はじめに

普段 Web アプリケーションを開発する上でセキュリティの知識は必須ですが、（個人的に）とっつきづらい領域です。
かと言って「とりあえず動くと思うからリリースしようぜ」とはいきません。

そこで脆弱性だらけのアプリケーションを診断して、出てきた問題を解決していけばゲーム感覚で力がつくのではと思いやってみました。

脆弱性診断には Snyk を、脆弱性だらけのアプリケーションには ockeghem/badtodo を使用します。

Snyk とは

Snyk とは Google、Salesforce、Atlassian など多くの企業で採用されている脆弱性管理ツールです。

私の推しポイントは以下4つです。

限られたリソースの中で、セキュリティリスクの高い脆弱性を優先的に修正するためにもこの機能は非常にありがたいです。

使用しているライブラリの脆弱性を見つけてくれるサービスはいくつか知っていましたが、コードの脆弱性まで対応しているサービスを知ったのは Snyk が初めてでした。

また修正方法も教えてくれます。
イメージやライブラリのバージョンアップの場合は PR の自動作成も行えます。

VS CODE と JetBrains のプラグインが提供されており、CI/CD 上だけではなくコードを書きながらリアルタイムで脆弱性をしてくれます。

開発者体験最高です。

試してみると S3 のバケットの未暗号化も検出できていました。

[Medium] Non-encrypted S3 Bucket

あとは脆弱性だらけのアプリケーションがあればいけるぞと思いきや、そもそもセキュリティの知識がないと脆弱性だらけのアプリケーションは作れないことに気づきました。

いろいろと探してみると、EGセキュアソリューションズ株式会社がセキュリティを学びたい人向けに脆弱性だらけのアプリケーションを公開してくれていました。

今回はこちらを使用します。

badtodo では IPA が公開している安全なウェブサイトの作り方第7版の脆弱性をすべて網羅しています。

まさに今回の記事のためにあるようなアプリケーションです。

期待通りとんでもない数の脆弱性が見つかりました。

学習手順は以下の繰り返しです。

動作確認部分は e2e テストを書いて自動化したいところですが。

いくつか検出された脆弱性を紹介します。

ベースイメージを変えるだけでだいぶ減らせますね。

「Open a fix PR」を押すと自動で PR を作成できます。

これは定番ですね。

他にも XSS やコマンドインジェクションが検出されていました。

検出された脆弱性と badtodo が対応している脆弱性を照らし合わせたところ、すべては検出できてなさそうです。

検出された脆弱性をすべてゼロにするところまで行きたかったのですが間に合いませんでした。
badtodo を goodtodo にするべく、年末年始は家に篭ろうと思います。