IaCの静的解析をサボるな：なぜ「コードのミス」がインフラ崩壊を招くのか
現場でよく耳にする「Terraformで環境作ったけど、後からセキュリティチェックすればいいよね」という甘い考え。これ、セキュリティの現場から言わせれば「鍵のかかっていない玄関を放置して、中で防犯カメラを回している」のと同じです。
デプロイ後にクラウドの設定を直すのは、火事になってから消火器を探すようなもの。Infrastructure as Code (IaC) を採用している最大のメリットは、デプロイ前の「コードの段階」で脆弱性を叩き潰せることにあります。今回は、Checkovやtfsecを使った自動検知の重要性と、現場で即戦力となる「落とし穴」への対策を語ります。
—
なぜ攻撃者は「IaCのミス」を狙うのか
攻撃者は、わざわざ高度なゼロデイ脆弱性なんて使いません。彼らが最も好むのは、エンジニアの「うっかり」です。
例えば、セキュリティグループの `0.0.0.0/0` 全開放。これをやってしまうと、ポート22（SSH）やデータベースのポートがインターネットに晒されます。脆弱性スキャナーやボットネットは、この「設定ミス」を数秒で見つけ出し、総当たり攻撃を開始します。
「開発環境だから」「一時的な検証だから」という言い訳が、そのまま本番環境にコピー＆ペーストされ、大規模な情報漏洩に繋がった事例を私はいくつも見てきました。IaCの静的解析は、こうしたヒューマンエラーを機械的に排除するための最強の防壁です。
—
実践：Checkovによる「設定ミス」の自動検知
CI/CDパイプラインにCheckovを組み込むのは、現代のエンジニアにとって「最低限の嗜み」です。まずは、以下のTerraformコードを見てください。
危険な実装例：セキュリティグループの全開放
resource “aws_security_group” “bad_sg” {
name = “allow_all”
description = “危険なSG”
# 警告対象：0.0.0.0/0 への全開放は即座に検知されるべき
ingress {
from_port = 22
to_port = 22
protocol = “tcp”
cidr_blocks = [“0.0.0.0/0”]
}
}
これを`checkov -d .`でスキャンすると、即座に「CKV_AWS_24」や「CKV_AWS_23」といったルールに抵触し、CIが落ちます。「落ちる」ことが重要です。 落ちなければデプロイできない、という制約こそが、チームのセキュリティレベルを強制的に底上げします。
—
現場で役立つ「セキュアな実装」の正解
では、どのように実装すべきか。AWSにおいて、最小権限の原則を守ったセキュリティグループの設定例を挙げておきます。
Terraformでのセキュアな実装例
セキュアな実装例：特定のIP範囲のみ許可する
variable “allowed_cidr” {
description = “社内VPNや踏み台サーバーのIP”
default = [“203.0.113.5/32”]
}
resource “aws_security_group” “secure_sg” {
name = “secure_sg”
description = “特定のIPのみ許可する”
ingress {
from_port = 22
to_port = 22
protocol = “tcp”
# ここで変数を用いることで、ハードコードによるミスを防止する
cidr_blocks = var.allowed_cidr
}
}
【Tips】AWS IAMの「拒否」を明示するポリシー
IaCでインフラを管理する際、IAMポリシーの権限過多も大きな問題です。以下は、特定のサービス以外からのアクセスを拒否するSCP（Service Control Policy）の考え方を取り入れたIAMポリシーの記述例です。
{
“Version”: “2012-10-17”,
“Statement”: [
{
“Sid”: “DenyUnencryptedTraffic”,
“Effect”: “Deny”,
“Action”: “s3:”,
“Resource”: “”,
“Condition”: {
“Bool”: {
“aws:SecureTransport”: “false”
}
}
}
]
}
※このように、S3への非暗号化通信を拒否するポリシーをIaCで定義しておけば、開発者がどれだけ頑張って「設定ミス」をしようとしても、AWS側が拒絶してくれます。
—
最後に：セキュリティは「文化」である
IaCの静的解析ツールを導入しただけで満足してはいけません。重要なのは、「CIが落ちたときに、エンジニアが文句を言うのではなく、その脆弱性を修正することに誇りを持てるチーム文化」を育てることです。
1. 強制する: CIパイプラインにCheckov/tfsecを入れ、エラー時はビルドを止める。
2. 自動化する: 可能な限りポリシー・アズ・コード（OPAなど）でガードレールを敷く。
3. 教育する: なぜその設定がダメなのか、攻撃のシナリオをチームで共有する。
セキュリティは、ツールを入れたら終わりではありません。日々の泥臭いコードレビューと、こうした自動化ツールの組み合わせこそが、あなたのインフラを「世界で最も堅牢な要塞」へと進化させるのです。
さあ、今すぐ `checkov` をインストールして、自分のリポジトリをスキャンしてみてください。想像もしなかった「穴」が見つかるかもしれませんよ。
コメント