クラウド技術の採用は多くの恩恵をもたらしましたが、その中でも開発と展開の速度の向上は最も重要な要素です。開発者が仮想マシンのプロビジョニングを何日も待ち、メッセージキューやデータベースなどの必要なコンポーネントのインストールに多くの時間を費やしていた時代は終わりました。仮想マシンや関連するPlatforms as a Service (PaaS)は、クラウドアカウント内で数分のうちに立ち上げることができます。

しかし、開発部門にクラウドサービスを手動でインスタンス化して構成を変更するための自由なアクセス権を与えると、インフラの状態が予測できなくなり、その結果、ソフトウェアの障害やより大きく露出した攻撃対象領域に起因する攻撃の増加につながる可能性があります。こうした背景から、Infrastructure as code (IaC)が急速に採用され、開発者は宣言型構成ファイルから不変のインフラを作成し、ソフトウェアライフサイクルのすべての段階でインフラを望ましい状態に維持できるようになりました。

しかし、この望ましい状態がセキュリティリスクをもたらすとどうなるでしょうか。クラウドサービスには何百もの異なる種類があり、それぞれに利用可能な構成変数の個別セットがあるため、意図せずに設定ミスが発生することは十分考えられます。これに加えて、アジャイルな環境においては多くの変更が定期的に自動でプッシュされるため、クラウドサービスのセキュリティ態勢の確保は困難な作業となります。

リリースサイクルを遅らせて手動のセキュリティチェックを実行し、開発部門が問題の修正に緊急対応する際の遅延を許容するか、不適切な設定のまま本番環境にリリースして侵害が発生するリスクにある程度目をつぶるか、というジレンマに悩まされるところですが、これには効果的な対処法があるのです。

Zscaler Posture ControlとHashiCorpのTerraformとの統合の仕組みとは

Zscaler Posture Controlプラットフォームは、開発者がソフトウェア開発ライフサイクルの早い段階でセキュリティのベストプラクティスを適用できるようにすることで、これらの課題を解決します。Posture Controlには、Terraformテンプレートなどのファイルを解析し、ファイル内の設定ミスを識別して違反に関する情報と修復手順を開発者に提供するIaCスキャナーがあります。

セキュリティのシフトレフトにおける重要な要素は、こういったセキュリティチェックを通常の開発ワークフローに統合する簡単な方法を提供することです。Terraform Cloudを利用してインフラを展開する開発者向けに、Posture ControlプラットフォームのIaCスキャナーは実行タスクとして統合され、Terraformプランの出力を分析して設定ミスを特定します。

ワークスペースで実行される際にはスキャンの結果が表示され、この実行の一部として構成ファイルで発生した違反の数を重大度レベル別に表示できます。その後、Posture Controlプラットフォームにログインするためのリンクが提供され、違反に関する詳細な情報とその修正方法を確認します。Posture Controlプラットフォームは、違反の重大度レベルに基づいて実行を失敗させる機能(強制実行タスク)を提供するか、アドバイザリーモードにおいてスキャン結果を表示したうえで実行を許可します。

図：Posture Control とTerraformの統合

Posture ControlとHashiCorpの統合を活用するには

Terraform CloudとPosture Controlの統合はわずか数分で完了します。Terraform CloudのトークンをPosture Controlプラットフォームに追加し、保護する組織とワークスペースを選択して細かく制御するだけで、Posture ControlがワークスペースのZscaler IaCスキャンの実行タスクを有効化します。

ZscalerとHashiCorpの統合に関する詳細は、以下のウェビナーで紹介しています。

ZscalerとHashiCorp:マルチクラウド環境でスケーラブルかつ動的なセキュリティを実現

12月7日 | 9 a.m. 太平洋標準時

今すぐ登録する(英語)