オープンソースソフトウェアおよびサードパーティ依存関係のソフトウェア部品表とリアルタイム脆弱性監視に関する勧告 | OWASP財団

OWASP財団は、シンガポールのサイバーセキュリティ庁（CSA）と協力し、オープンソースおよびサードパーティソフトウェア依存関係の脆弱性管理を強化するためのソフトウェア部品表（SBOM）利用に焦点を当てた勧告を発行しました。この勧告は、Ecma InternationalによりECMA-424として承認された標準化SBOM形式であるOWASP CycloneDXの採用を強調し、OWASP、Ecma International、CSAの共同努力を紹介しています。また、SBOMの消費と分析の主要プラットフォームとしてOWASP Dependency-Trackを紹介し、開発者がこのプロセスをワークフローに統合するための実用的なツールと例を提供しています。\n\n開発プロジェクトにおけるオープンソースソフトウェア（OSS）の統合は、特にサードパーティ依存関係の脆弱性から重大なサイバーセキュリティ上の課題をもたらします。Log4jやHeartbleedのような注目度の高いセキュリティインシデントはリスクを示しています。Log4j事件では多くの組織がソフトウェアコンポーネントの可視性不足によりシステムが侵害され、HeartbleedではOpenSSLライブラリの脆弱性を悪用して数百万件の医療記録が盗まれました。調査によると、平均的なソフトウェアプロジェクトには約69の依存関係と5件以上の重大な脆弱性が含まれており、開発者がアプリケーションコンポーネントを完全に把握していない場合、侵害リスクが高まります。\n\nこの勧告は、OSSおよびサードパーティ依存関係を組み込むソフトウェア開発者を対象としており、多くの開発者がサイバーセキュリティリスクを認識しているものの、ソフトウェア作成および展開時に堅牢なセキュリティ慣行を強制するための十分な指導やリソースを欠いていることを認識しています。SBOMとリアルタイム脆弱性監視を組み合わせた持続可能で自動化された脆弱性管理アプローチを提案し、ソフトウェアリスク管理の効率と効果を大幅に向上させることができます。\n\n従来、OSS依存関係の管理は手作業で労力がかかりミスが発生しやすいものでした。開発者は複雑なコードベースを調査して脆弱なコンポーネントを特定する必要があり、修正対応が遅れがちです。SBOMはソフトウェアコンポーネントの構造化された正式な記録を提供し、ソフトウェア環境の完全な可視性を実現します。この透明性により、開発者は迅速に脆弱性を特定し対処でき、技術的負債や将来の修正負担を軽減します。SBOMツールを継続的インテグレーションおよび継続的デリバリー（CI/CD）パイプラインに統合することで、SBOMの作成、署名、アラートプロセスを自動化し、新たに発生する脆弱性のリアルタイム監視を可能にします。\n\nSBOMはまた、開発、セキュリティ運用、インシデント対応チーム間の協力を促進し、包括的な脆弱性管理を強化し対応時間を短縮します。この協力的アプローチは運用の複雑さを最小限に抑え、イノベーションを妨げることなくリスク軽減を支援します。SBOM生成をCI/CDプロセスに組み込むことで、脆弱性認識が進化するソフトウェアコンポーネントに追随し、新たに発見された脅威に即時対応が可能となります。\n\n勧告はSBOMを用いた脆弱性管理の3段階アプローチを示しています。第一にツール選定：選択したツールは間接的な依存関係を含むすべてのソフトウェアコンポーネントを正確に特定し、GitHub ActionsやGitLab CI/CDなどのCI/CDパイプラインとシームレスに統合できる必要があります。第二にCycloneDXやSPDXなどの認定標準に準拠したSBOMの生成と署名で、暗号署名と透明性ログへの公開により真正性と追跡性を確保します。第三に積極的な脆弱性管理：SBOMを安全なリポジトリに公開し、OWASP Dependency-Trackのようなツールが自動的にデータを取り込み継続的監視と早期検出を行います。\n\n開発者はSBOMの網羅性が生成されるマニフェストファイルに依存し、マイナーなプログラミング言語では検出精度が低下する可能性があることを考慮すべきです。SaaSやクローズドソースソフトウェアの場合、サードパーティプロバイダーからSBOMを要求することが重要であり、あるいは実行時やバイナリベースのSBOMツールを用いて動的にロードされるコンポーネントやコンパイル済みバイナリを捕捉します。脆弱性が特定された場合、開発者は修正のためにサードパーティプロバイダーに通知しなければなりません。また、誤検知によるチームの負担を避けるため、検出された脆弱性の悪用可能性を検証し、集中かつ効果的な修正対応を確保することも不可欠です。