DevSecOps実装：開発ライフサイクル全体にセキュリティを組み込む文化とツール

開発者の責任:
- セキュアコーディング
- 基本的な脆弱性スキャン実行
- 依存関係の管理

セキュリティチームの責任:
- セキュリティ要件の定義
- 高度な脆弱性評価
- セキュリティツールの提供と維持

運用チームの責任:
- セキュアな環境構成
- パッチ管理
- インシデント対応の自動化

// 悪い例: SQL Injection脆弱性
String query = "SELECT * FROM users WHERE username = '" + username + "'";

// 良い例: パラメータ化クエリ
PreparedStatement stmt = connection.prepareStatement("SELECT * FROM users WHERE username = ?");
stmt.setString(1, username);

# GitLab CI/CD パイプラインの例
stages:
  - build
  - test
  - security
  - deploy

sast:
  stage: security
  script:
    - sonarqube-scanner
  only:
    - main
    - merge_requests
  artifacts:
    paths:
      - gl-sast-report.json

// package.json に npm audit を統合
{
  "name": "my-app",
  "scripts": {
    "test": "jest",
    "security-check": "npm audit --audit-level=high",
    "prepush": "npm run security-check"
  }
}

# GitHub Actions ワークフローの例
name: Secret Scanning

on: [push, pull_request]

jobs:
  secret-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: TruffleHog OSS
        uses: trufflesecurity/trufflehog-actions-scanning@master
        with:
          path: ./
          base: ${{ github.event.repository.default_branch }}
          head: HEAD

# Docker Build & Scan Workflow
name: Docker Build and Scan

on:
  push:
    branches: [ main ]

jobs:
  build-and-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      
      - name: Build Docker image
        run: docker build -t myapp:${{ github.sha }} .
      
      - name: Scan Docker image
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:${{ github.sha }}'
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
          
      - name: Upload scan results
        uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: 'trivy-results.sarif'

# Jenkins パイプラインの例
pipeline {
    agent any
    stages {
        // ... 他のステージ ...
        stage('DAST') {
            steps {
                sh 'docker run --rm -v $(pwd):/zap/wrk owasp/zap2docker-stable zap-baseline.py -t https://staging-app.dx-media.example -g gen.conf -r dast-report.html'
                publishHTML([
                    allowMissing: false,
                    alwaysLinkToLastBuild: true,
                    keepAll: true,
                    reportDir: '',
                    reportFiles: 'dast-report.html',
                    reportName: 'DAST Report'
                ])
            }
        }
    }
}

# Terraform プロジェクトにTerraform Sentinel Policy as Codeを適用
policy "require-private-acl-and-kms-for-s3-buckets" {
    enforcement_level = "hard-mandatory"
}

policy "restrict-ingress-sg-rule-ssh-all" {
    enforcement_level = "hard-mandatory"
}

# AWS CloudFormation テンプレートの例
Resources:
  EC2Instance:
    Type: AWS::EC2::Instance
    Properties:
      ImageId: ami-0123456789abcdef0
      InstanceType: t3.micro
      SecurityGroups:
        - !Ref InstanceSecurityGroup
      UserData:
        Fn::Base64: !Sub |
          #!/bin/bash -xe
          # ランタイム構成変更を無効化
          chattr +i /etc/ssh/sshd_config
          systemctl mask systemd-resolved

# Kubernetes Secretのポッド注入 (HashiCorp Vault統合)
apiVersion: v1
kind: Pod
metadata:
  name: app
  annotations:
    vault.hashicorp.com/agent-inject: 'true'
    vault.hashicorp.com/agent-inject-secret-database-config.json: 'database/creds/app-role'
    vault.hashicorp.com/role: 'app-role'
spec:
  containers:
    - name: app
      image: app:1.0.0

# Elasticsearch/Kibanaを使ったSIEM設定例（Filebeat）
filebeat.inputs:
- type: log
  paths:
    - /var/log/auth.log
    - /var/log/application/*.log
  fields:
    security_relevant: true
    
processors:
  - add_host_metadata: ~
  - add_cloud_metadata: ~
  
output.elasticsearch:
  hosts: ["elasticsearch:9200"]
  index: "security-events-%{+yyyy.MM.dd}"

// Spring BootアプリケーションへのRASP統合例
@Configuration
public class SecurityConfig {
    
    @Bean
    public FilterRegistrationBean<RASPFilter> raspFilter() {
        FilterRegistrationBean<RASPFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new RASPFilter());
        registrationBean.addUrlPatterns("/*");
        registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return registrationBean;
    }
}

# AWS Lambdaを使った自動インシデント対応の例
import boto3
import json

def lambda_handler(event, context):
    # GuardDutyからの異常検知イベントを処理
    if event['detail']['type'] == 'UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration':
        # 該当インスタンスを隔離するセキュリティグループを適用
        ec2 = boto3.client('ec2')
        instance_id = event['detail']['resource']['instanceDetails']['instanceId']
        
        response = ec2.modify_instance_attribute(
            InstanceId=instance_id,
            Groups=['sg-quarantine']
        )
        
