CI/CD セキュリティ

TL;DR:

CI/CD セキュリティは、コードからデプロイメントまでのソフトウェアデリバリーパイプラインの各ステップを、脆弱性、漏洩した秘密、誤設定、法的リスク、サプライチェーンリスクから保護します。

Jenkins、GitLab CI、GitHub Actions などの自動化ツールを不正アクセスや悪意のあるコード注入から保護し、すべてのソフトウェアコンポーネントが本番環境にリリースされる際に安全であることを保証します。これらのセキュリティ対策を実施しないと、重大な財務的損害を被る可能性があります。例えば、1時間のダウンタイムは大企業に数千ドルの損失をもたらし、データ漏洩はさらに深刻な財務的影響を及ぼし、収益の損失や法的罰則を含む可能性があります。

CI/CD とは

CI/CD は、継続的インテグレーション (CI) と 継続的デプロイメント (CD) を意味し、どちらも現代のソフトウェア開発と DevOps における重要なプラクティスです。

• 継続的インテグレーション (CI) は、開発者がコードを変更して共有リポジトリにマージすると、コードが自動的にビルドされテストされることを意味します。
• 継続的デプロイメント (CD) は、テスト済みのコードが手動のデプロイメントなしで自動的に本番環境にリリースされることを意味します。

CI/CD はソフトウェアのデリバリーを加速しますが、セキュリティが確保されていない場合、脆弱性が本番環境に出荷される速度も加速してしまいます。

CI/CD セキュリティとは

CI/CD セキュリティ は、コミットからデプロイメントまでの継続的インテグレーションと継続的デプロイメント (CI/CD) パイプラインにセキュリティを統合するプロセスです。

自動化、例えばJenkins、GitHub Actions、GitLab CI、その他のCI/CDツールが攻撃者から保護され、コードの改ざん、マルウェアの注入、秘密の盗難を防ぐことを保証します。

CI/CDセキュリティが重要な理由

現代のソフトウェア開発チームは、納品を加速するためにCI/CDに大きく依存しています。しかし、セキュリティなしのスピードは危険です。セキュリティが確保されていない場合、脆弱なソフトウェアがより早く本番環境に出荷される可能性があります。

侵害シナリオを考えてみましょう。攻撃者がCI/CDパイプラインにアクセスし、初期段階で悪意のあるコードを注入し、コードがパイプラインを通過するにつれて、本番環境に気づかれずに到達します。この妥協は、無許可のデータアクセス、システムの故障、評判の損失につながる可能性があり、迅速に対処されない場合には壊滅的な連鎖反応を示します。

攻撃者がCI/CD環境を侵害すると、一度の動きで秘密を盗んだり、悪意のあるコードをシステムに注入したりすることができます。

CI/CDパイプラインを保護することが重要な理由は次のとおりです。

1. ソフトウェアサプライチェーン攻撃を防ぐ: 攻撃者はしばしばビルドツールやスクリプトを標的にします（SolarWindsの侵害のように）。
2. 秘密漏洩を防ぐ: パイプライン内のAPIキー、トークン、資格情報は、保護されていない場合に盗まれる可能性があります。
3. コードの整合性を保護する: 署名済み、検証済み、レビュー済みのコードのみがデプロイされることを保証します。
4. ダウンタイムとコストを削減する: 侵害された本番システムを修正するコストは、パイプライン内でコードを保護するコストよりも高くなります。

例: 2021年にCodecovの侵害が発生しました。攻撃者がCIスクリプトを改変し、数千のリポジトリから資格情報やコードを盗むことを可能にしたためです。これは、セキュリティが確保されていないCI/CDセットアップが原因で発生しました。

