Project」を発表。Project」を発表。行男Tweetこんにちは、吉田です。Project」から紹介します。Project」を発表しました。マイクロソフトとグーグルは、このプロジェクトへの初期投資として500万ドルを拠出するとともに、専門家を派遣するなど、このプロジェクトに主体的に参画することになります。Project」は、プロジェクトメンテナとともに、オープンソースコードに内在する未だ発見されていない新たな脆弱性を体系的に探し出し、修正することでグローバルなOSSサプライチェーンのセキュリティを向上させることを目的としています。「Alpha」は、最も重要なオープンソースプロジェクトのメンテナと協力して、セキュリティ脆弱性の特定と修正を支援し、セキュリティ態勢を改善することを目的としています。「Omega」は、広く展開されている少なくとも1万件のOSSプロジェクトを特定し、そのオープンソースメンテナコミュニティに対して、自動セキュリティ分析、スコアリング、修正指導を適用できるようにすることを目的としています。Project:最も重要なOSSに焦点をあてる最も重要なオープンソースプロジェクトをターゲットとして評価し、セキュリティ態勢の改善を支援します。Scoreやハーバード大学の「Census」分析、専門家の意見を基に選択されます。支援内容は、脅威のモデル化、自動セキュリティテスト、ソースコード監査、発見された脆弱性の修正サポートなどがあります。Badgeプロジェクトで概説されている基準から導き出されたベストプラクティスの実装も行うことができます。ステークホルダーに主要なメトリックスを示すことで、依存するオープンソースプロジェクトのセキュリティについてより理解を促進します。プロジェクトのセキュリティ姿勢とセキュリティベストプラクティスへの準拠状況について、透明性のある標準化されたレポートを公開する予定です。Projectは、少なくとも1万以上のオープンソースプロジェクトを対象にセキュリティ対策を支援します。支援内容は、自動化された手法とツールを用いた、技術(クラウド規模の分析)、人(セキュリティアナリストによる発見内容のトリアージ)、プロセス(適切なOSSプロジェクトの関係者に重要な脆弱性を秘密裏に報告)を組み合わせていくことです。Omegaはソフトウェアエンジニアの専門チームにより、分析パイプラインを継続的にチューニングして誤検出率を低減し、新しい脆弱性を特定します。Project」が成功することで、脆弱性が早期に発見されたり、セキュリティ対策が有効に機能することを期待したいと思います。Materials)の現状について紹介したいと思います。こちらも「Log4Shell」問題で残っている大きな課題の1つです。Readiness」(*2)を発表しました。Readinesshttps://www.linuxfoundation.org/tools/the-state-of-software-bill-of-materials-sbom-and-cybersecurity-readiness/まず、ほぼすべての組織がOSSを選択するにあたり最も懸念するポイントは「セキュリティ」で、「ライセンスコンプライアンス」が2番目であると回答しています(表1)。「セキュリティ」は「ライセンスコンプライアンス」のほぼ3倍ということで、とても重要視されていることがわかります。2.4%今回の調査では、90%の組織が何らかの形でSBOMとの関りを持っていることがわかります。10%の組織はSBOMのための計画を開始しておらず、14%は計画または開発段階にあり、52%は事業のいくつかのまたは多くの領域でSBOMに取り組んでおり、23%は事業のほぼすべての領域でSBOMに取り組んでいるか、SBOMの使用を含む標準的なプロセスを制定しています。全体として75%の組織がSBOMへの具体的な準備態勢を整えていることになります(表2)。よって開発者がより広範で複雑なプロジェクト間の依存関係を容易に理解できるようになると回答しています。マイクロサービスアプリケーションに多くのコンポーネントがある現在では、各コンポーネントはある程度の数の依存関係を持っています。SBOMは、その依存関係を明示的に特定できるため、アプリケーションの複雑さとコンポーネントの数が増えるにつれて、その有用性が増していきます。他にも、コンポーネントの脆弱性を監視しやすくなる(49%)、ライセンスのコンプライアンスを管理しやすくなる(44%)といったメリットも挙げられています(表3)。6.9%とはいえ、表4のように、業界として義務付けることやコンセンサスの状況、顧客への提供価値など、まだまだなSBOMの作成に関する懸念もあります。8.8%このように、懸念事項もありますが、セキュリティに対する世界的な取り組みとしてのSBOMへの動きを今後ともウォッチしておく必要があるように思います。この著者の記事一覧2000年頃からメーカー系SIerにて、Linux/OSSのビジネス推進、技術検証を実施、OSS全般の活用を目指したビジネスの立ち上げに従事。社内のみならず、講演執筆活動を社外でも積極的にOSSの普及活動を実施してきた。2019年より独立し、オープンソースの活用支援やコンプライアンス管理の社内フローの構築支援を実施している。Weekly」の配信サービスを提供しています。メルマガ会員登録を済ませれば、メルマガだけでなく、さまざまな限定特典を入手できるようになります。ITがお届けするポッドキャストです。