ソフトウェアサプライチェーンセキュリティとSCA：何が違うのか？ #aqua #セキュリティ #ソフトウェアサプライチェーン

本ブログは「Aqua Security」社の技術ブログで2023年2月11日に公開された「 Software Supply Chain Security vs. SCA: What's the Difference? 」の日本語翻訳です。

ソフトウェアサプライチェーンセキュリティとSCA：何が違うのか？

---

個人でも仕事上でもソフトウェアへの依存度が高まっており、ソフトウェアのサプライチェーンにおけるセキュリティが重要な関心事となっています。ソフトウェアのセキュリティと品質を確保することは、デジタル攻撃、データ漏洩、その他のサイバー脅威から保護するために不可欠です。ソフトウェアの安全性を確保するために重要な役割を果たすのが、ソフトウェアサプライチェーンセキュリティとソフトウェア構成分析(SCA)の2つの手法です。

この2つのプラクティスは関連していますが、同じではありません。ソフトウェアサプライチェーンを効果的に保護するためには、この2つの違いを理解することが重要です。この記事では、ソフトウェアサプライチェーンセキュリティと SCA の主な違いを調べ、ソフトウェアのセキュリティと品質を確保するための両プラクティスの重要性について説明します。

ソフトウェアサプライチェーンセキュリティとは？

ソフトウェアサプライチェーンセキュリティとは、ソフトウェアの開発・デプロイプロセスの安全性と完全性を確保するために取られる措置のことです。これには、最初の設計と開発から最終的なデプロイと保守の段階に至るまで、ソフトウェアの作成、デプロイ、更新に関わるすべての段階が含まれます。

ソフトウェアサプライチェーンには、ソフトウェアの作成、デプロイ、保守に関わるすべての人、プロセス、および技術が含まれます。これには、開発者、テスター、品質保証の専門家、プロジェクトマネージャー、その他ソフトウェアに携わるチームメンバーが含まれます。また、統合開発環境(IDE)、バージョン管理システム、ビルドサーバなど、ソフトウェアの作成とデプロイに使用するツール、技術、プラットフォームも含まれます。

これらの内部関係者に加えて、ソフトウェアのサプライチェーンには、ソフトウェアの開発とデプロイプロセスをサポートするためのリソースとサービスを提供する外部のパートナーやサプライヤーも含まれます。これには、ソフトウェアに統合されるサードパーティのライブラリ、フレームワーク、その他のコンポーネントや、クラウドホスティングプロバイダー、マネージドサービスプロバイダー、その他の外部パートナーも含まれる場合があります。

ソフトウェアサプライチェーンのセキュリティと完全性を確保することは、ソフトウェア自体のセキュリティと信頼性を全体的に向上させる上で非常に重要です。ソフトウェアの開発・デプロイプロセスを通じた堅牢なセキュリティ対策を実装し、実践することにより、組織はソフトウェアに脆弱性が入り込むリスクを減らし、ソフトウェアのセキュリティと信頼性に対するユーザと顧客の信頼を高めることができます。

ソフトウェアサプライチェーンの一般的なリスクとは？

ソフトウェアサプライチェーンリスクとは、ソフトウェアを作成、デプロイ、維持するプロセスの中に存在する潜在的な脆弱性やセキュリティリスクのことを指します。これには、ソフトウェアの開発・製造に関するリスクと、エンドユーザへのソフトウェアの配布とデプロイに関するリスクが含まれます。

ソフトウェアサプライチェーンにおける一般的なリスクには、以下のようなものがあります。

• 安全が確保されていないコード - 適切に保護されていないコードや脆弱性を含むコードは、攻撃者に悪用される可能性があります。
• 安全が確保されていないサードパーティコンポーネント - 多くのソフトウェアアプリケーションは、サードパーティのライブラリやフレームワークを使用しており、これらが適切に保護されていない場合、脆弱性をもたらす可能性があります。
• 安全が確保されていないサプライチェーン - 信頼できないベンダーやパートナーと協業する場合、それらのベンダーやパートナーはソフトウェアサプライチェーンに脆弱性を持ち込む危険性があります。
• 安全が確保されていない配布経路 - ソフトウェアが安全でない経路で配布された場合、攻撃者によって傍受されたり改竄されたりするリスクがあります。
• 安全が確保されていないデプロイ - ソフトウェアが適切にデプロイ・設定されていない場合、攻撃に対して脆弱になる可能性があります。
• 安全が確保されていないツールチェーン - 開発ツール内に設定ミスがある場合があります。
• 安全が確保されていないパイプライン - ビルドパイプラインやビルドランナーの設定におけるセキュリティチェックの検証不足の可能性があります。

サプライチェーンリスクは、組織に重大な影響を与える可能性があるため、その対策は重要です。サプライチェーンリスクがもたらす潜在的な影響には、以下のようなものがあります。

