Netflix の OSS マイクロサービス群を守る脆弱性管理自動化ツール「astrid」とは? | ScanNetSecurity
2024.07.24(水)

Netflix の OSS マイクロサービス群を守る脆弱性管理自動化ツール「astrid」とは?

昨夏 Black Hat USA で、Netflix のシニア アプリケーション セキュリティ エンジニアが「 astrid 」という脆弱性管理を自動化するツールの発表を行った。

研修・セミナー・カンファレンス
ネットフリックス アラジン・アルムベイド氏
  • ネットフリックス アラジン・アルムベイド氏
  • ライブラリの依存関係は複雑
  • ツールで可視化したパッケージの依存関係グラフ
  • タイポを利用した汚染
  • マルウェアバージョンをコミット
  • Netflixの内製ツールAstridとは?
  • Netflixの内製ツールAstridとは?
  • Netflixの内製ツールAstridとは?
 巨大プラットフォーマーのセキュリティ対策の実体は、なかなか表には出てこない。当然だ。対外的な取り組みやコミュニティ活動では、アップル、グーグル、マイクロソフトなどはイニシアティブを発揮しているが、彼らが内製している開発ツール、システムは、一部の高度なセキュリティカンファレンスで発表があるくらいだ。

 その高度なセキュリティカンファレンスのひとつ、昨夏開催された Black Hat USA で、ネットフリックスのシニアアプリケーションセキュリティエンジニア アラジン・アルムベイド氏が、「 astrid 」という脆弱性管理を自動化するツールの発表を行った。ここでいう脆弱性管理は、同社のシステムの多くを構成するオープンソースソフトウェア( OSS )のライブラリやパッケージの依存関係を解析し、最適なパッチを当てる支援をすることだ。

 ネットフリックスのシステムは AWS 上に構築されている。1 億 5 千万人以上といわれている会員からのアクセスと動画ストリーミングを処理しているのは、クラウド( Amazon Machine Image )上のマイクロサービス群だ。これらは Linux をベースとした Java、Python プログラムによって開発されている。

 巨大サービスプラットフォーマーが、AWS、Azure、GCP と OSS を利用するスタイルは別に珍しいことではないが、 OSS をベースとしたシステムやサービスにとってセキュリティ上の懸念は、ライブラリの依存関係に起因するサプライチェーン攻撃やセキュリティホールの混入だ。この 2 つにはそれぞれ別の対策アプローチが必要になる。本稿ではアルムベイド氏の講演から、そのアプローチのポイントをお伝えしたい。
《中尾 真二( Shinji Nakao )》

編集部おすすめの記事

特集

研修・セミナー・カンファレンス アクセスランキング

  1. 開発元にソフトウェアの製造責任を負わせるのは合理的?

    開発元にソフトウェアの製造責任を負わせるのは合理的?

  2. reject(拒否)へのいばらの道を進むには ~ 日本プルーフポイント「DMARC Conference 2024」レポート

    reject(拒否)へのいばらの道を進むには ~ 日本プルーフポイント「DMARC Conference 2024」レポート

  3. ハッカーの OSINT 活用法 ~ 日本ハッカー協会 杉浦氏講演

    ハッカーの OSINT 活用法 ~ 日本ハッカー協会 杉浦氏講演

  4. 自動車サイバーセキュリティコンテスト「Automotive CTF Japan」新たに開催

  5. 8/8・8/9 セコムトラストシステムズ「IDaaSでここまでできる!」ウェビナー開催 ~ 便利機能 注意点 MFA 製品別特長 ほか

  6. 「経産省 営業秘密官民フォーラム」IPA 資料公開、内部不正対策ほか

  7. 総務省 SBOM 対応ノスゝメ

  8. 7/30 開催「クラウドセキュリティのシフトレフト」実現 ~ SHIFT SECURITY が CNAPP 導入方法解説

  9. 個人情報を扱ったHDDやSSDの廃棄時にもこれまで以上の危機管理が必要に

  10. セキュリティは「CIA」から「CPA」へ ~ 阿部慎司が考える「セキュリティ対応組織の教科書 第3版」活用法

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×