CWMicroScan – 内部セキュリティスキャンツール

1. CWMicroScanについて

CO-WELL Asiaはセキュリティ管理の重要性を認識していますので、調査を実施した後、プロジェクトに適用できるソースコードとシステムのセキュリティスキャン用のツールが多数ありますが、使用方法がかなり複雑だと理解しました。そのため、社内の誰もが簡単に使用できるソリューションが必要であり、そこからCWMicroScanのアイデアが生まれました。

2021年7月初旬、CO-WELL Asiaは「CWMicroScan」というスキャンとセキュリティ分析を備えた直感的なインターフェイスを提供し、ソースコードとシステムの品質を向上させる内部ツールを導入しました。

実際のCWMicroScanのスキャン結果

2. ツール作成のモデル

CWMicroScanのインフラ構成図

CWMicroScanは柔軟性を高め、コストを節約するために、マイクロサービスおよびサーバーレスモデルで展開されます。EC2インスタンスをサーバーとして使用する代わりに、フロントエンドとバックエンドは別々になり、別々のコンテナーで実行されます。

スキャンタスクはAWSLambdaによって初期化やステータス更新をされ、AWSFargateで実行されます。 そしてすべてのデータはAmazon Aurora Serverlessに保存されます。

3. AWSFargateでスキャンジョブ実行

CWMicroScan展開開始の際には、相対的なCPUとメモリ構成を備えたEC2インスタンスサーバーが常に「オン」になり、いつでもスキャンタスクを実行できるようになります。同時に実行するスキャンタスクが多数あるが、サーバーの現在のリソースがそれを満たせない場合、新しいサーバーに自動的にスケーリングするのに時間がかかります。したがって、スキャンタスクがないときにリソース浪費を回避し、一度に複数のスキャンタスクをすばやく実行できるようにするためのソリューションについて考えました。

メンバーと話し合った後、AWSFargateを使用してスキャンタスクを実行することに切り替えました。スキャンタスクがある場合は、Fargateコンテナを初期化し、スキャン後それらのコンテナは自動的に停止しました。重いスキャンタスクは多くのリソースで、軽いスキャンタスクはより少ないリソースを割り当てられます。

4. 今後について

CWMicroScanは、今後会社全体に適用および展開される予定です。さらに、ツールはバックエンド処理用に最適化され、ストレステストなどの新機能が追加され、結果が利用可能になったときにユーザーにを自動的に通知され、プロジェクトのフィードバックに従って編集されます。

CWMicroScanツールを使用すると、CO-WELLのプログラマーは、安全性とセキュリティの処理をより積極的に行い、修正を迅速化し、プロジェクト製品の品質を確保できる「武器」を備えているようです。最終的にお客様が会社のサービスを信頼し、安心して使用できるようにするためです。