セキュリティインシデント発生後に実施される、責任を問わない事後検証は、何が起こったのか、なぜ起こったのか、そして将来同様のインシデントを防ぐにはどうすればよいのかを分析します。個々の責任を問うことはありません。このシナリオにおける重要な指標は、チームが原因を特定し、問題を解決し、将来の参考のために教訓を文書化したことです。セキュリティ受け入れテストとスモークテストはリリース前の検証活動であり、ホワイトボックステストはインシデントレビューではなくコードレベルの分析に重点を置いています。責任を問わない事後検証はDevSecOps文化の礎であり、運用と監視段階における透明性、継続的な学習、そして体系的な改善を促進します。

AWS CodeCommit は、AWS がホストするフルマネージド型のソース管理サービスです。これにより、チームはソースコード、バイナリ、その他のデジタルアセットをクラウドに安全に保存および管理できます。Git ベースのリポジトリをサポートし、CodeBuild、CodePipeline、CodeDeploy などの他の AWS DevOps サービスとシームレスに統合されます。CodePipeline は CI/CD ワークフローをオーケストレーションし、CodeBuild はビルドとテストを実行し、CodeDeploy はアプリケーションのデプロイを自動化しますが、これらはいずれもバージョン管理システムではありません。オンプレミスから AWS に移行する組織にとって、CodeCommit は IAM を使用したきめ細かなアクセス制御、保存時および転送中の暗号化、そしてインフラストラクチャ管理を必要としない高可用性を提供します。コードステージで CodeCommit を使用することで、DevSecOps のベストプラクティスに沿った安全なコラボレーション、バージョン追跡、そして一元的なソース管理がサポートされます。

成熟した DevSecOps パイプラインでは、セキュリティ制御は単なる情報チェックではなく、ゲートとして適用されます。
SCAツールが依存関係（直接的か推移的かを問わず）に重大な脆弱性を検出した場合、ビルドとテストの段階ではビルドを失敗させるのが正しい対応です。これにより、脆弱なアーティファクトが、修正にかかるコストとリスクが増大するデプロイメントや本番環境などの後続の段階に進むのを防止できます。通知があってもビルドを続行することは、シフトレフト・セキュリティ原則に反します。
推移的な依存関係を無視することも危険です。現実世界の多くの脆弱性は間接的なライブラリに起因しているからです。ビルドが失敗すると、開発者は脆弱な依存関係をアップグレード、置き換え、または緩和することで、問題を直ちに修正する必要があります。このアプローチは、攻撃対象領域を縮小し、説明責任を強化し、安全な成果物のみがリリースされることを保証します。したがって、重大な脆弱性が検出された時点でパイプラインを停止することは、強力なDevSecOps成熟度モデルと効果的なセキュリティガバナンスを反映しています。

Bundler-Auditは、Rubyアプリケーション向けに特別に設計されたSCAツールです。GemfileとGemfile.lockを分析して依存関係を特定し、既知の脆弱性データベースと照合します。BanditはPythonコード分析、Retire.jsはJavaScriptライブラリ、Tenable.ioはインフラストラクチャレベルの脆弱性に焦点を当てています。コード開発段階でBundler-Auditを使用することで、DevSecOpsチームは脆弱なRuby gemを早期に検出し、安全な依存関係のみを使用することを保証できます。これにより、サードパーティ製ライブラリの既知の脆弱性を悪用されるリスクが軽減され、開発ライフサイクル全体を通して安全な依存関係管理がサポートされます。

CDNエッジのセキュリティ制御をAWS CloudFrontに統合する場合、一般的なデプロイメントモデルではLambda@Edgeが使用されます。これにより、ビューワーのリクエスト/レスポンスまたはオリジンのリクエスト/レスポンスイベント時に、CloudFrontエッジロケーションでコードを実行できます。tCellエージェントを「CloudFormationスタックとして」デプロイするとは、必要なAWSリソース（IAMロール、関数、権限、およびCloudFrontの関連付け）をInfrastructure-as-Codeにパッケージ化することを意味しますが、CloudFrontのリクエスト/レスポンス処理の実際の接続ポイントはLambda@Edgeです。オプションCはこれを正しく反映しており、「Lambda@Edgeを介してCloudFrontに接続する」としています。標準のLambda関数はリージョンのAWS環境で実行され、同じようにCloudFrontエッジロケーションで直接実行することはできません。したがって、「Lambda関数を介してCloudFrontに接続する」は、CSP処理やリダイレクト保護などのエッジエンフォースメントのニーズには最適ではありません。「CloudFormationに接続する」と主張するオプションは、CloudFormationの役割を誤解しています。CloudFormationはリソースをデプロイしますが、ランタイム統合ポイントではありません。したがって、CloudFront + Lambda@Edge が正しいデプロイメント アプローチです。