OSS脆弱性管理の課題とベストプラクティスとは――日本シノプシス：＠ITセキュリティセミナー2018.6-7

＠ITは、2018年6月22日、東京で「＠ITセキュリティセミナー」を開催した。本稿では、日本シノプシスの講演「OSSの脆弱性管理の課題と効率的な解決策」の内容をお伝えする。

» 2018年10月16日 08時00分公開

日本シノプシスソフトウェアインテグリティグループシニア・セールス・エンジニア吉井雅人氏

　オープンソースソフトウェア（OSS）の脆弱（ぜいじゃく）性を狙った攻撃が目立つようになってきた。2014年4月に発生したOpenSSLの脆弱性をはじめ、Apache Struts 2の脆弱性が情報漏えいを招くケースが増えている。2017年にはOSSに関して4898件の脆弱性が見つかった。

　日本シノプシスの吉井雅人氏は「OSSは日々バージョンアップし情報入手や依存関係の把握などが難しい側面があります。そのため、脆弱性の特定、管理、監視が課題になりやすいのです」と説明する。

　OSSを安全に利用し続けるためには、利用しているOSSと、そのバージョンを正確に把握すること、OSSコミュニティーの動向をチェックすること、日々新たに検出される脆弱性を把握することが求められる。こうした取り組みを支援するソリューションが「Black Duck」だ。

　「Black Duckは、巨大なOSSデータベースで自動的にOSSを特定します。また、最新の状態をBOMで管理し、ソフトウェア開発ライフサイクル管理に組み込ます。OSSコミュニティーの動向を監視する機能も備えます」（吉井氏）

　この他、日本シノプシスは、静的解析ツール「Coverity」、動的解析ツール「Seeker」「Defensics」などを提供。吉井氏は「戦略策定からサポートサービスまでをトータルで提供できることが強みだ」と訴えた。

OSS脆弱性管理の課題とベストプラクティス

DevOpsの邪魔にならないセキュリティをどう実現するか――CI/CDに統合可能な「IAST」とは
デジタルトランスフォーメーションの加速と同時に、セキュリティ品質に対するユーザーの目の厳しさが増す中、DevOpsのプロセスにいかにセキュリティを取り組むかは大きな課題だ。このような中、「IAST（Interactive Application Security Testing）」というカテゴリーのツールに注目が集まっている。
Codenomicon 2018で語られた「Dev」と「Sec」連携のポイント
「Black Hat USA 2018」に先駆けて2018年8月7日にSynopsysが開催した「Codenomicon 2018」では、セキュリティ担当者と開発者、運用者が一体となってセキュアなアプリケーションを迅速にリリースに必要なポイントが紹介された。
Synopsysが調査、対象コードの78％にオープンソース由来の脆弱性あり
Synopsys（シノプシス）のBlack Duckグループによると、さまざまなソースコードが含むオープンソースソフトウェア（OSS）の比率が高まっているという。それに伴い、OSSに起因する脆弱（ぜいじゃく）性をも取り込んでしまっている場合が少なくない。