ECR拡張スキャンでRailsアプリを診断した際の脆弱性警告(偽陽性)への対策 - メドピア開発者ブログ皆様こんにちは、サーバーサイドエンジニアの草分です。 最近ポケモン最新作を買ってしまったのでひたすら野原でボールを投げ続ける日々を送っています。 さて本題に入りましょう。 Amazon ECRには、pushしたコンテナイメージへのイメージスキャン(脆弱性診断)機能があります。 Image scanning - Amazon ECR メドピアではこれを利用して全社横断的にアプリの脆弱性の検知および可視化を行っています。 脆弱性が検知された場合の表示 この記事では、Railsアプリをイメージスキャンした際の【偽陽性】警告の問題と、その解決策について紹介いたします。 問題 ECRのイメージスキャンには「基本スキャン」「拡張スキャン」の2種類があり、この内の拡張スキャン(Enhanced scanning)では、Rubyのgemやnpmのパッケージなども診断の対象となります。 Gemfile.lo
