LFとOpenSSFがオープンソースのセキュリティに関する会議「Open Source Software Security Summit II」を開催、ほか

今回の会議では、オープンソースとソフトウェアサプライチェーンのセキュリティに対応することを目的とし、10件の重要な問題への解決策を提示され、2年間で1億5000万ドル(約200億円)の資金が必要であることを確認しました。

資金面では、既にAmazon、Ericsson、Google、Intel、Microsoft、VMWareなどが3,000万ドル(約38億円)の提供を約束しています。さらに、Amazon Web Services(AWS)はOpenSSFへの出資を拡大し、今後3年で1000万ドル(約13億円)を出資すると約束しています。

「10件の重要な問題」とは、下記の項目です。

1. セキュリティ教育：安全なソフトウェア開発の基本となる教育と認定を、すべての人に提供する
2. リスク評価：トップ1万件(またはそれ以上)のOSSコンポーネントについて、一般に公開されベンダーニュートラルで客観的指標に基づくリスク評価ダッシュボードを確立する
3. デジタル署名：ソフトウェアリリースにおけるデジタル署名の採用を加速させる
4. メモリの安全性：メモリセーフでない言語を置き換えることにより、多くの脆弱性の根本原因を排除する
5. インシデントへの対応：OpenSSF Open Source Security Incident Response Team(OpenSSF オープンソース セキュリティ インシデント対応チーム：脆弱性対応の重要な時期に、オープンソースプロジェクトを支援できるセキュリティ専門家の集団)を設置する
6. スキャン機能の向上：高度なセキュリティツールと専門家によるガイダンスを通じて、メンテナーや専門家による新しい脆弱性の発見を加速させる
7. コード監査：最も重要なOSSコンポーネントの最大200件について、サードパーティのコードレビュー(および必要な修正作業)を年に1回実施する
8. データ共有：業界全体のデータ共有を調整し、最も重要なOSS コンポーネントを決定するのに役立つ調査を改善する
9. SBOMの普及：SBOMツールとトレーニングを改善して採用を促進する
10. サプライチェーンの改善：より優れたサプライチェーン セキュリティ ツールとベストプラクティスで、最も重要な10件のOSS ビルド システム、パッケージ マネージャー、ディストリビューション システムを強化する

このように、米国では政府とITベンダーが連携し、オープンソースとソフトウェアサプライチェーンのセキュリティ対応を進めています。

サービスメッシュに関する調査結果

次に、CNCFが昨年末に実施したサービスメッシュに関する調査の結果を公開したので紹介します。

【参照】Service meshes are on the rise — but greater understanding and experience are required
https://www.cncf.io/wp-content/uploads/2022/05/CNCF_Service_Mesh_MicroSurvey_Final.pdf

クラウドネイティブはデジタルトランスフォーメーションを推進していますが、多様なテクノロジースタックを使用して展開されるアプリケーションとサービスが増えるにつれ、パフォーマンスと可用性の提供と管理が困難になってきます。サービスメッシュは、サービス間の通信を処理する専用のレイヤーを作成し、サービスの一貫性と信頼性、セキュリティおよび可観測性を確保することでこれらの課題に対する解を提供しています。

今回の調査は253人と少ないですが、そのうち70％は本番または開発でサービスメッシュを実行しているという回答が得られました。サービスメッシュが大きくなるとプロジェクトの数も増えます。また、現在使用している、または来年に使用する予定の15のプロジェクトまたは製品として、下図のようにLinkerd(72％)とIstio(34％)の2つが他を引き離して選択されました。

【参照】「CNCF_Service_Mesh_MicroSurvey_Final」pdf P.3

また、サービスメッシュを導入する際にセキュリティが最大の関心事であり、79%がトランザクション中のサーバーとクライアントのmTLS認証などの技術を信頼し、攻撃成功のリスクを軽減するのに役立っていると回答しています。

【参照】「CNCF_Service_Mesh_MicroSurvey_Final」pdf P.3

可観測性が78%でセキュリティに次いで僅差で2位となりましたが、クラウドインフラの重要性と複雑性が増すにつれて、システムの健全性を把握するための可観測性への関心が高まっていることがわかります。

3位はトラフィック管理(62％)で、サービスメッシュによって軽減されることが期待されるクラウドネイティブの複雑性を考慮した上で、重要な検討事項になります。組織は、より洗練されたブルー／グリーン展開シナリオを実行しようとしているため、トラフィック管理は、エンドポイントやサービスの検出、サービス間のAPIコールの制御、サービスの隠蔽や公開など、さまざまな機能に適用される可能性があります。

4位は信頼性(56%)で、ここで想定される問題としては遅延、帯域不足、セキュリティ事故、クラウド環境の異種構成、アーキテクチャやトポロジの変更などが挙げられます。回答者はこれらのネットワーキングとサービス内通信の課題を克服するサービスメッシュを期待しているのかもしれません。

サービスメッシュへの関心は高いものの、その導入にはハードルがあります。まず、非技術的な課題として回答された上位3つは、エンジニアリングの専門知識や経験の不足(47%)、アーキテクチャや技術の複雑さ(41%)、ガイダンスや設計図、ベストプラクティスの不足(36%)でした。新しい技術の場合、常にこのような項目が挙げられることが多いわけですが、サービスメッシュも例外ではないと言えるでしょう。

【参照】「CNCF_Service_Mesh_MicroSurvey_Final」pdf P.5

また、技術的な課題について最も多かった回答は統合(32%)で、信頼性と一貫性(26%)、ポリシーの定義(22%)、モニタリングとトレース(22%)、ポリシー管理(21%)と続きます。回答者の4分の1は“上記のどれでもない”という項目で、さらなる課題を投げかけています。さらに説明を求めるとCI/CDの統合、トラブルシューティングの難しさ、特定の製品に関する問題などが挙げられました。

【参照】「CNCF_Service_Mesh_MicroSurvey_Final」pdf P.5

このように、まだまだ課題も多いサービスメッシュですが、クラウドネイティブインフラの重要な構成要素になっており、今後も動向を注視していく必要があると思います。