DevSecOpsは、「DevOps」―開発（Development）チームと運用（Operations）チームが相互協力しながら品質を向上させ続けるサイクル―の一環に、セキュリティ（Security）を組み込むことで、トータルコストを低減しつつ、さらなるクオリティ向上を実現する手法です。セキュアなWebアプリケーション開発プロセスの実現のためには、この考え方が重要です。しかし、多くの企業・組織にとって、DevSecOpsの実現には様々な課題があるのが実情です。 本記事では、開発の現場担当者が感じている課題を整理したうえで、セキュアなWebアプリケーション開発にむけて、どのように取り組むべきかについてご紹介します。
OWASP Top10に新たな項目
2021年9月、「OWASP Top 10 2021」が発表されました。Webアプリケーションセキュリティに関する最も重大な10項目のリスクを取り上げたものです。前回発表された2017年版（OWASP Top 10 2017）から4年ぶりの更新となります。
※OWASP（Open Web Application Security Project）…Webアプリケーションセキュリティに関する国際的コミュニティ
2017年版Top 10の各項目は、2021年版ではそれぞれ順位を上げ下げしつつ、一部統合されて7項目となり、完全に消えたものはありませんでした。そして、新たなカテゴリが3項目追加される形で計10項目となりました。
OWASP Top 10 – 2021
| A01:2021 – | アクセス制御の不備 |
| A02:2021 – | 暗号化の不備 |
| A03:2021 – | インジェクション |
| A04:2021 – | NEW セキュアでない設計 |
| A05:2021 – | セキュリティ設定のミス |
| A06:2021 – | 脆弱かつ古いコンポーネントの使用 |
| A07:2021 – | 識別と認証の不備 |
| A08:2021 – | NEW ソフトウェアとデータの整合性の不備 |
| A09:2021 – | セキュリティログとモニタリングの不備 |
| A10:2021 – | NEW サーバサイドリクエストフォージェリ（SSRF） |
「NEW」は2021年度版で追加された項目
https://owasp.org/Top10/ より弊社和訳
新設された3項目のうち2つが、システム開発のプロセスにかかわる内容に焦点を当てています。
● セキュアでない設計（Insecure Design）
ポイント：設計における管理策の欠如、ロジックの検証が不十分である等
推奨対策：シフトレフトによる開発ライフサイクルの実践 等
● ソフトウェアとデータの整合性の不備（Software and Data Integrity Failures）
ポイント：安全でないデシリアライゼーション、
信頼できないコンポーネントの利用、CI/CDパイプラインにおける検証不備 等
推奨対策：データの整合性チェック、コンポーネントのセキュリティチェック、
CI/CDのセキュリティ対策 等
※シフトレフト…開発工程のより早い段階でセキュリティに関する問題に対処する、ソフトウェアの開発や運用の考え方
ここで推奨対策例として出てきた「シフトレフト」と「CI/CDのセキュリティ対策」はアプリケーション開発プロセス手法である「DevSecOps」実現に欠かせません。
アプリケーション開発における「DevSecOps」
DevSecOpsは、「DevOps」―開発（Development）チームと運用（Operations）チームが相互協力しながら品質を向上させ続けるサイクル―の一環に、セキュリティ（Security）を組み込むことで、結果的にトータルコストも削減でき、サービスの価値をさらに向上させる手法です。
DevSecOpsとシフトレフト（Shift Left）について、詳しくは過去記事「前倒しで対処 ー セキュリティを考慮したソフトウェア開発アプローチ「シフトレフト」とはー」をご覧ください。
“セキュリティ”が組み込まれていないと…
DevSecOpsにおけるシフトレフト
DevSecOps実現のためには、「シフトレフト」の考え方が大切になります。セキュリティを開発の最終段階で対応したのではすでに遅く、開発プロセスの全フェーズにおいて常にセキュリティ上の課題を先取りして解決しながら進めることが、テストやリリースといった最終段階での手戻りを防ぎ、結果的にトータルコストの削減と品質の向上に寄与します。
DevSecOpsにおけるCI/CDのセキュリティ対策
“Sec”が入らないDevOpsにおいては、設計・実装を小さな単位で素早く繰り返し実行していく手法（アジャイル開発手法等）が一般的ですが、このスピード感をサポートするのが「CI/CD」です。
CI（Continuous Integration）は継続的インテグレーション、CD（Continuous Delivery）は継続的デリバリの略です。アプリケーション開発におけるコード、ビルド、テスト、デプロイといった各作業を自動化して継続的にサイクルを回せるようにする仕組みを指します。オンプレミスでもクラウド上でも展開可能で、CI/CDを提供する様々なツールやサービスが提供されています。
