オープンソース時代のサプライチェーン攻撃に対応したセキュリティ対策とは

　近年、市場の急速な変化に対応するために、短期間で高品質なソフトウェアをデリバリーする必要性から、オープンソースコードの活用が不可欠となっている。最近のアプリケーションは、コードベースの80％以上をオープンソースのコンポーネントが占めるともいわれている。しかし、脆弱性のあるオープンソースのコンポーネントは、ハッカーなどの攻撃者にとって格好の標的にもなっている。

　オープンソースコードのセキュリティを確保するためには、脆弱性の検出、脆弱性の優先順位付け、依存関係トレース分析、脆弱性の修復などが必要となるが、これらを手作業で行うのは現実的ではない。そこで、これらの自動化を可能とするのが、ソフトウェア構成分析（SCA）だ。

　本資料では、オープンソースの現況や利点、セキュリティ上の問題点・必要な実施項目などを解説するとともに、アプリケーションのコードベースを自動スキャンし、セキュリティ脆弱性を特定するSCAツールを紹介する。