弥生開発者ブログ弥生開発者ブログ2024-03-06yamoryについて調べてみた(SCA)セキュリティみなさん、セキュリティ対策していますか?弥生CTOの佐々木です。Analysis)の機能を持つオールインワン脆弱性管理クラウド「yamory」についてご紹介します。yamoryですが「オールインワン脆弱性管理クラウド」ですのでSCA以外の機能も持っています。SCA以外の機能もフル活用しつつ、重複なく漏れなく対策を行うためにセキュリティ担当者にyamoryで出来る事を調査してもらいました。システムに潜む脆弱性を自動で検知し対応フローを構築する、脆弱性管理クラウドです。パッケージ管理システムに合わせて、最適な脆弱性スキャン方法を提供しています。https://yamory.io/docs/about-yamory/yamoryが見るファイル等は以下のものです。現在(2024/02時点)、以下のスキャンが用意されています。○ライセンス管理OSSのライセンスチェックが可能です(例:GPL、LGPL...)ライセンス管理されるソフトウェアはアプリライブラリスキャンをされたもののみです。利用しているOSSのEOL(サポート終了)をチェックしてくれます。サポートがもうすぐ終わりそうなものも検出対象です。EOL管理されるソフトウェアは、それぞれのスキャンの中でソフトウェアとして検知されたものすべてが対象です。以下、AWSの場合です。クラウドアセットスキャンでEC2、ECRから検出するアプリライブラリは実モジュールから抽出できる情報を扱っているため、広く、素早く、簡単に検出することができますが、その分パッケージ管理マネージャー経由で抽出できるスキャンよりも荒いスキャンとなっております。現時点では置き換えるというよりは、アプリライブラリスキャンを補足するような位置付けになります。Agent)がインストールされている必要があります。EBSスナップショットを取得するため料金がかかる可能性があります。パッケージ管理システムで管理している1プロジェクトを1アセットとします。1インスタンスを1アセットとします。1コンテナイメージを1アセットとします。1アカウントを1アセットとします。5レコード(ソフトウェア、ハードウェア)を1アセットとします。パッケージ管理コマンドで管理されているソフトウェアのみを収集します。https://docs.aws.amazon.com/ja_jp/inspector/latest/user/scanning-ec2.htmlアプリケーションで利用しているライブラリ等は検知しません。拡張スキャンを行うと各言語のスキャンも行います。ECSのCPUアーキテクチャをArmに変更してコスト削減こんにちは、インフラ/Misocaチームのfuku710です。2022の9日目の記事です。弥生は第23回Quesに協賛します。引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。