F-Secure Radar API を CodePipeline に組み込んで脆弱性診断を自動実行してみた

脆弱性診断ツールであるF-Secure Radarは豊富なAPIを提供しています。今回は、そのAPIをCodePipelineに組み込む事により、自動で脆弱性診断を実施させる様な仕組みを試してみました。

セキュリティ製品特集

#AWS Lambda

#F-Secure

#AWS CodePipeline

#F-Secure Rader

#AWS

大前諒祐

2019.08.02

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

エフセキュア様が提供している脆弱性管理ツール、F-Secure Radar をご存知でしょうか？

管理画面上で脆弱性診断の実行・管理等を実施できるツールなのですが、実は豊富な API が用意されています。

そこで、本エントリでは F-Secure Radar API を CI/CD パイプラインから呼び出す事で、自動で脆弱性診断を実施する仕組み作りを試してみます。

F-Secure Radar API を見てみる
構成
やってみた
1. 基本的な CI/CD パイプラインの構築
2. スキャンの設定
3. APIキーとスキャンID を取得
APIキーの取得
スキャンID の取得
4. Lambda の作成
5. CodePipeline の編集
Lambda 呼び出しアクションの追加
手動承認のアクションを作成
6. 動かしてみる
終わりに

F-Secure Radar API を見てみる

まずはどんな API が提供されているのか見てみましょう。

F-SECURE RADAR API の下部に API documentation があります。

「Assets monitoring」「Vulnerability scans」の様に API がカテゴリ分けされています。

カテゴリをクリックすると、API 一覧が表示されますが、Swagger が埋め込まれていて非常に見やすいです。

ざっと見ただけでも数百の API が提供されている様ですので、やりたい事に合わせて柔軟に API を選定し利用することが出来そうです！

構成

今回の構成は以下になります。

ユーザーはソースを変更し CodeCommit に Push
CodeCommit への Push をトリガーに CodePipeline が作動
CodePipeline から Lambda を呼び出す
Lambda からシステムスキャンを開始する F-secure Radar API を呼び出す
F-Secure Radar でシステムスキャンが実施される
システムスキャンが終了したら、F-Secure Radar からユーザーに通知が送られる
ユーザーはスキャン結果を確認し、問題なければ CodePipeline 上で "承認" を行う
承認されると、CodePipeline は CodeDeploy を作動させる
CodeDeploy によってソースの変更が反映される

やってみた

以下の流れで進めてみます。

基本的な CI/CD パイプラインの構築
スキャンの設定
APIキーとスキャンID を取得
Lambda の作成
CodePipeline の編集
テスト

1. 基本的な CI/CD パイプラインの構築

今回は AWS の公式チュートリアルに沿って基本的な CI/CD パイプラインを構築しました。

チュートリアル: シンプルなパイプラインを作成する (CodeCommit リポジトリの場合)

上記チュートリアルに沿って作業を実施すると、下記図の様なリソースが作成された状態になります。

2. スキャンの設定

F-Secure Radar 上で Vulnerability scans を作成します。詳細な手順は以下ブログを参照ください。

F-Secure Radarを使ってサクッとWordPress環境をスキャンしてみた

今回は「MyCodePipelineDemo」という名前のシステムスキャンを作成しました。

また、スキャン開始/終了時にメール通知が来るように設定もしておきます。

3. APIキーとスキャンID を取得

APIキーの取得

F-Secure Radar API を実行するために必要な APIキーを取得します。

管理画面右上の「Accout」より「My profile」に移動

My profile 画面の下部に「Add API key」というボタンがあるので、ここから APIキーを作成します。

作成後に表示されるアクセスキーとシークレットキーの値を API 呼び出し時に使用するため、メモしておきます。

スキャンID の取得

今回使用する API は以下になりますが、開始するスキャンを指定するために scanId が必要です。

この ID も API で取得していきます。

まずは、作成したスキャングループの ID を取得します。


curl -X GET https://api.radar.f-secure.com/api/latest/scangroups/simple -H 'Content-Type: application/json' -H 'ApiAccessKey: {取得したアクセスキー}' -H 'ApiSecretKey: {取得したシークレットキー}' | jq .

作成したグループ名と一緒に ID が表示されるので、これをメモします。

次に、以下コマンドで取得したスキャングループからシステムスキャン情報を取得します


curl -X GET https://api.radar.f-secure.com/api/latest/scangroups/{取得したスキャングループID}/systemscans -H 'Content-Type: application/json' -H 'ApiAccessKey:{取得したアクセスキー}' -H 'ApiSecretKey:{取得したシークレットキー}'

作成したシステムスキャン名と一緒に ID が表示されます。これがスキャン開始 API を実行するために必要な scanId になります。

4. Lambda の作成

F-Secure Radar API を呼び出す、以下の Lambda 関数を作成しました。


import os
import urllib.request
import boto3

code_pipeline = boto3.client('codepipeline')

APIACCESSKEY = os.environ['ApiAccessKey']
APISECRETKEY = os.environ['ApiSecretKey']
SYSTEMSCANID = os.environ['SystemScanId']

def lambda_handler(event, context):
print('Start Invoke API')
try:
jobId = event['CodePipeline.job']['id']

# API呼び出し
url = "https://api.radar.f-secure.com/api/latest/vulnerabilityscans/" + SYSTEMSCANID + "/start"
headers = {
"Content-Type": "application/json",
"ApiAccessKey": APIACCESSKEY,
"ApiSecretKey": APISECRETKEY
}
req = urllib.request.Request(
url,
method="PUT",
headers=headers
)
urllib.request.urlopen(req)

code_pipeline.put_job_success_result(jobId=jobId)

except Exception as e:
# 予期せぬエラー
print(e)
code_pipeline.put_job_failure_result(jobId=jobId, failureDetails={'message': 'Function failed due to exception.', 'type': 'JobFailed'})

print('Finish Invoke API')
return

ApiAccessKey、ApiSecretKey、SystemScanId はそれぞれ今までの手順で取得した値で、環境変数にセットして読み込んでいます。

ソースコードについての細かい説明は省きますが、以下の処理をしています。

スキャン開始API（"https://api.radar.f-secure.com/api/latest/vulnerabilityscans/" + SYSTEMSCANID + "/start"）の呼び出し
成功したら code_pipeline.put_job_success_result() で CodePipeline に成功したことを伝える
何かしらのエラーが発生した場合には code_pipeline.put_job_failure_result() で失敗したことを伝える

また、この関数を実行するロールには以下のポリシーをアタッチしておく必要があります。

{
　"Version": "2012-10-17",
　"Statement": [
　{
　　"Action": [
　　　"logs:*"
　　],
　　"Effect": "Allow",
　　"Resource": "arn:aws:logs:*:*:*"
　},
　{
　　"Action": [
　　　"codepipeline:PutJobSuccessResult",
　　　"codepipeline:PutJobFailureResult"
　　],
　　"Effect": "Allow",
　　"Resource": "*"
　}
　]
}