DevSecOps完全ガイド2025：Shift-Leftセキュリティ、SAST/DAST/SCA、コンテナセキュリティまで

┌─────────────────────────────────────────────────────────────┐
│                    DevSecOps パイプライン                      │
├──────────┬──────────┬──────────┬──────────┬────────────────┤
│   Plan   │  Code    │  Build   │  Test    │  Deploy/Run    │
├──────────┼──────────┼──────────┼──────────┼────────────────┤
│ Threat   │ SAST     │ SCA      │ DAST     │ Runtime        │
│ Modeling │ Semgrep  │ Snyk     │ ZAP      │ Protection     │
│          │ CodeQL   │ Trivy    │ Burp     │ Falco          │
│ Security │ SonarQube│ OSV      │ Nuclei   │ Container      │
│ Require  │          │          │          │ Security       │
│ ments    │ Secret   │ SBOM     │ Fuzzing  │ Network        │
│          │ Detect   │ Signing  │          │ Policy         │
├──────────┼──────────┼──────────┼──────────┼────────────────┤
│     Policy-as-Code (OPA / Kyverno / Conftest)              │
└─────────────────────────────────────────────────────────────┘

従来の方式:
Plan -> Code -> Build -> Test -> Deploy -> [セキュリティレビュー] -> Release
                                            ^ ここで発見 = コスト高

Shift-Left方式:
Plan -> [セキュリティ] -> Code -> [セキュリティ] -> Build -> [セキュリティ] -> Test -> Deploy
  ^ ここから開始 = コスト低

# security-champions.yaml
teams:
  - name: "Backend Team"
    champion: "alice@company.com"
    responsibilities:
      - "PRセキュリティレビュー"
      - "SAST結果のトリアージ"
      - "月次セキュリティ教育実施"
    training:
      - "OWASP Top 10"
      - "Secure Coding Practices"
      - "Threat Modeling基礎"
  - name: "Frontend Team"
    champion: "bob@company.com"
    responsibilities:
      - "XSS/CSRF防止レビュー"
      - "依存関係脆弱性管理"
      - "CSPヘッダー管理"

STRIDE脅威モデル:
┌─────────────────────────────────────────┐
│ S - Spoofing（なりすまし）                │
│ T - Tampering（改ざん）                  │
│ R - Repudiation（否認）                  │
│ I - Information Disclosure（情報漏洩）    │
│ D - Denial of Service（サービス拒否）     │
│ E - Elevation of Privilege（権限昇格）    │
└─────────────────────────────────────────┘

// .vscode/settings.json
{
  "semgrep.scan.autoScan": true,
  "semgrep.scan.configuration": [
    "p/owasp-top-ten",
    "p/typescript",
    "p/react"
  ],
  "sonarlint.connectedMode.project": {
    "connectionId": "my-sonarqube",
    "projectKey": "my-project"
  }
}

# docker-compose.yml - SonarQubeローカルセットアップ
version: "3.8"
services:
  sonarqube:
    image: sonarqube:community
    ports:
      - "9000:9000"
    environment:
      SONAR_JDBC_URL: jdbc:postgresql://db:5432/sonarqube
      SONAR_JDBC_USERNAME: sonar
      SONAR_JDBC_PASSWORD: sonar
    volumes:
      - sonar_data:/opt/sonarqube/data
      - sonar_logs:/opt/sonarqube/logs
      - sonar_extensions:/opt/sonarqube/extensions
    depends_on:
      - db
  db:
    image: postgres:15
    environment:
      POSTGRES_DB: sonarqube
      POSTGRES_USER: sonar
      POSTGRES_PASSWORD: sonar
    volumes:
      - postgres_data:/var/lib/postgresql/data

volumes:
  sonar_data:
  sonar_logs:
  sonar_extensions:
  postgres_data:

# sonar-project.properties
sonar.projectKey=my-app
sonar.projectName=My Application
sonar.projectVersion=1.0
sonar.sources=src
sonar.tests=tests
sonar.language=ts
sonar.sourceEncoding=UTF-8
sonar.javascript.lcov.reportPaths=coverage/lcov.info
sonar.qualitygate.wait=true

