番環境に導入する前に5日間待つよう開発者に求めています。
従来のベンダーから、サービスの中断なく移行する
このスイッチが確保すべきだったのは「継続性」でした。つまり、リポジトリ全体にわたってSCA のスキャン範囲を一貫して維持し、チームが課題を見つけられないような隙間が生じないようにすることでした。
「ベンダーの切り替えは簡単なことではありません。自動化プロセスを再構築し、ドキュメントを更新し、監査人や規制当局に対して完全な監査証跡を提示しなければなりません。契約締結後は、導入作業が Aikido はスムーズかつ迅速に進みました。」
この移行だけが統合策ではなかった。Revolutは、「可能な限り自社開発を行う」という方針に沿って、独自のDAST ツールを社内で構築していたが、そのメンテナンスや手作業の負担が重かった。そこで同社は、 Aikido そのオーバーヘッドなしに機能することが確認されると、すぐにこれに置き換えた。
「Revolutでは、可能な限り社内で開発を行うようにしているため、独自のDAST ツールを保有していました。しかし、そのツールはメンテナンスの手間や手作業がかなり必要でした。そこで、 Aikido に置き換えました。なぜなら、導入しただけで問題なく動作したからです。」
Revolutの今後の展開
Revolutは現在、 Aikido 到達可能性分析を伴うソフトウェア構成解析および動的アプリケーションセキュリティテスト（DAST ）に利用しています。
チームは、アルサランが率直に指摘した課題を解消するため、Zen を用いた実行時保護の検討を進めている。
「私たちは『シフト・レフト』を実践していますが、右側を保護する仕組みがありません。ライブラリの更新には時間がかかるため、ゼロデイ攻撃のような脅威に対して、実行時に保護してくれる仕組みが欲しいのです。」
開発者のマシンにおけるサプライチェーンリスクに対処するため、デバイスの保護対策が試験導入されています。開発者のマシンでは、改ざんされたパッケージやワークステーションがますます懸念されています。AIを活用したペネトレーションテストは、今後の四半期のロードマップに盛り込まれており、初期の試験運用については現在も検証が進められています。アルサランがチームに掲げた目標は、外部プログラムよりも社内でより多くの問題を発見し、問題発見のバランスをさらに社内側にシフトさせ、開発サイクルの早い段階で問題を捕捉することです。
静的解析に関しては、Revolutは社内で独自の機能を構築しました。数年前に試用したサードパーティ製のSAST ツールでは、真に重大な脆弱性を検出することが難しかったため、チームはバグ報奨金プログラムやペンテスト での発見を基に独自のルールを策定し、コードベース全体とすべての新しいプルリクエストをスキャンするようにしました。現在、彼らが注目しているのは、 Aikidoの分析によって、ルールベースのシステムでは検出できない問題が発見されるかどうかだ。
「私たちは、どのような Aikido 発見される内容に注目しています。最近のいくつかの発見は、単純なルールベースのものではなく、SAST 向けにLLMを活用しており、それが現在、私たちに欠けている部分なのです。」
最終的な評価
アルサランはこの提携に関する自身の見解に、再び立ち返る。
「彼らは、私たちのコードやデータを保護する手助けをしてくれているだけでなく、実際の状況や、私たちが有効だと考える点に基づいて、ツールを成熟させる手助けもしてくれています。それが私にとって最大の魅力です。」