• 経済的損失 - サプライチェーンリスクがデータ漏洩やその他のセキュリティ事故につながった場合、組織は事故への対応費用や罰金・賠償金の支払いの可能性により、経済的損失を被る可能性があります。
• 風評被害 - サプライチェーンリスクは、顧客や取引先が組織のデータ保護能力を信用しなくなったり、組織がセキュリティ問題の処理に無責任または怠慢であると見なされたりした場合、組織の評判を損なう可能性もあります。
• 法的影響 - サプライチェーンリスクの性質によっては、データ保護に関連する規制や法律に過失や違反があると判断された場合に、組織は法的な影響を受ける可能性があります。
• ビジネスの混乱 - サプライチェーンリスクは、組織の運営を混乱させ、生産性や収益の低下を招く可能性もあります。

ソフトウェア構成分析(SCA)とは？

ソフトウェア構成分析(SCA)技術は、組織がソフトウェアアプリケーションを構成するさまざまなコンポーネントを特定し、追跡するのに役立つツールです。自動スキャナーや手動レビューなどのさまざまな手法を使用して、ソフトウェアアプリケーションの開発で使用されるすべてのオープンソースおよびサードパーティのライブラリ、フレームワーク、およびその他のコンポーネントを識別します。

SCA 技術は、組織がソフトウェア部品表(SBOM)を理解するのに役立つため、重要な技術です。これには、ソフトウェアを構成するすべての異なるコンポーネントと、それらのコンポーネントに関連する潜在的な脆弱性やセキュリティリスクを特定することが含まれます。

SCA 技術の重要な側面の1つは、ソフトウェアアプリケーションを構成するすべてのコンポーネントの包括的なリストであるソフトウェア部品表(SBOM)を作成することです。

SBOM には、各コンポーネントの名称、バージョン、ライセンス情報などの詳細が含まれています。SBOM を作成することで、企業は自社のソフトウェアアプリケーションの複雑さをより良く理解し、潜在的なセキュリティリスクや脆弱性を特定できます。

SCA 技術は、ソフトウェアアプリケーションのセキュリティと整合性を確保したいと考える組織にとって重要なツールです。SCA 技術は、ソフトウェアサプライチェーンにおける潜在的なセキュリティリスクを特定・対処し、アプリケーションのセキュリティを脅かす脅威から企業を保護するのに役立ちます。

SCAによるソフトウェアサプライチェーン保護について

SCA は、ソフトウェアのサプライチェーンを保護するために、以下のような機能を備えています。

スキャンの自動化

SCA 技術は、自動化されたスキャナーを使用して、ソフトウェアアプリケーションを構成するさまざまなコンポーネントを識別および追跡します。これにより、企業は、オープンソースのライブラリやフレームワークなど、ソフトウェアで使用されているすべてのコンポーネントを迅速かつ正確に特定できます。

脆弱性の特定

SCA 技術は、企業がソフトウェアアプリケーションで使用するコンポーネントに関連する脆弱性やセキュリティリスクを特定するのに役立ちます。これには、オープンソースのコンポーネントの既知の脆弱性を特定し、それらのコンポーネントを更新またはパッチする必要性を組織に警告することも含まれます。

脆弱なオープンソースコンポーネントの発見

SCA 技術は、企業がソフトウェアのサプライチェーンに混入した危険なオープンソースコンポーネントを特定するのに役立ちます。オープンソースコンポーネントは複数の組織で使用されることが多く、ある組織で脆弱性が発見されると、同じコンポーネントを使用する他の組織のセキュリティに影響を与える可能性があるため重要です。

リポジトリ統合とコンポーネント制御

SCA 技術は、企業のリポジトリシステムと統合でき、リポジトリに追加されたコードを自動的にスキャンして、潜在的な脆弱性やセキュリティリスクを特定できます。また、SCA 技術を利用して特定のコンポーネントの使用を制御し、潜在的に脆弱なコンポーネントや信頼できないコンポーネントの使用を防止できます。

ライセンス準拠

SCA 技術は、組織がライセンスに準拠してソフトウェアコンポーネントを使用していることを確認するのにも役立ちます。これには、ライセンスの条項に違反して使用されているコンポーネントを特定することで、適切なライセンスを取得するように促すか、ソフトウェアからそのコンポーネントを削除する必要があることを警告することなどが含まれます。

まとめ

---

結論として、ソフトウェアサプライチェーンセキュリティとソフトウェア構成分析(SCA)は、ソフトウェアのセキュリティと品質を確保するために使用される2つの重要な手法です。

ソフトウェアサプライチェーンセキュリティは、ソフトウェアの開発、テスト、リリース、デプロイに使用される様々なプロセスやツールの保護に焦点を当てています。対してソフトウェア構成分析は、ソフトウェアプロジェクトで使用される依存関係の分析に特に焦点を当てて、脆弱性の特定とコンプライアンスを確保するものです。また、ソフトウェア構成分析はサプライチェーンのセキュリティにとって重要ですが、それは1つの要素に過ぎません。SAST(Static Application Security Testing)、シークレット情報、IaC(Infrastructure as Code)などの他のセキュリティスキャナーや、パイプラインプロファイリング、完全性スキャン、ツールチェーンセキュリティなど、上記のリスクに特化した技術も欠かせません。

どちらの手法も、ソフトウェアの安全性を確保し、脆弱性やその他のリスクを排除するために不可欠であり、組織はソフトウェアのサプライチェーンを効果的に保護するために、両者を組み合わせて導入する必要があります。