AI主導のゼロデイ攻撃に備える──「PHP2Shell」の教訓から再構築した４層の多層防御パイプライン

「クラウドのファイアウォールがあるから安全」「Dependabotを有効にして最新化しているから大丈夫」といった、単一障害点（SPOF）的なセキュリティへの盲信はもはや通用しません。

この危機感を契機に、GUTSプロジェクトでは「防衛線を一つ突破されても、次の層で食い止める」という 多層防御（Defense in Depth） の思想に基づき、インフラから依存関係に至る保守・監査パイプラインを根本から再構築しました。

本記事では、その全貌を整理して共有します。

OSパッチ自動適用と再起動検知

OS標準の自動更新機能によりセキュリティパッチを自動適用しつつ、カーネル更新等に伴ってシステムの再起動が必要になった際は、フック処理で自動検知し、チャットツールへ要再起動のアラートを即座に送る仕組みを設けています。

トリアージとライフサイクル管理

Nginx等に残存するOS間接依存など、外部到達性がゼロと判断した脆弱性は `.trivyignore` に理由付きで保留登録し、CIを通過させます。

ただし、放置を防ぐため週次で「⚠️ 【待機中】保留脆弱性の残存」としてリマインドを送信し、公式パッチ提供時には「🎉 解消・更新依頼」を出す多態的アラートを配備しました。

緊急セキュリティ対応のファストパス

PRのタイトルにSecurityやCVEを含む緊急の脆弱性対応の場合は、待機ルール等の足切りを無条件で免除し、「Aルート」として即時マージを推奨する仕組みを取り入れています。

一定期間を経過した古いバックアップは自動パージされ、ローカル環境へも自動でミラーリングされる防衛体制です。

今回構築した仕組みにより、「入り口を固める予防（境界防御・脆弱性スキャン・依存関係監査）」と「最悪の事態に備える外部バックアップ」の自動化は実現できました。

しかし、多層防御というアーキテクチャの完成度をさらに高めるうえで、以下のようなポイントも考えられます。

未知のゼロデイ脆弱性を突かれてアプリケーションやコンテナ内部へ侵入された場合を想定し、プロセス権限の最小化やファイルシステムの読み取り専用化、異常なシステムコールの遮断といった「侵入後の封じ込め（ランタイム防御）」をどう組み込むか？

未知の攻撃手法はこれらをすり抜けるため、通信ログやリソース使用率、アクセス頻度などをリアルタイムに監視し、「普段と異なる不審な振る舞い」を検知して自動遮断・通知する動的な監視層への拡張が求められます。

ビルド成果物（コンテナイメージやバイナリ）への署名・検証や、ソフトウェア部品表（SBOM）による構成の透明化など、デリバリー経路自体を一つの防衛層として保護する視点が不可欠です。

ハードウェアキーによる認証強化、リポジトリ内のシークレット漏洩スキャン、本番操作の権限分離など、技術的なインフラの外側にある「人間と認証の層」をいかに守るかも重要なテーマです。

今後も自動化とAIの力を柔軟に借りつつ、強固な防衛網と持続可能な開発体験の両立を目指していきます。