セキュリティ証拠ガイド

概要

セキュリティ証拠は、お客様が評価しているソフトウェアそのものまで追跡できる場合に最も有用です。CaseBender はビルドを Git コミットで識別し、コンテナ成果物を不変ダイジェストで識別します。保証レビューを行う際は、以下のいずれかから開始してください。

CaseBender のリリースバージョン
リリースに表示される Git コミット SHA
デプロイされた各コンテナイメージのダイジェスト
成果物を生成したワークフロー実行

latest などのタグは便利な参照ですが、安定した証拠識別子ではありません。

証拠カタログ

証拠	証明する内容	重要な制限
Security Gate result	必須の CI セキュリティジョブが対象リビジョンに対して正常に完了したこと	対象は構成済みの自動統制のみ
Gitleaks report/log	スキャン対象のソースおよび履歴に、一致するシークレットパターンが残っていないこと	考え得るすべての認証情報形式を識別できるわけではない
Trivy filesystem SARIF	スキャン対象のリポジトリ状態における依存関係の検出結果	アドバイザリーデータベースおよびパッケージ検出は時間とともに変化する
Trivy container SARIF	ビルド済みサービスイメージ内の OS およびアプリケーションの検出結果	スキャンされたダイジェストにのみ適用される
Trivy IaC SARIF	Docker および Kubernetes 構成内の検出結果	すべてのランタイムプラットフォーム設定を検証するものではない
Semgrep SARIF	構成されたソースおよびテイント分析ルールによる検出結果	ルールの対象範囲は手動コードレビューと同等ではない
Dependency audit JSON	パッケージレジストリで既知となっている本番環境の依存関係に関するアドバイザリ	オペレーティングシステムのパッケージは対象外
License JSON and policy result	検出されたライセンスおよびパッケージ固有のポリシー判断	法的解釈はお客様ごとに異なる
CycloneDX SBOM	リポジトリまたはイメージで検出されたコンポーネント	SBOM はインベントリであり、脆弱性がないことを示すものではない
Cosign signature	ワークフロー ID が特定のイメージダイジェストに署名したこと	署名検証はアプリケーションの動作を評価しない
SBOM attestation	署名済み SBOM が特定のイメージに関連付けられていること	attestation の正確性は SBOM 生成の正確性に依存する
SLSA-format provenance document	ソースリビジョンおよびビルド呼び出しメタデータ	現在の `subject` は空であり、イメージダイジェストに紐付けられておらず、独立した認証も受けていない
OWASP ZAP report	ZAP が到達した認証済みステージングルートに対する結果	API またはビジネスロジックが完全に網羅されていることを証明するものではない
Exception record	検出結果の範囲が意図的に限定され、正当化され、有効期限が設定されたこと	根本的なリスクを排除するものではない

トレーサビリティ手順

1. デプロイ済みダイジェストを記録する

レジストリまたはコンテナランタイムを使用して、不変ダイジェストを取得します。

docker image inspect IMAGE:TAG \
  --format='{{index .RepoDigests 0}}'

想定される出力は次のような形式です。

registry.example.com/casebender/web@sha256:...

2. 署名を検証する

CaseBender のリリースワークフローでは、GitHub Actions OIDC を基盤とするキーレス Cosign 署名を使用します。

cosign verify \
  --certificate-identity-regexp='https://github.com/casebender/webapp/' \
  --certificate-oidc-issuer='https://token.actions.githubusercontent.com' \
  IMAGE@sha256:DIGEST

検証は、タグだけでなくダイジェストに対して実施してください。レジストリチャネルおよび証明書 ID は、成果物とともに提供されるリリースドキュメントと一致している必要があります。

3. プロベナンスメタデータを検証する

プロベナンス文書で以下を確認します。

リポジトリおよびソースリビジョン
ワークフロー ID およびトリガー
ビルドタイムスタンプおよび実行者
subject フィールド、およびレビュー対象の成果物を識別しているか
添付された署名および署名証明書

現在の単独の CaseBender プロベナンス文書では、subject が空です。署名済みのワークフローメタデータとして検証できますが、特定のコンテナダイジェストがその呼び出しによって生成されたことを現時点では証明できません。成果物レベルのトレーサビリティには、レジストリダイジェスト、イメージ署名、およびイメージ SBOM attestation を使用してください。

内容を信頼する前に、署名済み blob を検証してください。

cosign verify-blob \
  --signature provenance.json.sig \
  --certificate provenance.json.cert \
  --certificate-identity-regexp='https://github.com/casebender/webapp/' \
  --certificate-oidc-issuer='https://token.actions.githubusercontent.com' \
  provenance.json

4. SBOM を確認する

SBOM を使用して、デプロイメントに関連する直接および推移的コンポーネントを特定します。お客様は、CycloneDX JSON を自社の脆弱性管理ツールまたはソフトウェア資産管理ツールにインポートできます。 SBOM は、レビュー対象と同じコミットまたはイメージダイジェストに対応させる必要があります。リポジトリレベルの SBOM とイメージレベルの SBOM は異なる問いに答えるものであり、相互に置き換え可能なものとして扱わないでください。

