コードとしてのインフラストラクチャ(IaC)スキャン

​

概要

• 機能:IaCスキャンは、本番環境に到達する前にインフラストラクチャ設定ファイルの構成ミス、ポリシー違反、ハードコードされたシークレットを特定します。Kubernetesマニフェスト、Terraformファイル、Dockerfile、CloudFormationテンプレートなどのIaC形式をスキャンし、重大度評価と修正ガイダンスを含む詳細な結果を提供します。
• 対象ユーザー:DevOpsエンジニア、クラウドアーキテクト、セキュリティチーム、Infrastructure as Codeを管理するプラットフォームエンジニアを対象としています。クラウドネイティブの手法やGitOpsワークフローを採用し、インフラストラクチャのデプロイでコンプライアンス要件を満たす必要があるチームに特に有用です。

​

主な特徴と利点

• 包括的なIaCカバレッジ:Kubernetes、Docker、Terraform、CloudFormation、Azure ARMテンプレート、Helmチャートなど複数のプラットフォームとフォーマットにわたるインフラコードをスキャンします
• デュアル検知能力:
  • 誤設定検出:安全でない構成、欠如したセキュリティ制御、過剰な権限、コンプライアンス違反を特定
  • シークレット・ディテクション:インフラコードに埋め込まれたハードコード化された認証情報、APIキー、トークン、機密データを検出します
• リッチ・ファインディング・インテリジェンス:詳細情報を提供します:
  • 構成問題の説明とセキュリティへの影響
  • 重大度評価(重大、高、中、低)
  • 影響を受けるリソースおよびファイル位置
  • 修復ガイダンスおよびベストプラクティスの推奨
• スマート検出:リポジトリ内のIaCファイルを自動で識別し、ファイルタイプに基づいて適切なセキュリティチェックを適用します

​

サポートされたインフラストラクチャタイプ

​

セットアップ手順

​

設定ステップ

​

使用ガイド

​

主要なワークフロー

1. 自動検出:システムはリポジトリ内のIaCファイルを自動で識別します
2. 構成解析:ファイルタイプに基づくセキュリティチェックおよびコンプライアンスルールを適用します
3. 誤設定検出:セキュリティ問題、ポリシー違反、ベストプラクティスの逸脱を特定する
4. シークレット検出:ハードコードされた認証情報や機密情報のスキャン
5. 問題作成:各検出ごとに追跡可能なセキュリティ問題を作成します
6. レポート:優先順位を付けた修復ガイダンスを含む詳細な脆弱性レポートを生成します

​

よくある誤設定の例

# ❌ Insecure
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      privileged: true  # High severity issue

# ❌ Insecure
FROM ubuntu:latest
RUN apt-get update && apt-get install -y myapp
CMD ["myapp"]  # Running as root

# ❌ Insecure
resource "aws_s3_bucket" "data" {
  bucket = "my-data-bucket"
  acl    = "public-read"  # Critical severity issue
}

​

重大度の内訳

• 高い:デプロイ前に対処すべきであり、重大なセキュリティリスクがあります
• 中:定期的なメンテナンスで対応し、中程度のセキュリティ影響を重視します
• 低:ベストプラクティスの改善、即時リスクの最小化

​

ベストプラクティス

• セキュリティシフト左:デプロイ前だけでなく開発中にインフラコードをスキャンする
• ポリシーをコードとして:組織固有のセキュリティポリシーを定義し、施行する
• バージョン管理:監査トレイルのためにすべてのインフラコードをバージョン管理に保存
• 最小権限:すべてのリソースに対して最小限必要な権限を設定する
• 暗号化:すべての機密リソースで、保存時と転送時の暗号化を有効にする
• 定期レビュー:定期的にIaCのセキュリティポリシーを見直し更新
• シークレット管理:ハードコーディングの代わりにシークレット管理ツール(Vault、AWS Secrets Manager)を使用してください
• コンプライアンスアライメント:検出結果を関連するコンプライアンスフレームワーク(CIS、SOC2など)にマッピング

​

トラブルシューティング

​

関連機能

• シークレットスキャン - すべてのファイル形式にまたがる専用のシークレット検出
• 依存関係スキャン(SCA) - サードパーティ依存関係の脆弱性スキャン
• AIネイティブ SAST (BLAST) - ソースコードのアプリケーションセキュリティテスト