ライブラリとの上手な付き合い方

ライブラリとの上手な付き合い方ライフサイクル管理を通じ、セキュアなシステムを育てる Cyber-sec+ Meetup vol.2 NRIセキュアテクノロジーズ株式会社関戸亮介 2023年12月5日

1 発表者について関戸亮介 NRIセキュアテクノロジーズ株式会社 DXセキュリティコンサルティング事業本部 DXセキュリティ事業三部開発チームのセキュリティを支援組織やシステム特性に応じたセキュリティ設計や開発プロセスの策定支援自動化ツールの評価やCI/CDパイプラインへの組み込み支援

2 今日のトピックトピックライブラリの広い利用場面ライブラリ管理の大切さ「回帰テスト」の大切さ想定ユーザシステム開発を伴うサービスオーナーや組織システム開発の担当者やリーダー

ライブラリとの上手な付き合い方

4 ライブラリを使ったシステム開発は多い「ライブラリ」を利用することで効率的なシステム開発につながる自ら開発する「ソフトウェア」と組み合わせて利用するソフトウェア「便利な機能」（全体機能の一部）を提供する「ソースコードが開示されたソフトウェア」はライブラリの開発手段として多くみられるライブラリ利用者はライブラリの実態（ソースコード）を検証できるライブラリ開発者は多くの利用場面からフィードバックを得て品質が向上するライブラリ利用者はライブラリ開発者の指定したライセンスに沿って利用する

5 ライブラリの「脆弱性」は影響範囲が広いライブラリに「脆弱性」が発見されることがある単純な「バグ」～影響度の大きい「脆弱性」脆弱性の利用が簡単なケース～複雑なケース攻撃者は同一手法で多くのシステムに影響を与えることができる（ことがある）利用しているライブラリを管理するライブラリの利用開始利用しているライブラリの棚卸し
ライブラリの更新ライブラリの利用終了ライブラリシステム A システム B システム C 攻撃者利用しているライブラリの脆弱性をついて攻撃する

6 利用したいライブラリも、他ライブラリを利用している「とても便利なライブラリ」は他のライブラリを活用していることが多い直接利用するライブラリが1つであっても、間接的に利用するライブラリが数十に上ることがある背景画像: https://deps.dev/maven/org.springframework.boot%3Aspring-boot-starter-web/3.2.0/dependencies/graph

7 Software Composition Analysis（ソフトウェア構成解析）ソフトウェアが利用しているライブラリなどを解析する脆弱性情報DBを照会し、コンポーネントの脆弱性を把握する脆弱性の解消されたバージョンへ更新するたとえば次のようなソリューションを利用する GitHub Dependabot

8 システム維持のため回帰テストが重要変更の影響有無を見分けるために「回帰テスト」が重要となる主に「単体テスト」や「機能テスト」により構成するシステムの入出力に変化がないことを確認するテスト対象となるソフトウェアの追加・修正時も必要だが、ライブラリのパッチバージョン更新であっても重要になる（ライブラリの意図しない挙動変化に気づける）回帰テストを作るために「システム入出力」を明確にする必要があるあいまいな仕様（要件）ではなく、具体的な仕様を決める
システムの開発や更新時は回帰テストも保守して維持する CIパイプラインでテストし、不具合に気付く仕組みを作る

まとめ

10 まとめライブラリを活用して、効率的な開発・運用につなげる「ソースコードが開示されたソフトウェア」は実態を確認できる汎用的なシステムはライブラリが多く、効率的なシステム開発につながる大きな脆弱性が発見されると、外部から攻撃されるリスクがある利用ライブラリの把握、定期的な情報収集とパッチ当てを行うシステム開発に回帰テスト（機能テスト）を活用する CIパイプラインを組み、テストし、不具合に気付く仕組みを作る仕様（インターフェース）を明確にして、回帰テストを維持管理する
一気に作らずとも、できるところから積み重ねる

ライブラリとの上手な付き合い方

ライブラリとの上手な付き合い方

Ryosuke Sekido
PRO

More Decks by Ryosuke Sekido

Other Decks in Technology

Featured

Transcript