ただし、CI/CDはセキュリティ上のリスクにもなりえます。CI/CD環境に脆弱性が潜んでいて不正アクセスされるようなことがあれば、そこを発端に組織全体が危険にさらされる恐れもあるのです。このため、DevSecOps実現のためには、CI/CDのセキュリティ対策が不可欠です。
セキュアでない設計によるリスク
では、シフトレフトが意識されていない、セキュアでない設計にはどのようなものがあるでしょうか。ユーザの認証に用いられる情報がIDと生年月日である場合、生年月日は他者が容易に知りうる情報なので、本人確認の仕様としてはふさわしくないことがわかります。例えば、補助金の申請システムにおいて、申請者の本人確認や申請内容の検証が甘いために容易に複数の虚偽申請を許してしまうようでは、実用に耐えるとはいえないでしょう。
こうしたセキュリティについて考慮されていない設計は、弊社の脆弱性診断でも相当数検出されています。アカウントロックアウトが設定されていない、Webサーバからのレスポンスにクレジットカード番号のような重要情報が含まれている、個人情報が暗号化されないまま送信されている、といった例は多々見受けられます。放置しておくと、個人情報や機密情報の漏洩を引き起こしかねません。
プライバシーマーク推進センターによって報告された、2020年度「個人情報の取扱いにおける事故報告集計結果」によると、誤送付や紛失・盗難によらない情報漏洩のうち、プログラムやシステムにおける設計・作業ミスを原因とするものは102件あったとのことです。大した件数ではないようにも見えますが、インシデント1件あたりの漏洩件数が増加傾向にあるとの報告もあり、影響の大きさに注意が必要です。また、これらはあくまで報告があったものだけの数ですので、セキュアでない設計によるアプリケーションが人知れず稼働したままになっている危険性は大いにあるでしょう。
2020年度「個人情報の取扱いにおける事故報告集計結果」（2021年10月15日更新）より
CI/CDパイプラインにおける検証不備によるリスク
CI/CDパイプラインに起因するリスクの方はどうでしょう。2021年にあるインシデントが発生しました。ソースコードのテスト網羅率を計測するコードカバレッジツールがサイバー攻撃を受けた結果、このツールを使用していた国内企業のCI環境に不正アクセスされ、重要情報を含む1万件以上の情報漏洩につながったというものです（右図参照）。
自動化、高効率化ツールによる利便性を享受するためには、そこに係るすべてのツールや工程におけるセキュリティチェックを行う必要があるのです。
DevSecOps実現を阻む壁
さて、安全なWebアプリケーション開発の重要性は認識できているとしても、実現できなければ意味がありません。とはいえ、DevSecOps実現には、多くの企業・組織において様々な障壁があるものと思われます。今回は主な障壁を「組織」と「技術」のカテゴリに分類し、それらの問題点および解決の糸口を考えていきます（下図参照）。
DevSecOps実現のためにできること
DevSecOpsに特化したガイドラインが存在しないというのも、対応を難しくしている要因の1つかもしれません。とはいえ、Webアプリケーション開発におけるセキュリティ対策の課題を考慮すると、鍵となるのはやはりシフトレフトです。シフトレフトを意識しながら、システム開発プロセスに組み込まれたセキュリティ対策を実践する例として、以下のようなイメージが考えられます。
Webアプリケーション開発におけるセキュリティ対策実施の背景には、Webアプリケーションの規模や利用特性ばかりでなく、開発組織の業務習慣や文化等、様々な事情があることでしょう。例えば、セキュアコーディングのルール整備やスキルの平準化が不十分という課題があれば、まずは現場レベルでそこから取り組んでいくといったように、信頼されるWebアプリケーション構築のために、少しずつでもDevSecOpsの実装に近づけていくことが肝要です。
【参考】システム開発プロセスのセキュリティに関するガイドライン・資料等
●NIST
Security Assurance Requirements for Linux Application Container Deployments
https://csrc.nist.gov/publications/detail/nistir/8176/final
●OWASP
OWASP Application Security Verification Standard
https://github.com/OWASP/ASVS
●内閣サイバーセキュリティセンター（NISC）
情報システムに係る政府調達におけるセキュリティ要件策定マニュアル
https://www.nisc.go.jp/active/general/pdf/SBD_manual.pdf
Security Report TOPに戻る
TOP-更新情報に戻る