# .semgrep.yml - カスタムセキュリティルール
rules:
  - id: no-eval-usage
    patterns:
      - pattern: eval(...)
    message: "eval()の使用はコードインジェクションのリスクがあります"
    severity: ERROR
    languages: [javascript, typescript]
    metadata:
      owasp: "A03:2021 Injection"
      cwe: "CWE-95"

  - id: no-innerHTML
    patterns:
      - pattern: $EL.innerHTML = $VAL
    message: "innerHTMLの直接設定はXSSリスクがあります。textContentまたはDOMPurifyを使用してください"
    severity: WARNING
    languages: [javascript, typescript]

  - id: sql-injection-risk
    patterns:
      - pattern: |
          $DB.query(`... ${$VAR} ...`)
      - pattern: |
          $DB.query("..." + $VAR + "...")
    message: "SQLインジェクションリスク！パラメータバインディングを使用してください"
    severity: ERROR
    languages: [javascript, typescript]
    fix: |
      $DB.query("... $1 ...", [$VAR])

  - id: no-hardcoded-secrets
    patterns:
      - pattern: |
          const $KEY = "AKIA..."
      - pattern: |
          const $KEY = "sk-..."
    message: "ハードコードされたシークレットが検出されました。環境変数を使用してください"
    severity: ERROR
    languages: [javascript, typescript]

# Semgrep実行
semgrep --config auto --config .semgrep.yml src/

# 特定のルールセットのみ実行
semgrep --config p/owasp-top-ten src/
semgrep --config p/typescript src/

# CI用JSON出力
semgrep --config auto --json --output results.json src/

// codeql-queries/sql-injection.ql
/**
 * @name SQL injection in query string
 * @description ユーザー入力がSQLクエリに直接含まれている
 * @kind path-problem
 * @problem.severity error
 * @security-severity 9.8
 * @precision high
 * @id js/sql-injection
 * @tags security
 *       external/cwe/cwe-089
 */

import javascript
import DataFlow::PathGraph

class SqlInjectionConfig extends TaintTracking::Configuration {
  SqlInjectionConfig() { this = "SqlInjectionConfig" }

  override predicate isSource(DataFlow::Node source) {
    exists(Express::RequestInputAccess input |
      source = input
    )
  }

  override predicate isSink(DataFlow::Node sink) {
    exists(DatabaseAccess query |
      sink = query.getAQueryArgument()
    )
  }
}

from SqlInjectionConfig config, DataFlow::PathNode source, DataFlow::PathNode sink
where config.hasFlowPath(source, sink)
select sink.getNode(), source, sink,
  "このクエリは$@からのユーザー入力を含みます。",
  source.getNode(), "ユーザー入力"

# zap-automation.yaml
env:
  contexts:
    - name: "My Web App"
      urls:
        - "https://staging.example.com"
      includePaths:
        - "https://staging.example.com/.*"
      excludePaths:
        - "https://staging.example.com/logout"
      authentication:
        method: "form"
        parameters:
          loginUrl: "https://staging.example.com/login"
          loginRequestData: "username=test&password=test123"

jobs:
  - type: spider
    parameters:
      context: "My Web App"
      maxDuration: 5
      maxDepth: 10

  - type: spiderAjax
    parameters:
      context: "My Web App"
      maxDuration: 5

  - type: passiveScan-wait
    parameters:
      maxDuration: 10

  - type: activeScan
    parameters:
      context: "My Web App"
      maxRuleDurationInMins: 5
      policy: "API-Scan"

  - type: report
    parameters:
      template: "modern"
      reportDir: "/zap/reports"
      reportFile: "zap-report"
      reportTitle: "ZAP Security Report"
    risks:
      - high
      - medium
      - low

# DockerでZAP自動化スキャン実行
docker run --rm -v $(pwd):/zap/wrk:rw \
  -t zaproxy/zap-stable \
  zap.sh -cmd -autorun /zap/wrk/zap-automation.yaml

# APIスキャン（OpenAPIスペック基盤）
docker run --rm -v $(pwd):/zap/wrk:rw \
  -t zaproxy/zap-stable \
  zap-api-scan.py \
    -t https://staging.example.com/openapi.json \
    -f openapi \
    -r api-report.html

