セキュアで信頼性のあるシステム構築

サイトの信頼性に欠かせないセキュアなシステム設計と運用について詳述!
システムのセキュリティと信頼性は表裏一体です。セキュリティは、プロダクトの品質、パフォーマンス、可用性と密接にかかわるため、スケーラブルなシステムの設計と運用にとって極めて重要です。本書は、Google のセキュリティと信頼性のエキスパートが、根本からセキュアで、スケーラブルかつ信頼性の高いシステムを設計するためのベストプラクティスを紹介します。

『セキュアで信頼性のあるシステム構築』は、Google のセキュリティと信頼性のエキスパートが、根本から安全で、スケーラブルかつ信頼性の高いシステムを設計するための実践を、設計 / 実装 / 維持 / 組織の観点からまとめた書籍です。Heather Adkins、Betsy Beyer、Paul Blankinship、Piotr Lewandowski、Ana Oprea、Adam Stubblefield の 6 名が編者を務め、Kuma Arakawa 監訳、渡邉 了介 訳で、オライリー・ジャパンから 2023 年 6 月に刊行されました。副題は Google SRE が考える安全なシステムの設計、実装、保守、原書は Building Secure and Reliable Systems です。サービスの可用性を守る立場とセキュリティを守る立場の両方に関わり、二つの要求がぶつかる場面で判断の拠り所を持ちたいエンジニアに向いた一冊です。

既刊の SRE 本 2 冊との関係と、セキュリティと信頼性を一体で扱う理由

版元の紹介文は、既刊書の『SRE サイトリライアビリティエンジニアリング』と『サイトリライアビリティワークブック』がサービスライフサイクル全体への取り組みの重要性と方法を解説したのに対し、本書はシステムの設計、実装、保守に関する考え方と実践法を、ベストプラクティスに取り組むための組織の文化とあわせて解説すると位置づけています。紹介文の冒頭にある、システムのセキュリティと信頼性は表裏一体という一文が本書の出発点です。障害で止まったサービスと攻撃で止められたサービスは、利用者から見れば同じ結果であり、変更の失敗で設定が壊れることと、権限を奪われて設定を書き換えられることも、影響の範囲を抑え、早く気づき、元に戻すという対策の型が多くの部分で重なります。一方で、復旧を急ぐために広い権限を緊急時に開けることはセキュリティの穴になり得るなど、両者が緊張関係に立つ場面もあります。1 章の「信頼性」対「セキュリティ」:設計上の考慮事項という節や、4 章の設計におけるトレードオフは、この重なりとずれを整理する役割を持つと読めます。

5 部 22 章の構成、攻撃者の理解から Chrome のセキュリティチームまで

目次は本書への推薦の言葉と 2 本の序文、はじめにの後、5 部に分かれます。第 I 部 入門資料は 1 章のセキュリティと信頼性が交わるところと、攻撃者のモチベーションやプロファイル、手法、リスク評価を扱う 2 章の攻撃者に対する理解です。第 II 部 システムの設計は 3 章のセーフプロキシのケーススタディに始まり、設計におけるトレードオフ、最小権限を前提とする設計、理解しやすさに配慮した設計、状況の変化に対応する設計、弾力性を担保する設計、リカバリを想定した設計、サービス拒否攻撃の緩和と 10 章まで続きます。第 III 部 システムの実装は 11 章のパブリックに信頼できる CA の設計 / 実装 / 維持のケーススタディから、コードの記述、テスト、デプロイ、システムの調査へ進み、第 IV 部 システムの維持はディザスタプランニング、危機管理、リカバリとその後の 3 章です。第 V 部 組織と文化は 19 章の Chrome のセキュリティチームのケーススタディから役割と責任、文化の構築へ進み、22 章のまとめと付録 A のディザスタリスク評価マトリクスで閉じます。設計、実装、組織の各部の入口にケーススタディを置き、原則をその後の章で一般化する並びと読めます。

最小権限 / 多層防御 / 脅威モデルを設計の段階で決める意味

本書の設計の部が扱う題材は、後から足すと高くつく性質のものばかりです。権限を 最小権限の原則 に寄せる判断は、サービス間の呼び出し経路や運用者の作業手順が固まる前に決めておかないと、後から絞るたびに業務が止まります。障害や侵入の影響範囲を限定する 多層防御 や障害ドメインの切り分けも、構成が出来上がってからでは手を入れにくい部分です。実装の部でデプロイを扱う 14 章が脅威モデルの節から入るのも、ビルドから本番反映までの経路のどこに誰が手を入れ得るかを 脅威モデリング の考え方で洗い出し、そこから対策を選ぶ順番を示すためと読めます。こうした判断は個別製品の設定方法と違って陳腐化しにくく、使っているクラウドやツールが変わっても持ち越せる知識になります。

反対に、特定のクラウドサービスやセキュリティ製品の設定手順を順に追いたい人や、Web アプリケーションの脆弱性診断の具体的な手順を学びたい人には、本書の目次は直接の答えになりません。題材はユニットテストやファズテスト、静的プログラム解析、ログの収集、インシデント対応の指揮といった実務に及びますが、それらを設計原則と組織運営の文脈で論じる本です。既刊の SRE 本を読んで信頼性の考え方を身につけ、次にセキュリティの要求をどう同じ設計の中に収めるかで悩んでいる人や、障害対応とセキュリティインシデント対応を一つの体制で回す仕組みを作りたい人にとって、本書は判断の根拠を章単位で引ける手元の参照書になります。