クラウドインフラの設計・構築・運用を手掛ける株式会社grasysは、不正アクセス対策のクラウドサービスを展開するCapy株式会社における脆弱性管理体制の構築および運用支援の導入事例を自社サイトで公開しました。今回の取り組みでは、ソフトウェアサプライチェーンのリスクに対応するため、SBOM（ソフトウェア部品表）とSSVCフレームワークが活用されています。急増する脆弱性情報への対応や運用の形骸化といった課題に対し、本番環境に影響を与えずに自走できる運用体制の確立が図られました。

導入の背景と従来のセキュリティ運用における課題

金融機関や大手ECサイトなどに不正ログイン対策ツール「Capy CAPTCHA」を提供するCapy株式会社では、認証基盤として24時間365日停止が許されない可用性と堅牢性が求められています。

従来は外部ベンダーによる定期診断や公開情報をもとにした手作業での調査を実施していましたが、ライブラリの依存関係の網羅やパッチ確認に最大2日を要することもあり、急増する脆弱性情報に対して自社リソースのみで対応する体制に限界が近づいていました。また、SBOMを導入してもアラートの多さから運用が形骸化しやすいという課題もあり、過度な負荷をかけずに継続して対処できる仕組みの確立が求められていました。

自動化とSSVCによる優先順位付けのアーキテクチャ

今回の体制構築では、高トラフィックな本番環境で持続可能な運用を実現するため、以下の実践的アプローチが採用されました。

• OSSを活用した自動化アーキテクチャ

OSSツールの「Syft」を用いてCycloneDX形式のSBOMを自動生成し、「Grype」によって最新の脆弱性データベースとの照合を自動化することで、手作業による情報収集からの脱却を図りました。

• SSVCフレームワークに基づく対応優先度の可視化

米CISAなども活用する「SSVC（Stakeholder-Specific Vulnerability Categorization）」を採用し、システムの露出度や攻撃到達性を踏まえて優先順位付けを実施した上で、株式会社grasysがCapy株式会社へ報告する体制を整えました。

• 本番環境に影響を与えない検査設計

認証リクエストを処理する本番サーバーへの負荷を避けるため、本番環境を直接スキャンせず、複製したディスクを専用インスタンスで一時的に検査する仕組みを採用しています。

• 運用保守と一体となった伴走支援

インフラ基盤を把握する株式会社grasysのエンジニアが日常の運用保守と一体となって伴走することで、形骸化を防ぐ体制を目指しています。

導入の成果と関係者の声

新たな体制の導入により、調査や判断に関わる負担の軽減が図られました。

Capy株式会社の松本氏は、ミドルウェアの依存関係やセキュリティパッチの網羅は困難を極めていたとした上で、「新システムはgrasysが一次判断を終えた状態で情報が届くためコミュニケーションコストが大きく減少し、対応の要否をすぐに判断できるようになりました」と述べています。

関連企業の概要

Capy株式会社

• 代表者：代表取締役社長 岡田 満雄
• 本社所在地：〒100-0005 東京都千代田区丸の内2丁目2−1 岸本ビルヂング6階
• 設立：2017年8月
• 事業内容：不正ログイン対策ツール「Capy CAPTCHA」の開発・提供、生体認証ソリューションの開発・提供、セキュリティコンサルティング
• 公式サイト：https://corp.capy.me/ja

株式会社 grasys

• 代表者：代表取締役 長谷川 祐介
• 所在地：東京都渋谷区恵比寿4-20-3 恵比寿ガーデンプレイスタワー11階
• 設立：2014年11月13日
• 事業内容：Google Cloudを中心としたクラウドインフラの設計・構築・運用
• URL：https://www.grasys.io/

本記事は株式会社grasysの発表をもとに作成されています。導入事例の詳細は同社サイト（https://www.grasys.io/case-studies/capy-sbom-vulnerability-management/）で公開されています。