1. 東陽テクニカ
  2. ソフトウェア開発支援
  3. 事例紹介・技術資料
  4. 包括的セキュリティ

開発リポジトリのセキュリティ対策、十分ですか？

～「一部だけ」の対策では防げないリスク～

目次

SAST、SCA・・・「一部だけ」の対策になっていませんか？

リポジトリにはソースコードだけでなく、言語ごとのマニフェストファイルやSwagger（Open API）ドキュメントなど多くのファイルが含まれています。これら全てのファイルに対して、開発段階で適切に脆弱性チェックを行えていますか？

例えば、SASTのみ、あるいはSASTとSCAだけに依存している場合、以下のようなリスクが見逃される可能性があります。

  • シークレットやAPIキーのべた書き
  • 適切に管理されていないAPI定義
  • 不適切なインフラやコンテナ設定ファイル

このように、SASTやSCAだけの対象範囲が限定されたスキャンでは、本来スキャンすべきファイルや設定の不備が見逃され、そのままリリースしてしまうリスクが生じます。セキュリティ対策は「一部」ではなく、「リポジトリ全体」を対象とした包括的な脆弱性対策が重要です。

リポジトリ全体のセキュリティ保護に必要な機能とは？



こちらは、とあるリポジトリ構成の例です。

※脆弱性対策ツールによっては、仕様が異なります。

本内容は参考としてご覧ください。

また、一部のファイル（.git関連、README、Tomcatの設定ファイルなど）はツールや設定によってはスキャン対象外となる場合があります。

このリポジトリには以下の要素が含まれています：

  • ソースコード
  • OSSの依存関係
  • APIドキュメント
  • 各種設定ファイル（Docker、Terraformなど）

しかし、SASTは主にソースコード、SCAはOSSの依存関係に焦点を当てるため、

  • インフラ関連（IaC）の設定ミスによる脆弱性
  • API仕様の不備
  • アプリケーション実行時の脆弱性
  • コンテナイメージの脆弱性や設定不備
  • APIキーやシークレットの漏洩（コード解析を主とするSASTでは、APIキーやトークンなどの実際の値パターンを網羅的に検出することが難しいため）
  • リポジトリ運用に関するリスク（設定や運用プロセス、保護ポリシーの不備）

といった領域は網羅的にカバーできない場合があります。

包括的な保護を実現するためには、以下のような複数のセキュリティ機能を組み合わせることが重要です：

これらを単体で導入するのではなく、開発ライフサイクル（SDLC）全体に統合することで、包括的なセキュリティ対策を継続的に実現できます。

包括的なセキュリティ対策、何から取り組むべきか？

まずは、開発現場でどれくらいセキュリティ対策ができているか整理してみましょう。

例えば以下の観点で確認してみてください：

  • ソースコード以外のファイルもスキャン対象になっているか
  • API仕様やIaCの設定に対するチェックが行われているか
  • シークレットの漏洩を検出する仕組みがあるか
  • リポジトリの運用や設定に対してもチェックが行われているか

こうした観点を可視化することで、現在の対策の抜け漏れを把握し、リポジトリ全体をカバーするセキュリティ対策へと段階的に移行することができます。

包括的なセキュリティ対策への移行、ご相談ください

これまでの内容から、開発リポジトリのセキュリティ対策は、「一部だけ」ではなく、複数の領域を横断した対策が重要です。近年では、攻撃手法も高度化しており、従来の対策だけではカバーしきれないリスクが増えています。これからは、「リポジトリ全体を守る視点」が不可欠です。

東陽テクニカでは、開発リポジトリ全体をカバーする包括的なセキュリティ対策の導入支援を行っています。まずは現状の整理からでも構いませんので、お気軽にご相談ください。

参考リンク

事例紹介・技術資料一覧へ戻る