Open SSFがOSSのセキュリティ体制を改善する「Alpha-Omega Project」を発表。マイクロソフトとグーグルが主体的に参画、ほか

この「Alpha-Omega Project」は、プロジェクトメンテナとともに、オープンソースコードに内在する未だ発見されていない新たな脆弱性を体系的に探し出し、修正することでグローバルなOSSサプライチェーンのセキュリティを向上させることを目的としています。「Alpha」は、最も重要なオープンソースプロジェクトのメンテナと協力して、セキュリティ脆弱性の特定と修正を支援し、セキュリティ態勢を改善することを目的としています。「Omega」は、広く展開されている少なくとも1万件のOSSプロジェクトを特定し、そのオープンソースメンテナコミュニティに対して、自動セキュリティ分析、スコアリング、修正指導を適用できるようにすることを目的としています。

Alpha Project：最も重要なOSSに焦点をあてる

最も重要なオープンソースプロジェクトをターゲットとして評価し、セキュリティ態勢の改善を支援します。プロジェクトは、OpenSSF Securing Critical Projectsワーキンググループ、OpenSSF Criticality Scoreやハーバード大学の「Census」分析、専門家の意見を基に選択されます。

支援内容は、脅威のモデル化、自動セキュリティテスト、ソースコード監査、発見された脆弱性の修正サポートなどがあります。また、OpenSSF ScorecardやBest Practices Badgeプロジェクトで概説されている基準から導き出されたベストプラクティスの実装も行うことができます。

ステークホルダーに主要なメトリックスを示すことで、依存するオープンソースプロジェクトのセキュリティについてより理解を促進します。プロジェクトのセキュリティ姿勢とセキュリティベストプラクティスへの準拠状況について、透明性のある標準化されたレポートを公開する予定です。

Omega Project：OSSプロジェクトのロングテールにフォーカス

Omega Projectは、少なくとも1万以上のオープンソースプロジェクトを対象にセキュリティ対策を支援します。

支援内容は、自動化された手法とツールを用いた、技術(クラウド規模の分析)、人(セキュリティアナリストによる発見内容のトリアージ)、プロセス(適切なOSSプロジェクトの関係者に重要な脆弱性を秘密裏に報告)を組み合わせていくことです。Omegaはソフトウェアエンジニアの専門チームにより、分析パイプラインを継続的にチューニングして誤検出率を低減し、新しい脆弱性を特定します。

この「Alpha-Omega Project」が成功することで、脆弱性が早期に発見されたり、セキュリティ対策が有効に機能することを期待したいと思います。

SBMOとサイバーセキュリティの現状の調査結果を発表

次に、SBOM(Software Bill of Materials)の現状について紹介したいと思います。こちらも「Log4Shell」問題で残っている大きな課題の1つです。Linux Foundationは、2月1日に「The State of Software Bill of Materials(SBOM) and Cybersecurity Readiness」(*2)を発表しました。

【参照リリース】The State of Software Bill of Materials (SBOM) and Cybersecurity Readiness
https://www.linuxfoundation.org/tools/the-state-of-software-bill-of-materials-sbom-and-cybersecurity-readiness/

まず、ほぼすべての組織がOSSを選択するにあたり最も懸念するポイントは「セキュリティ」で、「ライセンスコンプライアンス」が2番目であると回答しています(表1)。しかも、「セキュリティ」は「ライセンスコンプライアンス」のほぼ3倍ということで、とても重要視されていることがわかります。

今回の調査では、90%の組織が何らかの形でSBOMとの関りを持っていることがわかります。10%の組織はSBOMのための計画を開始しておらず、14%は計画または開発段階にあり、52%は事業のいくつかのまたは多くの領域でSBOMに取り組んでおり、23%は事業のほぼすべての領域でSBOMに取り組んでいるか、SBOMの使用を含む標準的なプロセスを制定しています。つまり、全体として75%の組織がSBOMへの具体的な準備態勢を整えていることになります(表2)。

SBOMを作成することのメリットとして、51%の組織がSBOM によって開発者がより広範で複雑なプロジェクト間の依存関係を容易に理解できるようになると回答しています。マイクロサービスアプリケーションに多くのコンポーネントがある現在では、各コンポーネントはある程度の数の依存関係を持っています。SBOMは、その依存関係を明示的に特定できるため、アプリケーションの複雑さとコンポーネントの数が増えるにつれて、その有用性が増していきます。他にも、コンポーネントの脆弱性を監視しやすくなる(49%)、ライセンスのコンプライアンスを管理しやすくなる(44%)といったメリットも挙げられています(表3)。

とはいえ、表4のように、業界として義務付けることやコンセンサスの状況、顧客への提供価値など、まだまだなSBOMの作成に関する懸念もあります。

このように、懸念事項もありますが、セキュリティに対する世界的な取り組みとしてのSBOMへの動きを今後ともウォッチしておく必要があるように思います。