# .snyk - Snykポリシーファイル
version: v1.5
ignore:
  SNYK-JS-LODASH-590103:
    - '*':
        reason: "該当関数を使用していない"
        expires: "2026-06-01T00:00:00.000Z"
patch: {}

language-settings:
  javascript:
    severity-threshold: high

# Snyk CLI使用法
snyk test                    # 脆弱性検査
snyk monitor                 # 継続的モニタリング登録
snyk test --severity-threshold=high  # 高い重大度のみ
snyk code test               # SASTスキャン
snyk container test myimage:latest  # コンテナスキャン
snyk iac test terraform/     # IaCスキャン

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
      day: "monday"
      time: "09:00"
      timezone: "Asia/Tokyo"
    open-pull-requests-limit: 10
    reviewers:
      - "security-team"
    labels:
      - "dependencies"
      - "security"
    commit-message:
      prefix: "deps"
      include: "scope"
    groups:
      security-patches:
        patterns:
          - "*"
        update-types:
          - "security"

  - package-ecosystem: "docker"
    directory: "/"
    schedule:
      interval: "weekly"
    labels:
      - "docker"
      - "dependencies"

  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "weekly"
    labels:
      - "ci"
      - "dependencies"

// renovate.json
{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": [
    "config:base",
    ":semanticCommits",
    "group:allNonMajor",
    "schedule:weekends"
  ],
  "vulnerabilityAlerts": {
    "enabled": true,
    "labels": ["security"],
    "schedule": ["at any time"]
  },
  "packageRules": [
    {
      "matchUpdateTypes": ["patch"],
      "automerge": true,
      "automergeType": "pr",
      "platformAutomerge": true
    },
    {
      "matchPackagePatterns": ["eslint", "prettier"],
      "groupName": "linting tools",
      "automerge": true
    },
    {
      "matchPackagePatterns": ["^@types/"],
      "groupName": "type definitions",
      "automerge": true
    }
  ],
  "prConcurrentLimit": 5,
  "prHourlyLimit": 2
}

# 基本イメージスキャン
trivy image myapp:latest

# 重大度フィルタリング
trivy image --severity CRITICAL,HIGH myapp:latest

# 修正可能な脆弱性のみ
trivy image --ignore-unfixed myapp:latest

# SBOM生成
trivy image --format cyclonedx --output sbom.json myapp:latest

# CI用JSON出力と終了コード
trivy image --format json --output results.json \
  --exit-code 1 --severity CRITICAL myapp:latest

# ファイルシステムスキャン（ビルド前）
trivy fs --security-checks vuln,secret,config .

# Kubernetesマニフェストスキャン
trivy config k8s/

# BAD - セキュリティアンチパターン
FROM ubuntu:latest
RUN apt-get update && apt-get install -y python3
COPY . /app
RUN pip install -r requirements.txt
USER root
EXPOSE 8080
CMD ["python3", "app.py"]

# GOOD - セキュリティベストプラクティス
# 1. 最小ベースイメージ使用
FROM python:3.12-slim AS builder

# 2. パッケージインストール後キャッシュクリア
RUN apt-get update && \
    apt-get install -y --no-install-recommends gcc && \
    rm -rf /var/lib/apt/lists/*

# 3. 別のビルドステージ
WORKDIR /build
COPY requirements.txt .
RUN pip install --no-cache-dir --prefix=/install -r requirements.txt

# 4. 最終イメージは最小化
FROM python:3.12-slim

# 5. 非rootユーザー
RUN groupadd -r appuser && useradd -r -g appuser appuser

# 6. ビルドアーティファクトのみコピー
COPY --from=builder /install /usr/local
COPY --chown=appuser:appuser . /app

WORKDIR /app
USER appuser

# 7. 読み取り専用ファイルシステムサポート
EXPOSE 8080
HEALTHCHECK --interval=30s --timeout=3s \
  CMD curl -f http://localhost:8080/health || exit 1

CMD ["python3", "app.py"]

# Grype - イメージ脆弱性スキャン
grype myapp:latest
grype myapp:latest --only-fixed
grype myapp:latest -o json > grype-results.json

# Docker Scout - Docker Desktop統合
docker scout cves myapp:latest
docker scout recommendations myapp:latest
docker scout quickview myapp:latest

コンテナセキュリティチェックリスト:

イメージビルド:
  [x] 最小ベースイメージ（distroless, alpine, slim）
  [x] マルチステージビルド
  [x] 非rootユーザー実行
  [x] 不要なパッケージ削除
  [x] .dockerignore設定
  [x] イメージ署名（cosign）

