IDOMはクラウドネイティブ基盤にセキュリティを組み込む

会社: IDOM
業界:自動車の購買および販売
エンジニアリングチーム: 50 – 200
インフラストラクチャ: AWS (ECR、ECS、EKS)
主要技術: Docker Hardened Images、Docker、AWS、Java、Python、JavaScript/TypeScript、Ruby
課題:サイバー攻撃後にベースイメージの脆弱性を排除し、信頼できるイメージに標準化する

日本最大級の自動車買取・販売会社

IDOMは、日本最大級の自動車買取・販売会社の一つです。同社は「ガリバー」ブランドで全国に約460拠点を展開し、日本全国で中古車の売買を行っている。「車を売る人も大切な顧客である」という原則に基づき
IDOMは全国的に中古車査定価格を標準化し、これまで存在していた地域的なばらつき
解消し、中古車市場に新たな価値を創造しました。AWSへの移行を完了した後、同社はクラウドネイティブ技術を中心としたインフラの再構築に着手した。目的は、事業の成長に合わせて柔軟に拡張できるシステムを構築しつつ、運用コスト
抑制することです。システム移行を行うたびに、より拡張性とセキュリティの高い環境への移行が最優先事項となっている。この取り組みにおいて
セキュリティは最も重要な考慮事項です。以前のサイバー攻撃を受け、IDOMはセキュリティ対策の包括的な見直しを行い、脆弱性を可能な限りゼロに近づける環境
構築するという目標を設定した。この目標を達成するには
開発プロセスの最初から信頼できるコンテナイメージを標準として使用し、セキュリティを組み込んだプラットフォームが必要でした。これを実現するために、IDOMはコンテナインフラの設計を見直した。

課題

クラウドネイティブ環境における脆弱性の継続的な管理は、IDOMにとって重大な運用上の課題となっていた。

開発組織が拡大するにつれて、チームが公開レジストリから様々なコンテナイメージを使用するようになったため、すべてのビルドで一貫したセキュリティ基準を維持することがますます困難になった。

この状況は、開発効率を向上させる機会ももたらした。

組織全体でベースイメージを標準化することで、IDOMは開発ワークフローを簡素化すると同時に、すべてのチームが同じセキュリティ基準を適用することを保証できる。

長期的なセキュリティ向上と運用効率の向上を念頭に、IDOMはより安全で標準化されたコンテナ基盤への移行を決定しました。

「過去のサイバー攻撃の経験に基づき、安全なイメージのみを使用することを義務付ける社内ポリシーを策定する必要がありました。」脆弱性ゼロを目指すという目標のもと、信頼できるベースイメージ
標準化が最優先事項となりました。—塩野 一成、ソフトウェア エンジニアリング マネージャー

ソリューション

IDOMはDockerの強化イメージを採用することで、信頼できるインフラストラクチャのための統一基準を確立した。彼らのアプローチは単純明快だった。標準イメージをDocker強化イメージカタログに置き換えるというものだ。 

IDOMはまた、承認されたベースイメージをDocker強化イメージに限定するポリシーを導入し、すべての開発チームが同じ安全な基盤を使用することを保証した。

その結果、Dockerはコンテナイメージの継続的なメンテナンスとセキュリティパッチを提供するようになり、IDOMのエンジニアが各ベースイメージのセキュリティを自ら評価する必要がなくなった。

開発者は、最初から安全な環境でアプリケーション開発に集中できるようになりました。

「ほとんどのアプリケーションでは、Docker Hardened Imagesへの移行は、マルチステージビルドのFROMステートメントの変更、再ビルド、および以前はshに依存していたヘルスチェックの更新を意味しました。これは、Hardened Imagesにはシェルが含まれていないためです。」それ以外は、移行はスムーズで、コードやパイプラインの変更はほとんど必要ありませんでした。」
—ソフトウェアエンジニアリングチームリーダー、福本真澄氏 

IDOMがDocker強化イメージを実装した方法は次のとおりです。

• Docker Hardened Imagesへの移行に伴い、マルチステージビルドをサポートするようにDockerfileを更新しました。
• Docker Hardened Imagesにはシェルが含まれていないため、シェルベースのヘルスチェックをshに依存しないヘルスチェックに置き換えました。
• 標準のDocker HubベースイメージをDocker強化イメージに置き換えました。
• 承認されたベースイメージをDocker強化イメージに限定する内部ポリシーを確立した。
• コンテナ化された開発環境とセットアップ手順を文書化し、新しいチームメンバーがすぐに貢献を開始できるようにした。

この標準化された開発環境は、チームメンバーが変更になった場合にも効果的であることが証明されている。

新入社員のエンジニアは、用意されたドキュメントに従ってローカル環境を設定し、短期間で開発を開始できるため、チーム全体の生産性維持に貢献できます。

インパクト

80重大度の高い脆弱性の削減率：0%

2か月間で、IDOMのPythonイメージにおける重大度の高いCVEは80%減少しました。信頼できる基盤が、手動による修復ではできなかった作業を実行した。

重大なCVEはゼロ

これらの画像には、以前も以後も、重大な攻撃リスクのあるCVE（サイバー脆弱性）は含まれていなかった。IDOMは、重症患者数を削減しながら、無事故記録を維持した。

コンテナイメージのサイズが約50%縮小されました

Dockerの強化イメージは、IDOMが以前使用していたコンテナイメージの約半分のサイズでした。
その結果、同社は以下のことが可能になった。

• Amazon ECRストレージの使用量を削減する
• Amazon ECSおよびAmazon EKSへのデプロイ時間を短縮

画像サイズの縮小は、コスト削減だけでなく、開発と運用の迅速化にも貢献した。

開発者は製品開発に集中できる

従来、エンジニアが新しいコンテナイメージを使用しようとするたびに、そのセキュリティを評価し、適切なベースイメージを選択するのに時間を費やす必要がありました。

これらの意思決定基準は、現在では組織全体のポリシーによって標準化されている。

Dockerの強化イメージを共有基盤として使用することで、エンジニアは脆弱性のレビューやベースイメージの選択に時間を費やす必要がなくなります。彼らは、最も重要なアプリケーション開発作業に、より多くの時間を費やすことができるようになる。

標準化されたセキュリティ基盤

信頼できるイメージが、現在IDOMの標準ベースイメージとなっています。すべての新規システムは、各チームが独自にベースイメージを選択するのではなく、共通の安全な基盤から開発を開始する。

これにより、IDOMは組織全体で一貫したセキュリティ基準を維持することが可能になります。

次のステップ

Dockerの強化イメージが、IDOMのコンテナ環境の一部で動作するようになりました。同社は、コンテナを使用するすべてのシステムにこれらの機能を拡大する計画だ。信頼できる基盤が確立されたことで、IDOMはAWS Inspectorを通じた自動化された継続的な脆弱性スキャンと、サプライチェーンのセキュリティのさらなる強化を検討している。AWSへの移行から始まったクラウドネイティブへの変革は、今やセキュリティ層という土台を得て、残りの部分を構築できるようになった。

「セキュアなコンテナイメージを全社的な標準として採用することで、コンテナを使用するすべてのシステムにその利用を拡大していく予定です。」また、継続的な脆弱性スキャンを自動化し、さらに強固なセキュリティ体制
構築する予定です。—ソフトウェアエンジニアリングチームリーダー、福本真澄氏