5. セキュリティの検出結果と例外を確認する

以下を確認してください。

スキャンがスキップされず完了したこと
レポートが対象のリビジョンまたはダイジェストに対応していること
ワークフローで使用された severity ポリシー
修正が提供されていない検出結果がスキャナー構成によって除外されていたか
例外が正確な検出結果およびパスに適用されるか
例外が引き続きレビュー期間内にあるか

成果物の保持

現在のワークフローの保持設定には、以下が含まれます。

スキャナーおよび監査の成果物：通常 30 日
リポジトリの CycloneDX SBOM 成果物および署名関連データ：1,095 日
レジストリの署名および attestation：レジストリのライフサイクルポリシーに従い、該当するレジストリ成果物とともに保持

お客様自身の環境における保持は、そのお客様が管理します。より長期の監査要件があるお客様は、デプロイするリリースごとに受領した証拠パッケージをアーカイブしてください。

推奨されるお客様向け証拠パッケージ

リリース保証レビューに関連するパッケージには、以下が含まれる場合があります。

リリース識別子およびコミット SHA
デプロイされたサービスイメージの不変ダイジェスト
Security Gate workflow result
それらのダイジェストに対するコンテナスキャン結果
CycloneDX SBOM
署名検証の出力
署名済みプロベナンスおよび検証の出力
該当する有効な例外記録
脆弱性修正の概要
現在のペネトレーションテスト状況に関する声明

利用可否は、リポジトリ権限、レジストリチャネル、成果物の保持期間、および契約上の開示条件に依存する場合があります。未加工のレポートには、リポジトリのパス、依存関係の詳細、またはインフラストラクチャ情報が含まれる可能性があり、安全な転送または墨消しが必要になる場合があります。

成功結果の解釈

green のワークフローは、構成されたジョブが、そのリビジョンに組み込まれたポリシーに従って完了したことを意味します。以下を意味するものではありません。

脆弱性が存在しない
すべてのアプリケーションパスがテストされた
デプロイされたすべてのインフラストラクチャがスキャン済みテンプレートと一致する
すべての依存関係に今後アドバイザリが発生しない
第三者が結果を独立して検証した
リリースがコンプライアンスフレームワークに対して認証されている

より高い保証が求められるデプロイメントでは、自動化された証拠に加えて、アーキテクチャレビュー、お客様環境のハードニング、脅威モデリング、および独立した手動テストを組み合わせてください。

ペネトレーションテストの証拠

CaseBender は現在、完了済みの第三者ペネトレーションテストレポートまたは修正後の再テスト書簡があるとは表明していません。自動 ZAP テストおよび製品内のペネトレーションテスト管理機能は、そのような証拠の代替ではありません。計画中の評価、テスターに求められる資格、実施規則、および想定成果物については、Independent Penetration Test Scope（英語）に記載されています。

セキュリティ上の懸念事項の報告

CaseBender の脆弱性が疑われる場合は、security@casebender.com まで報告してください。以下を含めてください。

影響を受けるバージョンまたはイメージダイジェスト
デプロイモード
再現手順
期待される動作と実際に観察された動作
潜在的な影響
安全に取り扱うことができる概念実証資料

暗号化されていない最初のメッセージには、有効な認証情報、お客様のデータ、または破壊的なエクスプロイト資料を含めないでください。

セキュリティ保証

セキュリティ証拠ガイド

概要

証拠カタログ

トレーサビリティ手順

1. デプロイ済みダイジェストを記録する

2. 署名を検証する

3. プロベナンスメタデータを検証する

4. SBOM を確認する

5. セキュリティの検出結果と例外を確認する

成果物の保持

推奨されるお客様向け証拠パッケージ

成功結果の解釈

ペネトレーションテストの証拠

セキュリティ上の懸念事項の報告

関連ドキュメント

​概要

​証拠カタログ

​トレーサビリティ手順

​1. デプロイ済みダイジェストを記録する

​2. 署名を検証する

​3. プロベナンスメタデータを検証する

​4. SBOM を確認する

​5. セキュリティの検出結果と例外を確認する

​成果物の保持

​推奨されるお客様向け証拠パッケージ

​成功結果の解釈

​ペネトレーションテストの証拠

​セキュリティ上の懸念事項の報告

​関連ドキュメント

概要

証拠カタログ

トレーサビリティ手順

1. デプロイ済みダイジェストを記録する

2. 署名を検証する

3. プロベナンスメタデータを検証する

4. SBOM を確認する

5. セキュリティの検出結果と例外を確認する

成果物の保持

推奨されるお客様向け証拠パッケージ

成功結果の解釈

ペネトレーションテストの証拠

セキュリティ上の懸念事項の報告

関連ドキュメント