ランタイム:
  [x] 読み取り専用ファイルシステム
  [x] リソース制限（CPU、メモリ）
  [x] capabilities最小化
  [x] seccomp/AppArmorプロファイル
  [x] ネットワークポリシー適用

レジストリ:
  [x] プライベートレジストリ使用
  [x] イメージ脆弱性スキャン
  [x] タグ不変性設定
  [x] イメージ署名検証

# .gitleaks.toml
title = "Custom Gitleaks Configuration"

[extend]
useDefault = true

[[rules]]
id = "custom-api-key"
description = "Custom API Key Pattern"
regex = '''(?i)api[_-]?key\s*[:=]\s*['"][a-zA-Z0-9]{32,}['"]'''
entropy = 3.5
secretGroup = 0
tags = ["api", "key"]

[[rules]]
id = "private-key-file"
description = "Private Key File Reference"
regex = '''(?i)(private[_-]?key|ssh[_-]?key)\s*[:=]\s*['"].*\.(pem|key|p12)['"]'''
tags = ["key", "private"]

[allowlist]
description = "Global Allowlist"
paths = [
  '''\.gitleaks\.toml''',
  '''test/.*''',
  '''.*_test\.go''',
  '''.*\.test\.(ts|js)'''
]
regexes = [
  '''EXAMPLE_.*''',
  '''REPLACE_ME'''
]

# GitLeaks実行
gitleaks detect --source . --verbose
gitleaks detect --source . --report-format json --report-path leaks.json

# Git履歴全体スキャン
gitleaks detect --source . --log-opts="--all"

# pre-commit hook
gitleaks protect --staged --verbose

# リポジトリ全体スキャン
trufflehog git file://. --only-verified

# GitHub組織全体スキャン
trufflehog github --org=my-org --only-verified

# Dockerイメージスキャン
trufflehog docker --image=myapp:latest

# S3バケットスキャン
trufflehog s3 --bucket=my-bucket

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

  - repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v4.5.0
    hooks:
      - id: detect-private-key
      - id: check-added-large-files
        args: ['--maxkb=500']

  - repo: https://github.com/returntocorp/semgrep
    rev: v1.50.0
    hooks:
      - id: semgrep
        args: ['--config', 'p/secrets', '--error']

# CycloneDXフォーマットSBOM生成
# npmプロジェクト
npx @cyclonedx/cyclonedx-npm --output-file sbom.json

# Pythonプロジェクト
cyclonedx-py requirements requirements.txt -o sbom.json

# コンテナイメージ
trivy image --format cyclonedx -o sbom.json myapp:latest
syft myapp:latest -o cyclonedx-json > sbom.json

# SPDXフォーマット
syft myapp:latest -o spdx-json > sbom-spdx.json

// SBOM例（CycloneDX簡略版）
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "version": 1,
  "metadata": {
    "component": {
      "type": "application",
      "name": "my-web-app",
      "version": "2.1.0"
    }
  },
  "components": [
    {
      "type": "library",
      "name": "express",
      "version": "4.18.2",
      "purl": "pkg:npm/express@4.18.2",
      "licenses": [{ "license": { "id": "MIT" } }]
    },
    {
      "type": "library",
      "name": "lodash",
      "version": "4.17.21",
      "purl": "pkg:npm/lodash@4.17.21"
    }
  ]
}

SLSAレベル:
┌──────────────┬─────────────────────────────────────┐
│ SLSA Level 0 │ セキュリティ保証なし                    │
│ SLSA Level 1 │ ビルドプロセス文書化（provenance）       │
│ SLSA Level 2 │ ホスティングビルド、署名付きprovenance    │
│ SLSA Level 3 │ 隔離ビルド、改ざん防止                  │
└──────────────┴─────────────────────────────────────┘

# cosignでコンテナイメージ署名
cosign sign --key cosign.key myregistry/myapp:v1.0.0

# キーレス署名（OIDC基盤）
cosign sign myregistry/myapp:v1.0.0

# 署名検証
cosign verify --key cosign.pub myregistry/myapp:v1.0.0

# SBOM添付
cosign attach sbom --sbom sbom.json myregistry/myapp:v1.0.0

# アーティファクト証明（attestation）生成
cosign attest --predicate provenance.json \
  --type slsaprovenance \
  myregistry/myapp:v1.0.0

