-Webおよびソフトウェア・アプリケーションによく見られる10の脆弱性に関する3年間の分析」レポートを発表した。調査を担当した同社のソフトウェア・インテグリティ・グループは「ソフトウェアを開発/提供するための手法の転換を実現する統合ソリューションを提供」している。シニア・テクニカル・マーケティング・マネージャの松岡正人氏は「品質とセキュリティの観点で、ソフトウェアのテストツールやコンサルティング・サービスなどを提供している」と説明する。セキュリティ・テスト・サービスを通じて顧客企業の「Webアプリケーション、モバイル・アプリケーション、ネットワーク・システム、ソース・コードを対象に実施したテストから得られた3年分(2020~2022年)のデータ」が分析されている。セキュリティ関連の年次レポートは多数発表されているが、同レポートでは3年間の推移を見ている点が特徴となる。松岡氏は本レポートの分析結果を端的に示すキーワードとして「開発チームの能力向上」と「オープンソースの課題」の2つを挙げた。検出数が多い脆弱(ぜいじゃく)性は「情報流出/漏えいとプライバシー」「設定のミス」「不十分なトランスポート層の保護」の3種。オープンソースソフトウェア(OSS)に関しては、「ソフトウェアの90%にOSSが使用されていることから、その部分のセキュリティチェックが課題」となるとした。アプリケーションの脆弱性を特定し、トリアージを実施して必要に応じて修正」したという。Testing:MAST)も実施されている。テスト方針について、松岡氏は「開発時に漏れてしまいがちな『攻撃者の視点』を補完するため、攻撃者の振る舞いをシミュレートする動的テストを中心に実行している」と説明した。テストの結果では、3年間の平均ではテスト対象のアプリケーションの92%で脆弱性が発見されているが、これを年ごとの推移で見ると、2020年には97%のテストで脆弱性が発見されていたが、2021年には95%、2022年には83%と全体としては減少傾向にあることが分かる。この理由として同氏は「AppSecのプラクティスがプログラミングで発生しがちなミスの削減に役立った」「開発環境とテストの統合が進んだ(IDEのプラグイン)」「オープンソースにおいても、多くのコミュニティでコードの精査が進んだ」という3点を指摘し、「開発チームがエラーのないコードを書く能力が高まっている」と分析した。同時に、対象のアプリケーションは基本的にSASTをパスしたものであることから、動的分析を組み合わせた多層的なテストを実施しないと脆弱性の発見に至らない可能性が高いことも指摘された。検出が多い脆弱性を深刻度別に見た場合、高リスク脆弱性では「クロスサイトスクリプティング」がトップで、次いで「不十分な認可」が続く。緊急リスク脆弱性では、2位に大差を付けて30%を「SQLインジェクション」が占める結果となっている。2位は高リスク脆弱性と同様に「不十分な認可」だが割合は9%となっている。OSS関連では、ソフトウェアのサプライチェーンリスクということでオープンソースライブラリーに含まれる脆弱性が深刻な被害をもたらした事例が多数報告されているにもかかわらず、アプリケーションの内部で使用しているオープンソースライブラリーのバージョン把握などが充分に行われていない傾向が見られたことも指摘された。Materials:SBOM)が対策として注目されており、松岡氏も「ソフトウェア開発ライフサイクルにSBOMの生成を組み込む」ことを推奨項目の中に含めている。調査結果の数字からは、テスト対象のほとんどのアプリケーションに何らかの脆弱性が見つかっている形だが、年ごとの推移を見ると年々脆弱性が見つからないソフトウェアが増えてきていることも確かであり、同氏もこの点を「すごいこと」と強調していた。サイバー攻撃による深刻な被害事例が続く中、ソフトウェアの品質を向上させ、セキュリティを高めるための地道な努力によって少しずつではあるが着実に堅牢(けんろう)化していることがうかがえる。Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。Japanをご覧ください。Davisからのライセンスに基づき朝日インタラクティブが運営しています。クッキーについて広告について運営会社サイトマップ当サイトは最新ブラウザでの閲覧を推奨します。permission.このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。