Netflix の OSS マイクロサービス群を守る脆弱性管理自動化ツール「astrid」とは? | ScanNetSecurity
2024.06.14(金)

Netflix の OSS マイクロサービス群を守る脆弱性管理自動化ツール「astrid」とは?

昨夏 Black Hat USA で、Netflix のシニア アプリケーション セキュリティ エンジニアが「 astrid 」という脆弱性管理を自動化するツールの発表を行った。

研修・セミナー・カンファレンス セミナー・イベント
ネットフリックス アラジン・アルムベイド氏
ネットフリックス アラジン・アルムベイド氏 全 11 枚 拡大写真
 巨大プラットフォーマーのセキュリティ対策の実体は、なかなか表には出てこない。当然だ。対外的な取り組みやコミュニティ活動では、アップル、グーグル、マイクロソフトなどはイニシアティブを発揮しているが、彼らが内製している開発ツール、システムは、一部の高度なセキュリティカンファレンスで発表があるくらいだ。

 その高度なセキュリティカンファレンスのひとつ、昨夏開催された Black Hat USA で、ネットフリックスのシニアアプリケーションセキュリティエンジニア アラジン・アルムベイド氏が、「 astrid 」という脆弱性管理を自動化するツールの発表を行った。ここでいう脆弱性管理は、同社のシステムの多くを構成するオープンソースソフトウェア( OSS )のライブラリやパッケージの依存関係を解析し、最適なパッチを当てる支援をすることだ。

 ネットフリックスのシステムは AWS 上に構築されている。1 億 5 千万人以上といわれている会員からのアクセスと動画ストリーミングを処理しているのは、クラウド( Amazon Machine Image )上のマイクロサービス群だ。これらは Linux をベースとした Java、Python プログラムによって開発されている。

 巨大サービスプラットフォーマーが、AWS、Azure、GCP と OSS を利用するスタイルは別に珍しいことではないが、 OSS をベースとしたシステムやサービスにとってセキュリティ上の懸念は、ライブラリの依存関係に起因するサプライチェーン攻撃やセキュリティホールの混入だ。この 2 つにはそれぞれ別の対策アプローチが必要になる。本稿ではアルムベイド氏の講演から、そのアプローチのポイントをお伝えしたい。

《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  2. 不正アクセス 盗まれたのは公式サイトのドメイン

    不正アクセス 盗まれたのは公式サイトのドメイン

  3. KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

    KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

  4. イセトーにランサムウェア攻撃、複数のサーバと PC が暗号化被害

    イセトーにランサムウェア攻撃、複数のサーバと PC が暗号化被害

  5. 失業後データ盗み大手 IT 企業を恐喝、セキュリティコンサルタント 57 歳起訴

    失業後データ盗み大手 IT 企業を恐喝、セキュリティコンサルタント 57 歳起訴

  6. PR会社が利用するクラウドストレージに不正アクセス、PDFや画像など静的データ削除

    PR会社が利用するクラウドストレージに不正アクセス、PDFや画像など静的データ削除

  7. 海外サイトに顧客情報が掲載 ~「転職支援サイト」 に不正アクセス

    海外サイトに顧客情報が掲載 ~「転職支援サイト」 に不正アクセス

  8. 公開範囲「パブリック」で生徒の個人情報アップロード、都立高校教諭が Microsoft Teams に

    公開範囲「パブリック」で生徒の個人情報アップロード、都立高校教諭が Microsoft Teams に

  9. IPA、中小企業向けの内部不正防止対策の報告書公開

    IPA、中小企業向けの内部不正防止対策の報告書公開

  10. 2023年届出件数 過去最高 100万件超え「フィッシングレポート 2024」公開

    2023年届出件数 過去最高 100万件超え「フィッシングレポート 2024」公開

ランキングをもっと見る