「家を建てる前に防犯診断を！」IaCのセキュリティ静的解析でクラウドの穴を塞ぐ方法
こんにちは。現場で泥臭いインシデント対応を重ねているセキュリティ担当です。
今日は、皆さんがクラウドでインフラを構築する際に欠かせない「IaC（Infrastructure as Code）」と、そのセキュリティについてお話しします。「コードでインフラを作る」ことは非常に便利ですが、書き方を一つ間違えると、世界中に玄関の鍵を開けっ放しにするのと同じだということを知っていますか？
今回は、デプロイ前に自動で「防犯診断」をしてくれるツールのお話です。専門用語をなるべく使わずに、一緒に見ていきましょう。
—
なぜ、コードの設定ミスが命取りになるのか？
想像してみてください。あなたは今、新居（クラウド環境）を建てようとしています。TerraformやCloudFormationといったIaCは、その設計図です。
本来なら「窓には頑丈な鍵をつける」「勝手口は閉鎖する」と書くべき設計図に、うっかり「誰でも入れるようにしておく」という一行を書いてしまったらどうなるでしょう？
クラウドの世界では、これが「S3バケット（データを置く箱）を公開設定にする」といった設定ミスにあたります。一度公開してしまえば、世界中の悪意ある泥棒（攻撃者）が、あなたの宝物（顧客データや重要書類）を数秒で見つけ出し、持ち去ってしまいます。しかも、彼らは夜通しで自動的に「鍵の開いている家」を探し回っているんです。
そこで登場！「防犯カメラ付きの設計士」：tfsecとCheckov
「じゃあ、人間が全部チェックしなきゃいけないの？」というと、そうではありません。現代のエンジニアには強力な相棒がいます。それが tfsec や Checkov といった「静的解析ツール」です。
これらは、いわば「設計図を書いている横で、ずっと目を光らせている防犯アドバイザー」です。コードを書き終えて「よし、デプロイだ！」と実行する前に、「ちょっと待って！ その設定だと誰でも泥棒が入れるよ！」と警告を出して、実行を止めてくれるのです。
—
実際に試してみよう：Terraformのコードでチェック！
例えば、こちらは「悪い例」のTerraformコードです。
セキュリティ的にNGな設定（誰でもアクセス可能なS3バケット）
resource “aws_s3_bucket” “my_bucket” {
bucket = “my-secret-data”
# ここで「パブリックアクセスを許可」してしまうと、
# 世界中にデータが公開されてしまいます！
acl = “public-read”
}
このコードを書き終えて保存し、ターミナルで tfsec . と打つと、ツールがこう教えてくれます。
> 警告： [AWS001] バケットが公開されています。プライベートな設定に変更してください。
これなら、クラウドにアップロードする前に修正できますよね。一歩ずつ対策を学んでいけば、大きな事故は防げます。
—
導入はとっても簡単！
難しい設定は必要ありません。あなたのPC（MacやWindows）にインストールするだけです。
1. ツールをインストールする
Macであれば、パッケージ管理ツールのHomebrewを使って一瞬で終わります。
tfsecのインストール
brew install tfsec
Checkovのインストール
brew install checkov
2. コードをチェックする
プロジェクトのフォルダに移動して、コマンドを叩くだけです。
tfsecでチェック
tfsec .
Checkovでチェック
checkov -d .
もし警告が出ても焦らないでください。それは「攻撃者に狙われる前に気づけてラッキーだった！」というサインです。ツールが修正のヒントも教えてくれるので、それに従ってコードを直せば、あなたのインフラは格段に強固になります。
—
最後に：完璧を目指さず、まずは「習慣」から
セキュリティと聞くと「完璧な要塞を作らなきゃ」と身構えてしまうかもしれません。でも、一番大切なのは「デプロイ前にツールを走らせる」という習慣です。
1. コードを書く
2. ツールで自動チェックする
3. エラーがなければデプロイ！
このシンプルなサイクルを日々の開発に取り入れるだけで、あなたのクラウド環境の安全性は劇的に向上します。最初はエラーの多さにびっくりするかもしれませんが、それは「伸びしろ」です。一つずつ潰していくことで、あなたも立派な「セキュアな開発者」への道を歩み始めていますよ。
何か分からないことがあれば、いつでも相談してくださいね。皆さんの安全なクラウドライフを応援しています！
コメント