一目でわかる
- SCA 用のSnyk、静的解析用のSonar、ビルド時のスキャン用のOWASP ZAPという3つの別々のツールを、Aikido の1つのコードコンポーネントに統合しました
- PCI監査において到達可能性分析を行い、監査を妨げる重大な不備がクライアント側のものであり、悪用不可能であることを示した
- マージやビルドの前に、重大および高リスクの不具合をブロックする実際のゲートを、架空のゲートに置き換えた
- 以前のツールを担当していたエンジニアリングチームを納得させた
- Shai-Huludによるサプライチェーン攻撃により旧スタックの脆弱性が露呈したことを受け、統合に移行した
発見された問題は多すぎるが、対策が不十分だ
Reward Gatewayは、企業が従業員を大切にするために活用する、評価・報酬・ウェルビーイング・割引などの機能を提供する、従業員エンゲージメントおよび福利厚生向けソフトウェアを開発しています。2006年にロンドンで設立され、現在はEdenredグループの一員となっています。同社はSaaSプラットフォームとして運営されており、大量の取引や機密データを扱うため、PCIの適用対象となっています。同社のプラットフォームは、顧客企業の1,000万人以上の従業員に利用されています。
エンジェル・インジョフ氏は、リワード・ゲートウェイのサイバーセキュリティ責任者として、セキュリティ運用、製品セキュリティ、金融犯罪対策の各部門を統括している。同氏は、現在多くのセキュリティ責任者が認識している問題について次のように述べている。「もはや、問題の発見自体が難しいことではない」と。
「物事を見つけるのは上手になってきている。でも、それを直すのは上手になっていない。」
その量は増え続けており、特に新しいモデルではより多くの検出結果が生成されるため、古いコードベースの修正は、ゼロから構築するよりもはるかに困難です。Reward Gatewayに必要なのは、さらなる検出結果ではありませんでした。本当に重要なものがどれなのかを見極める方法だったのです。
課題
連携が取れていなかったスタック
以前 Aikido以前、セキュリティ担当者は、本来は一体として動作するよう設計されていなかった3つの別々のツールを発見しました。
「静的コード解析にはSonarを、SCA にはSnykのみを、そしてビルドパイプラインではOWASP ZAPを使用していました。多くのツールが並行して使われていましたが、実際にはうまく連携していませんでした。」
サプライチェーン攻撃によってそれが明らかになった
シャイ・フルードによるサプライチェーン攻撃が発生した際、この分断が深刻な問題となった。既存の体制では、重要な疑問に迅速に答えを出すことができなかった。
「昨年、シャイ・フルードの件があった際、当社のツールでは目的に適していないと感じました。それがきっかけとなり、新しいものを模索し、体制を再編することになりました。」
警備担当者はその道具を所持していなかった
スタックがこれほど断片化していた理由の一つは、エンジニアリング部門が当時、特定の問題を解決するために各ツールを個別に導入していたことにある。セキュリティ部門がこのプロセスを主導しておらず、予算も別の部署が管理していたため、何か変更を行うには、まずエンジニアリング部門の賛同を得なければならなかった。
「これらの金型はすべて技術部門が購入したものでしたから、彼らを説得しなければなりませんでした。私たちの予算ではなかったのです。」
Reward Gatewayが選んだ理由 Aikido
段階を踏んだ統合
Reward Gatewayは、すべてを一度に置き換えたわけではありませんでした。まず Aikido まずSafe Chainを通じて導入され、その成果を評価した上で、完了できないような全面的な展開を行うのではなく、最も重要な部分、すなわちコードと攻撃側を対象とした完全な概念実証（PoC）を実施した。
チームが信頼できる到達可能性
決定的な要因となったのは、到達可能性分析でした。発見された問題は非常に多く、その多くが優先度の低いものだったため、チームは実際に悪用される可能性のあるものとそうでないものを区別する方法を必要としていました。
「私にとっての答えは『到達可能性』です。これは、エクスプロイト 何かを行うために実際に何が起きなければならないかを示してくれるので、どの脆弱性 が本当に問題になるのかがわかります。これはまさに金言でした。」
迅速に対応してくれたチーム
概念実証（PoC）の段階では、製品そのものと同じくらい、その製品に携わった人々も際立っていました。
「これほど頻繁にコミュニケーションを取り、私たちの意見に真摯に耳を傾けてくれるベンダーは、これまで取引した中で他にありません。問題があれば、すぐに話し合いの場を設け、解決へと導いてくれます。」
PCI監査における到達可能性
最も明確な証拠が明らかになったのは、PCI監査の最中だった。Reward Gatewayの決済リポジトリには、監査の承認を得る前に清算しなければならない未処理の残高が蓄積しており、スケジュールも逼迫していた。
「PCI監査があり、Snykでは決済リポジトリに問題箇所が複数見つかり、締め切り直前に至るまで、至急の修正が必要でした。 AikidoSnykの到達性分析の結果、これらはクライアント側の問題であり、サーバー側には全く影響がないことが判明しました。これによりリスクが解消され、これがまさに私たちに必要なツールであることを全員に示すことができました。」
その監査は、単に指摘事項を解消しただけにとどまらなかった。それこそが、 Aikido 従来のツールを担当していたエンジニアリングチームを納得させる決め手となったのです。なぜなら、この監査によって、真のリスクがどこにあるか、そして同様に重要なことに、どこにリスクがないかが明らかになったからです。
本当に物を止められるゲート
到達可能性によって、チームがどの調査結果に基づいて行動するかが変わりました。ゲートによって、誰かがすり抜けたときに何が起こるかが変わりました。
「以前は、架空のゲートしかありませんでした。実際に阻止されていたものはほとんどありませんでした。今では、重要かつ高リスクなものはすべてブロックされています。PRをマージすることも、ビルドすることもできません。」
次のステップは、すべての段階で同じゲートを一貫して実行することです。そうすれば、ある箇所でスキップされたチェックでも、別の箇所で確実に検出されるようになります。
ポイントツールをすべて交換する
到達可能性と実際のゲートが整備されたことで、個別のツールにはもはや役割がなくなった。
「コード関連の機能を上から順に活用しています。具体的には、静的コード解析、機密情報のスキャン、ライセンス管理です。Snyk、Sonar、OWASP ZAPといったツールを、すべて置き換えていく予定です。」
リワード・ゲートウェイの今後の展望
Reward Gatewayは Aikido静的コード解析、シークレットスキャン、到達可能性を考慮したソフトウェア構成解析、およびライセンススキャンといったコードコンポーネントを実行し、重大および高リスクの検出結果に対してはブロックゲートを適用します。
今後、チームはこれらのゲートをパイプラインのより多くの段階へと拡大していく予定です。AIによるペネトレーションテストの導入も検討中ですが、結果に意味を持たせるため、まずは適切な環境を整えることを優先しています。また、あるインシデントを契機に、デバイス保護を最優先課題として位置づけました。これは、バージョン固定が行われておらず、信頼できる一貫性もないブラウザやIDEの拡張機能におけるセキュリティの隙間を直接的に狙ったものです。 Aikidoのコード監査も、試すべき事項のリストに含まれています。これらはいずれも、まだ本番環境では導入されていません。
最終的な評価
「到達可能性」はチームにフィルタを提供し、「統合」は作業の拠点となり、「実際のゲート」はリスクのあるコードを実際に阻止する手段をもたらしました。
「目標は、徐々に改善を図ることですが、その点がこの製品の魅力だと思います。」