        # インシデント対応チームに通知
        sns = boto3.client('sns')
        sns.publish(
            TopicArn='arn:aws:sns:region:account-id:security-incidents',
            Message=json.dumps(event),
            Subject='[重要] 認証情報漏洩の可能性があります'
        )
        
        return {
            'statusCode': 200,
            'body': '対応アクション完了：インスタンス隔離と通知'
        }

# AWS Config ルールの例
Resources:
  S3BucketPublicReadProhibited:
    Type: AWS::Config::ConfigRule
    Properties:
      ConfigRuleName: s3-bucket-public-read-prohibited
      Description: 'S3バケットの公開読み取りアクセスを禁止するルール'
      Source:
        Owner: AWS
        SourceIdentifier: S3_BUCKET_PUBLIC_READ_PROHIBITED
      Scope:
        ComplianceResourceTypes:
          - AWS::S3::Bucket

# Jenkins パイプラインの例
pipeline {
    agent any
    stages {
        stage('Build') {
            // ...
        }
        stage('Security Checks') {
            parallel {
                stage('SAST') {
                    steps {
                        catchError(buildResult: 'UNSTABLE', stageResult: 'FAILURE') {
                            sh 'run-sast-tool'
                        }
                    }
                }
                stage('SCA') {
                    steps {
                        catchError(buildResult: 'UNSTABLE', stageResult: 'FAILURE') {
                            sh 'run-dependency-check'
                        }
                    }
                }
                // その他のセキュリティチェック
            }
            post {
                always {
                    // 結果の収集と評価
                    script {
                        def critical = scanResults.countCritical()
                        if (critical > 0) {
                            currentBuild.result = 'FAILURE'
                        }
                    }
                }
            }
        }
        // 残りのパイプライン
    }
}

# OPAポリシーの例（Kubernetes admission control）
package kubernetes.admission

deny[msg] {
    input.request.kind.kind == "Pod"
    container := input.request.object.spec.containers[_]
    not container.securityContext.runAsNonRoot
    
    msg := sprintf("コンテナ '%v' はルートとして実行できません", [container.name])
}

deny[msg] {
    input.request.kind.kind == "Pod"
    container := input.request.object.spec.containers[_]
    not container.resources.limits.cpu
    
    msg := sprintf("コンテナ '%v' はCPUリミットを設定する必要があります", [container.name])
}

# Grafanaダッシュボード構成（Python/JSONの例）
dashboard = {
    "title": "DevSecOps Metrics",
    "panels": [
        {
            "title": "脆弱性修正時間推移",
            "type": "graph",
            "datasource": "Prometheus",
            "targets": [
                {"expr": "avg(vulnerability_fix_time_days) by (severity)", "legendFormat": "{{severity}}"}
            ]
        },
        {
            "title": "本番環境の未修正脆弱性数",
            "type": "gauge",
            "datasource": "Prometheus",
            "targets": [
                {"expr": "sum(production_vulnerabilities) by (severity)", "legendFormat": "{{severity}}"}
            ]
        },
        # 他のパネル...
    ]
}

# DevSecOps成熟度自己評価シート

## プロセス
- [ ] セキュリティ要件が開発初期から定義されている
- [ ] 脅威モデリングが標準プラクティスとなっている
- [ ] セキュリティテストが完全に自動化されている
- [ ] インシデント対応が標準化され文書化されている

## ツール
- [ ] SAST、DAST、SCAが統合されている
- [ ] セキュリティフィードバックが即時提供される
- [ ] インフラセキュリティが自動化されている
- [ ] セキュリティツールの結果が一元管理されている

## 人材
- [ ] 開発者がセキュリティトレーニングを受けている
- [ ] セキュリティチームがDevOpsスキルを持っている
- [ ] セキュリティチャンピオンがチーム内に存在する
- [ ] セキュリティについての定期的な知識共有がある

## 文化
- [ ] セキュリティが「あとからの考慮事項」ではない
- [ ] 脆弱性報告に対するブレイム文化がない
- [ ] 継続的改善の文化がある
- [ ] セキュリティの成功が認識・祝福される

# SonarQubeでの誤検知管理の例
# sonar-project.properties
sonar.issue.ignore.multicriteria=e1,e2

# SQL Injectionルールを特定のテストファイルで無視
sonar.issue.ignore.multicriteria.e1.ruleKey=squid:S3649
sonar.issue.ignore.multicriteria.e1.resourceKey=src/test/**/*.java

# パスワードハードコーディングルールを特定のクラスで無視
sonar.issue.ignore.multicriteria.e2.ruleKey=squid:S2068
sonar.issue.ignore.multicriteria.e2.resourceKey=**/TestCredentials.java

// レガシーコードを安全にラップする例
public class SecureUserService {
    private LegacyUserSystem legacySystem;
    
    public UserData getUserData(String userId) {
        // 入力検証を追加
        if (!isValidUserId(userId)) {
            throw new SecurityException("Invalid user ID format");
        }
        
        try {
            // レガシーシステム呼び出し
            UserData data = legacySystem.getUserData(userId);
            
            // 出力サニタイズと監査ログ
            auditLog("User data accessed", userId);
            return sanitizeUserData(data);
        } catch (Exception e) {
            // 例外処理とログ
            securityLog.error("Error accessing user data", e);
            throw new ServiceException("Error retrieving user data");
        }
    }
    
    // バリデーション、サニタイズ、ログ記録用のヘルパーメソッド
    // ...
}