CI/CDに脆弱性スキャンを組み込むな──「形だけの自動化」が招く悲劇
「パイプラインにOWASP ZAPを突っ込んで、脆弱性ゼロのCI/CD環境が完成しました！」
現場でそんな報告を受けるたび、私は頭を抱えたくなる。自動スキャンツールをCI/CDに組み込むことは、セキュリティの第一歩ではあるが、同時に「誤検知（False Positive）の墓場」を築く行為でもある。
多くのチームが陥る罠は、スキャン結果のノイズに埋もれ、本当に致命的な脆弱性（SQLインジェクションや認証バイパス）を見逃すことだ。今日は、攻撃者の視点から「どうすれば自動スキャンを武器に変えられるか」、そして「実務で使える堅牢な実装」について、泥臭い知見を共有しよう。
—
1. 脆弱性スキャンの「自動化」を成功させる唯一のルール
自動スキャンをCI/CDで動かす際の最大の敵は、「実行時間」と「誤検知」だ。全画面をスキャンさせれば1時間以上かかるし、WAFがブロックしたパケットをツールが「脆弱性あり」と誤認すれば、開発者はアラートを無視するようになる。
現場で実践すべきチューニングの要点
1. スキャン範囲の限定: full-scanではなく、APIエンドポイントや主要な認証フローに絞ったapi-scanまたはbaseline-scanを基本にする。
2. Contextの定義: ZAPの「Context」を正しく設定し、攻撃対象外（ログアウトURLや外部の決済APIなど）を明示的に除外する。
3. しきい値の厳格化: CIパイプラインでは「High/Medium」のアラートのみをFAIL判定とし、「Low」以下は別ログに飛ばして週次で人間がレビューする運用に切り替える。
—
2. 攻撃者の盲点：なぜ「自動化」だけでは不十分なのか
攻撃者は、ツールがスキャンする「既知の脆弱性」だけを突くわけではない。彼らは「ビジネスロジックの欠陥」を狙う。例えば、ログイン後のパラメータ改ざんや、権限昇格によるIDOR（不適切なID参照）だ。
これらはツールでは検知できない。だからこそ、CI/CDにはスキャンツールだけでなく、「ネガティブテスト」をコードとして組み込む必要がある。
PHPによるセキュアなIDOR対策の実装例
多くのエンジニアが犯す過ちは、idパラメータをそのままSQLに投げ込むことだ。
<?php
// 悪い例: パラメータをそのまま信用している
$user_id = $_GET['id'];
$query = "SELECT * FROM orders WHERE user_id = " . $user_id;
// 良い例: セッションとパラメータを照合し、権限を強制する
function getOrderDetails($orderId) {
// ログイン中のユーザーIDをセッションから取得（改ざん不可）
$currentUserId = $_SESSION['user_id'];
// プリペアドステートメントでSQLインジェクションを防ぎつつ、
// WHERE句に user_id = :uid を含めることで、他人の注文が見れないようにする
$stmt = $pdo->prepare("SELECT * FROM orders WHERE id = :oid AND user_id = :uid");
$stmt->execute(['oid' => $orderId, 'uid' => $currentUserId]);
return $stmt->fetch();
}
?>—
3. インフラレベルでの防御：Nginxによる「悪意あるリクエスト」の遮断
CI/CDでの脆弱性スキャンを補完するために、インフラ側でも攻撃者の足跡を消す設定が重要だ。WAFを導入するのも手だが、まずはNginxレベルで基本的な攻撃パターンを弾く設定を入れよう。
以下は、base64エンコードされた不審なペイロードや、典型的なディレクトリトラバーサル攻撃を弾くための設定例だ。
# /etc/nginx/conf.d/security.conf
# 1. サーバー情報を隠蔽（攻撃者にヒントを与えない）
server_tokens off;
# 2. SQLインジェクションやクロスサイトスクリプティングの兆候をブロック
# 非常に危険な文字列が含まれるリクエストを強制拒否
if ($query_string ~* "union.*select.*\(") { return 403; }
if ($query_string ~* "base64_encode") { return 403; }
if ($query_string ~* "<script>.*</script>") { return 403; }
# 3. ディレクトリトラバーサル対策
if ($request_uri ~* "\.\./") { return 403; }
# 4. HTTPメソッドの制限（GET, POST以外は不要な場合）
if ($request_method !~ ^(GET|POST|HEAD)$ ) {
return 405;
}—
4. セキュリティチーフからの提言
CI/CDにOWASP ZAPやBurp Suiteを組み込むのは「合格点」だが、それだけで満足してはいけない。真の防御とは、「脆弱性を埋め込まないコードを書く文化」と「攻撃者の手口をコードで再現するユニットテスト」の融合にある。
もしあなたが今日、スキャンツールのアラートを眺めているなら、一度立ち止まって考えてほしい。
「この脆弱性がもし手動攻撃だったら、どうやって突破されるか？」
その問いに対する答えをユニットテスト（例：PHPUnitでの権限チェックテスト）としてコード化する。それが、レッドチームの視点を取り入れた現代のエンジニアが歩むべき道だ。
セキュリティは「ツール」ではなく「思考」である。現場のコードを泥臭く修正し続けるその姿勢こそが、最強の防御になることを忘れないでほしい。
コメント