Mobbin が Hacktron でほぼ即時のセキュリティトリアージを実現した方法

「これ以外にスケールさせる方法は思いつきません。」

「セキュリティ問題の一次確認を Hacktron に任せられるのは、とても助かっています。」

Jian Jie Liau
CTO

Mobbin について

Mobbin は、現代のプロダクトチームにとって欠かせないインフラになっています。200 万人を超えるデザイナーが、リリース済みのモバイルアプリ、ウェブアプリ、ウェブサイトから集めた 60 万以上の画面のライブラリを使い、世界最高のデジタルプロダクトから学んでいます。

課題：検出結果がリリース後に現れ、明確な担当者がいなかった

AI によって、Mobbin のエンジニアリングチームがコードを書いて出荷するスピードは劇的に上がりました。

セキュリティの検出結果は、機能がリリースされた後になって初めて現れることがよくありました。その時点では明確な担当者がおらず、チームは問題ごとに調査を任せる適切なエンジニアを探さなければなりませんでした。

「以前は、機能がリリースされた後にセキュリティの検出結果が現れていました。担当者が割り当てられていなかったので、引き受けてくれる人を探す必要がありました。」

Jian Jie Liau
CTO

課題：横断的な変更に苦戦していた手作業のレビュー

Hacktron の導入前、セキュリティレビューは手作業でした。エンジニアが自らテストを書き、プルリクエストをレビューしていました。小さく独立した変更なら、それで問題ありませんでした。横断的な変更が難しかったのは、どのレビュアーも、チームにすでに見えているシステム間の相互作用しか考慮できなかったからです。

「一般に、テストしやすい小さな単位なら問題ありません。しかし横断的な変更では、テストスイートは、コードベース全体でシステムがどう相互作用するかについてのチームの理解の範囲にとどまってしまいます。」

Jian Jie Liau
CTO

コード生成が加速するなか、Mobbin には、そのペースについていけるセキュリティレビューが必要でした。すべての変更にアプリケーション全体のコンテキストを持ち込み、コードの記憶が新しいうちにエンジニアが判断を下せるよう支援するレビューです。

Hacktron がすべてのプルリクエストにセキュリティレビューを組み込む

Mobbin は現在、すべてのプルリクエストに対する最初のセキュリティチェックとして Hacktron を使っています。Hacktron が検出結果を見つけると、それは PR のレビュープロセスの一部として表示されるため、セキュリティレビューはリリース後ではなく、コードと並行して進みます。Hacktron は各変更をコードベース全体と照らし合わせてレビューし、それがアプリケーションとどう相互作用するかを追跡して、検出結果を GitHub に直接投稿します。

「Hacktron を使うと、セキュリティの検出結果は PR のレビュープロセスの中で現れ、PR の担当者がそのままセキュリティの検出結果の担当者にもなります。」

Jian Jie Liau
CTO

コードが変更されると、Hacktron は再度レビューします。エンジニアはプルリクエストが進行中のうちに検出結果を確認し、根拠を調べて、トリアージの最終判断を下します。

「私たちがコードを出荷するスピードは劇的に上がりました。」

「もう一つの目として機能する、自動化された PR セキュリティレビューツールが必要だったのは間違いありません。」

Jian Jie Liau
CTO

• Hacktron の導入前：検出結果はリリース後に現れることが多く、明確な担当者がいませんでした。
• Hacktron の導入後：検出結果は PR のレビュー中に現れ、セキュリティが進行中の変更の一部になります。

コードベース全体のコンテキスト

Hacktron は、判断にアプリケーションのコンテキストを持ち込むことで、検出結果のトリアージを速くします。

Hacktron は、ある変更をアプリケーションの別の場所にあるコードと結びつけ、単独の差分からは見えにくいセキュリティ上の影響を浮き彫りにできます。また、コードベースの進化に伴って脆弱な経路を生み出しうる構造的な変更も特定できます。

「私が評価しているのは、Hacktron が既存のセキュリティ脆弱性をチェックするだけではない点です。」

「リスクの高い領域や変更も指摘してくれます。書いた時点ではリスクがなくても、コードの構造上、将来の変更によって脆弱性を生む可能性がある領域です。」

Jian Jie Liau
CTO

結果：検出から判断まで数分

「Hacktron が PR のレビュープロセスの一部になっているので、エンジニアは検出結果にほぼ即座に反応します。」

「PR の担当者が、そのままセキュリティの検出結果の担当者でもあるのです。」

Jian Jie Liau
CTO

Mobbin が Hacktron を使い始めた最初の 8 週間で、21 件の検出結果が最終判定に至りました。トリアージにかかった時間の中央値は約 32 分でした。最も長かったケースでも、10.3 時間以内にトリアージされています。セキュリティレビューをすべてのプルリクエストに組み込み、各検出結果の周りにアプリケーションのコンテキストを集めることで、Hacktron はトリアージを、リリース後の引き継ぎ作業から進行中の開発ワークフローの一部へと変えました。

AI ネイティブなエンジニアリングチームにとって、セキュリティレビューはいまやコード生成のペースについていけるものになり、変更がまだ動いているうちに問題を早期に提示して対処できるようになっています。