CI/CDセキュリティの仕組み

CI/CDセキュリティは、ソフトウェアのデリバリープロセス全体にわたって多層の保護を適用します。

1. ソース管理のセキュリティ

   リポジトリをMFA、最小特権、署名付きコミットで保護します。

2. セキュリティスキャンの統合

   パイプラインでSAST、DAST、SCAなどのツールを実行し、自動的に脆弱性を検出します。

3. 秘密管理

   コードやCI変数に秘密を保存する代わりに、秘密管理ツールを使用します。

4. アーティファクト署名

   デプロイ前にビルドアーティファクトを署名し、検証して整合性を確保します。

5. アクセス制御

   最小特権を実施し、ビルドをトリガーしたり、プロダクションにデプロイできる人を制限します。

6. 継続的監視

   ログ、パイプラインの実行、環境の変更を監視し、異常な行動を早期に検出します。

CI/CDセキュリティを使用する人

• 開発者: セキュリティスキャンを統合した安全なパイプラインを構築する
• DevSecOpsエンジニア: セキュリティポリシーを自動化し、強制する
• セキュリティチーム: リスク、コンプライアンス、監査ログを監視する
• 運用チーム: 本番環境とデプロイメントが信頼され、検証されていることを保証する

CI/CDセキュリティを実装するタイミング

安全なソフトウェア開発ライフサイクル (SSDLC) を適用することで、初日からCI/CDセキュリティを適用する

シフトレフトアプローチに従い、開発中にセキュリティ問題を早期に発見し、リリース前の最終チェックとして脅威を捉えないようにする。

環境が進化し続ける中で、統合、権限、依存関係を定期的にレビューし続ける。

CI/CDセキュリティの主要な機能

機能	説明
パイプラインスキャン	誤設定や安全でないスクリプトを検出する。
秘密検出	コードや環境変数に露出した資格情報を見つける。
依存関係とSBOM分析	脆弱なオープンソースコンポーネントをチェックする。
アクセス制御と監査	すべてのユーザーアクションをログに記録し、責任を追跡する。
アーティファクトの整合性	リリース前にコードとビルドが検証されていることを保証する。
コンプライアンス報告	SOC 2やISO 27001などのフレームワークにパイプラインセキュリティをマッピングする。

実践例

DevOpsチームがJenkinsを使用してCI/CDパイプラインを自動化しています。セキュリティレビュー中に、ビルドスクリプトの1つにハードコードされたAWSアクセスキーが含まれていることが発見され、すぐに修正しないと深刻な脆弱性につながる可能性があります。

これを修正するために、DevOpsチームは秘密検出ツールを統合し、Jenkins内でロールベースアクセス制御 (RBAC)を適用します。

• 秘密検出は、すべての新しいコミットとビルドをスキャンします。資格情報やトークンを発見した場合、ビルドは自動的に失敗し、チームに警告を発します。
• RBACは、DevOpsリードやセキュリティエンジニアなどの認可されたユーザーのみがパイプラインを変更したり、コードを本番環境にデプロイしたりできるようにします。

このアプローチを実装することで、パイプラインは資格情報漏洩と不正なデプロイを防ぐために安全になり、CI/CDのセキュリティ体制全体が強化されます。

人気のあるCI/CDセキュリティツール

• Plexicus ASPM – 統一された可視性とパイプラインセキュリティスキャンを提供します。
• GitLab Ultimate – 組み込みのSAST、DAST、依存関係スキャンを含みます。
• Aqua Trivy – コンテナとパイプライン構成をスキャンします。
• JFrog Xray – 依存関係とSBOMを監視し、既知のCVEをチェックします。
• GitHub Advanced Security – リポジトリ内の秘密情報と脆弱性を検出します。

CI/CDセキュリティの利点

• ビルドプロセスの早い段階で脆弱性を止めます。
• サプライチェーン攻撃から保護します。
• 自動化によるアラート疲労を軽減します。
• コンプライアンスと監査準備を確保します。
• Dev、Sec、Opsチーム間のコラボレーションを改善します。

関連用語

• DevSecOps
• Software Supply Chain Security
• RBAC
• SAST
• SBOM