セキュアなRuby on Rails環境を実現するセキュリティチェッカー「Hakiri」
HakiriはRuby製、MIT Licenseのオープンソース・ソフトウェアです。
Webサーバのセキュリティは万全でしょうか。できるだけのことはしつつも、それでもバージョンアップが適切に行われていない場合もあります。特に外部に公開されるWebサーバや、そこから接続されるデータベースサーバについては重点的にチェックが必要です。そこで使ってみたいのがHakiriです。
[](http://images.moongift.jp/2013/07/Screenshot 2013-07-03 22.29.08.1372859048.png)
最初にマニフェストを作成します。必要な箇所を修正します。
[](http://images.moongift.jp/2013/07/Screenshot 2013-07-03 22.30.24.1372859052.png)
後はsystem:scanで自動的にシステムのバージョンチェックが実行されます。ローカルということもあってバージョンアップを放置し過ぎていますね…。
[](http://images.moongift.jp/2013/07/Screenshot 2013-07-03 22.35.08.1372859056.png)
セキュリティ情報をリストアップできます。おとなしくバージョンアップするのが良いです。
HakiriはWebサービスとして公開されているHakiri PlatformのCUIクライアントという位置づけです。主にRuby/Ruby on Railsと組み合わせるようですが、Webサーバ/DBサーバ/アプリケーションサーバを一通り見てくれます。Ruby on Rails側としてはJRuby/Ruby/Java/Linuxカーネル、WebサーバとしてApache/Tomcat/Phusion Passenger/Thin/Trinidad/Unicorn/nginx、データベースはMemcached/MongoDB/MySQL/Postgres/Redisのバージョンチェックをしてくれます。
MOONGIFTはこう見る
どうしてもバージョンアップに伴うテストや不具合の発生を考えると躊躇してしまうものです。しかしその結果として攻撃されてしまうのでは意味がありません。大事なのは自動テストをしっかりと記述して、バージョンアップした状態の環境でテストを実行して確実性を高めることでしょう。それでもなおエラーが発生する可能性はなくなりませんが、かなり低く抑えられるはずです。
Hakiriは言わばシステム上のセキュリティインシデントになりがちな部分を事前にチェックしてくれるノウハウを公開したソフトウェアと言えます。YumやAptといったパッケージ管理を使っている場合もそれは同じですが、特にWebサーバ、アプリケーションサーバ、データベースサーバといったWebシステムの根幹を担うテクノロジーに特化しているのが特徴と言えるでしょう。