DevSecOps

重要なポイント オープンソースのコンポーネントは、アプリケーションにリスクをもたらします。 このリスクは、プログラミングの見落としや悪意のあるコード、オープンソースのパッケージが依存する他のパッケージから発生します。 ソフトウェア構成分析（SCA）ツールは、アプリケーションに含まれるオープンソースパッケージを検査し、潜在的なリスクを特定します。 バイナリスキャンは、アプリケーションに存在するファイルを検査し、依存関係を特定します。 マニフェストスキャンは、依存関係を識別するためにビルドファイルを検査します。この方法は通常、バイナリスキャンよりも精度が低くなります。 SCAツールを使用すると、自動検出とポリシー適用によって大規模なリスク管理が可能となります。 オープンソースコンポーネントと危険性 近頃、ソフトウェアをゼロから構築することは滅多にありません。開発チームは、サードパーティやオープンソースのコンポーネントを利用し、車輪の再発明をせずにコードを出荷し、より速く革新的な製品を開発しています。このようにオープンソースソフトウェアに依存することで、アプリケーションにおけるファーストパーティコード、つまり開発チームが書いたコードの量は劇的に変化しています。米Sonatype社が発表した「State of the Software Supply Chain Report」によると、アプリケーションのコードの90%はオープンソースソフトウェアであることが一般的だそうです。これらのコンポーネントは依存関係と呼ばれ、それぞれの依存関係はセキュリティの脆弱性、ライセンスの問題、または品質の問題といった形で潜在的なリスクを引き起こします。 多くの依存関係は、他のオープンソースコンポーネントに依存しています。つまり推移的な依存関係であるため、本来のリスクの原因を特定することが困難になっています。このようなサードパーティコンポーネントをアプリケーションで使用することにより、組織は、自分たちのチームが書いていないコードに対する責任を負うことになります。オープンソースソフトウェアによるプロジェクトへのリスクは、ソフトウェア・コンポジション解析（SCA）によって管理および予防することができます。 ソフトウェアコンポジション解析とは？ ソフトウェアコンポジション解析（SCA）とは、アプリケーションを構成する特定のオープンソースソフトウェアコンポーネントと、それらのコンポーネントに関連する脆弱性を発見するプロセスです。 つまり、SCAとは、プロジェクトに含まれるすべてのコンポーネントを調べ、それらのコンポーネントから潜在的なリスクを判断することです。ソフトウェアコンポジション解析は、アプリケーションの脆弱性を発見し、特定するためのツールを用いて行われます。これらのツールは自動化することができ、ソフトウェア開発ライフサイクル（SDLC）全体にわたってコンポーネントを監視することができます。 SCAツールはどのように機能するのか？…

堅牢性に優れたオープンソースリスク阻止機能 リポジトリマネージャーがSDLC全体に渡ってオープンソースコンポーネントをキャッシュし、管理することが当たり前になるにつれ、「ソース」を保護する必要性はこれまで以上に高まっています。 2019年のState of the Software Supply Chain年次報告書では、パブリックリポジトリからダウンロードされたJavaの10%、またJavascriptの50%のコンポーネントに既知のセキュリティ脆弱性が含まれていることが報告されています。ローカルリポジトリがエンジニアチームの業務を効率化する一方で、管理外のリポジトリは組織に甚大なリスクを及ぼす可能性があるのです。 デベロッパーが高品質のオープンソースコンポーネントだけを確実に選択するために、組織には何ができるのでしょうか。 Nexusファイアウォールは、準拠していないコンポーネントを即座に検疫し、プロキシ中にオ ープンソースポリシーを適用することで、取捨選択を可能にします。 自動化されたセキュリティポリシーは、開発チームが非準拠のコンポーネントを使用することを防ぎ、チーム全体の時間と費用を節約します。欠陥のあるコードの侵入をはじめから食い止めましょう。 普遍的なリポジトリサポートも含まれます リポジトリにArtifactoryをご使用でも問題ありません。Nexusファイアウォール は、JFrog製のArtifactory、NexusリポジトリOSS及びプロに対応しています。   あらゆる言語で 開発パイプラインをコントロール Nexusファイアウォールは、脆弱なコンポーネンをSDLCに侵入させません。Java、JavaScript、.NET、Python、Go、Ruby、RPMをはじめとする、数多くの言語に対応しているNexusファイアウォールを使用して、リポジトリの堅牢性を高めましょう。 作成されたルールの実施をお手伝い…

SDLC全工程におけるオープンソースリスクの回避 デベロッパーがオープンソースを使用することは、いまや当たり前になりつつあります。モダンアプリケーションの実に85%を構成しているオープンソースのコンポーネントですが、残念ながらダウンロード10件中1件には既知のセキュリティ上の脆弱性が含まれています。 このようなリスクを抱える中で、モダンソフトウェアチームはいかに最良のコンポーネントを選択し、オープンソースの使用を管理し、そしてDevOpsのスピードでデリバリーしているのでしょうか。その疑問を解く鍵は、オープンソースガバナンスの自動化にあります。 Nexusライフサイクルを使用することで、デベロッパーとセキュリティプロフェッショナルはSDLC上でより安全なオープンソースを選択できるようになります。リスクを低減させ、組織の継続的なイノベーションを保証します。   デベロッパーのより安全なコンポーネンツの選択を可能にする クローム拡張機能を使用することで、パブリックリポジトリから選択したオープンソースコンポーネントの脆弱性をデベロッパーが識別することができます。 IDE内の既知の問題を修正 ソースリポジトリとIDEを統合させることによって、デベロッパーはリアルタイムインテリジェンスを基に最適なコンポーネンツを選択し、ワンクリックで承認済みのバージョンに移行することができます。 Nexusライフサイクルは、GitHub、GitLab、BitBucket、Eclipse、IntelliJ、Visual Studioに組み込むことができます。 SDLC全工程におけるオープンソースポリシーの実施 アプリケーションの種類や組織に基づいてセキュリティ、ライセンス、アーキテクチャポリシーをカスタマイズ作成し、SDLCの各段階で状況に応じて実施します。 自動的なポリシーの実施にはNexusインテリジェンスの精度と正確性が必要不可欠であり、他のソリューションに見られる誤検出や検出漏れを回避します。 いつものツール上で使えます 日々使用しているツール上で自動的にポリシーを実施し、専門家による修正ガイダンスを表示します。 Nexusライフサイクルは、Nexus リポジトリ、Artifactory、GitHub、GitLab、IDEs、Jira、 Jenkins、Azure DevOps、Micro…