[論文レビュー] Collaborative Application Security Testing for DevSecOps: An Empirical Analysis of Challenges, Best Practices and Tool Support

Roshan Namal Rajapakse, Mansooreh Zahedi+1 more|arXiv (Cornell University)|Nov 13, 2022

Software Engineering Techniques and Practices被引用数 4

ひとこと要約

本研究は、48件のキュレート済みウェビナーを対象とした主題分析を通じて、DevSecOpsにおける共同アプリケーションセキュリティテスト（CoAST）を調査し、ツール化、役割の明確化、チーム連携に関する主な課題を特定した。本研究では、シフトレフトセキュリティやチャットオプスといった実行可能なベストプラクティスを提案するとともに、ASTツールに組み込まれた連携機能の欠如といった重要なツール化のギャップを浮き彫りにし、今後の研究およびツール開発に向けて、統合されたダッシュボードや共有可能なメトリクス、社会的・技術的要因を統合した指標の強化を要請している。

ABSTRACT

DevSecOps is a software development paradigm that places a high emphasis on the culture of collaboration between developers (Dev), security (Sec) and operations (Ops) teams to deliver secure software continuously and rapidly. Adopting this paradigm effectively, therefore, requires an understanding of the challenges, best practices and available solutions for collaboration among these functional teams. However, collaborative aspects related to these teams have received very little empirical attention in the DevSecOps literature. Hence, we present a study focusing on a key security activity, Application Security Testing (AST), in which practitioners face difficulties performing collaborative work in a DevSecOps environment. Our study made novel use of 48 systematically selected webinars, technical talks and panel discussions as a data source to qualitatively analyse software practitioner discussions on the most recent trends and emerging solutions in this highly evolving field. We find that the lack of features that facilitate collaboration built into the AST tools themselves is a key tool-related challenge in DevSecOps. In addition, the lack of clarity related to role definitions, shared goals, and ownership also hinders Collaborative AST (CoAST). We also captured a range of best practices for collaboration (e.g., Shift-left security), emerging communication methods (e.g., ChatOps), and new team structures (e.g., hybrid teams) for CoAST. Finally, our study identified several requirements for new tool features and specific gap areas for future research to provide better support for CoAST in DevSecOps.

研究の動機と目的

• DevSecOps環境におけるアプリケーションセキュリティテスト（AST）の共同的課題を調査し、実務家たちの経験に焦点を当てる。
• CoASTワークフローにおけるチームの役割、ツールの制限、コミュニケーションに関する主な課題を特定および分類する。
• 効果的な連携を支援する新たなベストプラクティスおよびツール機能を抽出・分類する。
• 次世代のASTツールが共同セキュリティテストを改善するために必要な、具体的な機能要件と研究ギャップを特定する。
• ツール開発者および組織が、より良いツール化とチーム実践を通じてCoASTを向上させるための証拠に基づいた提言を提供する。

提案手法

• DevSecOpsおよびCoASTに関連する関連性に基づき、初期の3,389本のYouTube動画から48本のウェビナーを体系的に選定した。
• ウェビナートランスクリプトの主題分析を通じて、繰り返し現れる課題、ベストプラクティス、ツールトレンドを特定した。
• 客観性を確保し、技術的および共同的インサイトに集中するため、主にマーケティングコンテンツが中心のウェビナーを除外した。
• テーマに分類：課題（9つの主要な問題）、ベストプラクティス（5つのテーマにまたがる11の実践）、ツール機能（6つのテーマにまたがる10種類の機能）。
• スピーカーの提言およびコラボレーションプラットフォームとASTツールにおける新たなトレンドの分析を通じて、ツール化要件を特定した。
• 質的データ統合を用いて、CoASTにおけるツール開発および今後の研究に向けた実行可能な提言を導出した。

実験結果

リサーチクエスチョン

• RQ1 DevSecOps環境において、実務家が共同アプリケーションセキュリティテスト（CoAST）を実施するにあたり直面する主な課題は何か？
• RQ2 業界の実務家がCoASTワークフローにおける連携を改善するために推奨するベストプラクティスは何か？
• RQ3 DevSecOpsにおける効果的なCoASTを支援するために、特に重要なとされるツールの機能および能力は何か？
• RQ4 現在のASTツールにおける組み込み連携支援のギャップは何か？ そして、ツール開発に与える影響は何か？
• RQ5 ChatOps や AI などのような、新たなコラボレーションモデルや技術は、CoASTでどのように採用されたり推奨されたりしているのか？ それらはどのような研究機会を提供するか？

主な発見

• ASTツールに組み込みの連携機能が欠如していることは、効果的なCoASTの主要な技術的障壁であり、ツールの切り替えや断片化されたワークフローを引き起こしている。
• 役割の定義が不明瞭で、共有の目標やセキュリティ責任の所在が明確でないことは、開発者、セキュリティチーム、運用チーム間の連携を著しく妨げている。
• シフトレフトおよびシフトライトセキュリティ、ハイブリッドチーム構造、セキュリティおよびDevOpsチャンピオンの活用といったベストプラクティスが、広く推奨されている。
• チャットオプスやロールベースのアクセス制御といった新たなコミュニケーション手法は、リアルタイムでの連携を強化し、摩擦を低減する有効な手段と見なされている。
• チーム全体で脆弱性データを統合・優先順位付けすることができる、集中型で文脈に即したダッシュボードの導入が強く求められている。
• 既存のASTツールは、しばしば強力な統合機能（例：API）を欠いており、連携および通信プラットフォームとの相互運用性を向上させるようベンダーに要請されている。