# policy/kubernetes.rego
package kubernetes.admission

# rootコンテナ禁止
deny[msg] {
  input.request.kind.kind == "Pod"
  container := input.request.object.spec.containers[_]
  container.securityContext.runAsUser == 0
  msg := sprintf("コンテナ'%s'がrootで実行されます", [container.name])
}

# latestタグ禁止
deny[msg] {
  input.request.kind.kind == "Pod"
  container := input.request.object.spec.containers[_]
  endswith(container.image, ":latest")
  msg := sprintf("コンテナ'%s'がlatestタグを使用しています", [container.name])
}

# リソース制限必須
deny[msg] {
  input.request.kind.kind == "Pod"
  container := input.request.object.spec.containers[_]
  not container.resources.limits
  msg := sprintf("コンテナ'%s'にリソース制限がありません", [container.name])
}

# 読み取り専用ルートファイルシステム必須
deny[msg] {
  input.request.kind.kind == "Pod"
  container := input.request.object.spec.containers[_]
  not container.securityContext.readOnlyRootFilesystem
  msg := sprintf("コンテナ'%s'が読み取り専用ファイルシステムを使用していません", [container.name])
}

# kyverno-policies.yaml
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: require-labels
spec:
  validationFailureAction: Enforce
  rules:
    - name: require-team-label
      match:
        any:
          - resources:
              kinds:
                - Pod
      validate:
        message: "すべてのPodには'team'ラベルが必要です"
        pattern:
          metadata:
            labels:
              team: "?*"

---
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: disallow-privileged
spec:
  validationFailureAction: Enforce
  rules:
    - name: no-privileged-containers
      match:
        any:
          - resources:
              kinds:
                - Pod
      validate:
        message: "Privilegedコンテナは許可されていません"
        pattern:
          spec:
            containers:
              - securityContext:
                  privileged: "false"

# ConftestでTerraform検証
conftest test terraform/ --policy policy/

# Dockerfile検証
conftest test Dockerfile --policy policy/docker/

# Kubernetesマニフェスト検証
conftest test k8s/ --policy policy/kubernetes/

# policy/docker/dockerfile.rego
package main

deny[msg] {
  input[i].Cmd == "from"
  val := input[i].Value
  contains(val[0], ":latest")
  msg := "FROMでlatestタグの使用は禁止です"
}

deny[msg] {
  input[i].Cmd == "user"
  val := input[i].Value
  val[0] == "root"
  msg := "USER rootの使用は禁止です"
}

# .github/workflows/security.yml
name: Security Pipeline

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]
  schedule:
    - cron: '0 6 * * 1'  # 毎週月曜日午前6時

permissions:
  contents: read
  security-events: write
  pull-requests: write

jobs:
  # Stage 1: シークレット検出
  secret-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: GitLeaks Scan
        uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

  # Stage 2: SAST
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Semgrep Scan
        uses: returntocorp/semgrep-action@v1
        with:
          config: >-
            p/owasp-top-ten
            p/typescript
            p/react
          generateSarif: "1"

      - name: Upload SARIF
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: semgrep.sarif
        if: always()

  # Stage 3: SCA
  sca:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Snyk Security Scan
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
        with:
          args: --severity-threshold=high

  # Stage 4: コンテナセキュリティ
  container-security:
    runs-on: ubuntu-latest
    needs: [sast]
    steps:
      - uses: actions/checkout@v4

      - name: Build Docker Image
        run: docker build -t myapp:test .

      - name: Trivy Image Scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:test'
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'

      - name: Upload Trivy SARIF
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: 'trivy-results.sarif'
        if: always()

  # Stage 5: SBOM生成
  sbom:
    runs-on: ubuntu-latest
    needs: [container-security]
    steps:
      - uses: actions/checkout@v4

      - name: Generate SBOM
        uses: anchore/sbom-action@v0
        with:
          image: myapp:test
          format: cyclonedx-json
          output-file: sbom.json

      - name: Upload SBOM
        uses: actions/upload-artifact@v4
        with:
          name: sbom
          path: sbom.json

  # 最終: セキュリティゲート
  security-gate:
    runs-on: ubuntu-latest
    needs: [secret-scan, sast, sca, container-security]
    steps:
      - name: Security Gate Check
        run: |
          echo "All security checks passed!"
          echo "Pipeline completed at $(date)"