実践的な知見を提示するBlack Duck Security Advisories

毎年発見されるオープンソースの脆弱性は増え続ける一方で、開発チームの迅速かつ効率的な対処の重要性が明らかになっています。しかし、脆弱性を発見するだけでは不十分です。その膨大さを考えると、違反リスクを低減するためには、どの脆弱性を優先して修正すべきかを適切に判断する方法が必要です。このような環境で開発を行うには、優先順位を付けて広範な脆弱性に対応することが重要です。Black Duck® Security Advisories（BDSA）にお申し込みください。

Black Duck Security Advisoriesとは

Black Duck Security Advisoriesは、Synopsys Cybersecurity Research Center（CyRC）が作成した詳細なオープンソース脆弱性の記録です。Black Duckは、ソフトウェア部品表（BOM）の品目に影響を及ぼす脆弱性に関する実践的なアドバイスや詳細情報を提供するアドバイザリサービスです。この提案を活用することで、脆弱性に対する理解を徹底し、組織にもたらすリスクを評価するために必要なデータポイントを確保することができます。

アドバイザリの活用方法

CyRCは、Black Duckをご利用のお客様のBOMに基づいて脆弱性に関する警告を発し、アプリケーションやプロジェクト固有の関連脆弱性情報をお届けします。これらの実践的で詳細なアドバイザリを武器にして、脆弱なコンポーネントを特定し、リスクを評価し、必要に応じて修正を行うことができます。

BDSAのしくみ

生データの分析

堅牢な脆弱性データをご利用いただくために、CyRCは、まず始めに複数のソースの脆弱性情報を分析します。この作業は毎日行われます。

CyRCでは、次の3種類のソースに焦点を当てています。

• ベンダーとプロジェクト： 共通脆弱性識別子（CVE）採番機関は、Apache、RedHat、Google、Ubuntu、Pythonなどのオープンソース・プロジェクトのベンダーと同様に、脆弱性を開示します。
• 独立したリサーチャー：CyRCでは、オープンソース・リサーチャーがセキュリティ問題について論じ、ベンダーが未確認のものも含めて脆弱性を開示しているFull Disclosure、Bug Traq、HackerOneなどのWebサイトをクロールしています。リサーチャーがCVEを申請しなければ脆弱性は公表されないため、これは重要なことです。
• アグレゲーター：CyRCはNational Vulnerability Database（NVD：脆弱性情報データベース）などの脆弱性フィードから情報を収集しています。

データのトリアージ

収集されるデータは膨大なため、効率的なトリアージプロセスが不可欠です。CyRCは収集されたデータを並べ替えてノイズや重複を排除します。データを並べ替えた後、影響を受けるオープンソース・コンポーネントがBlack DuckユーザーのBOMに表示される頻度に基づいて、その他のデータの優先順位を付けます。その後、データは脆弱性分析チームに割り当てられます。

脆弱性アナリストは次の2つの主要機能を実行します。

• 調査とオーサリング：アナリストは各脆弱性を個別に調査し、上級スタッフが調査結果の草案をレビューします。草案が品質基準を満たしていない場合は、差し戻されて改善が求められます。承認されたアドバイザリはシノプシスのナレッジベースに登録され、すぐにBlack Duckハブで利用可能になります。
• 品質レビュー：脆弱性情報は随時変更される可能性があるため、脆弱性データの継続的な監視が不可欠です。こうした変更は、脆弱性に関する追加情報が公開されたり、CyRCの独自調査で新たな悪用可能性の詳細が見つかった場合などに発生する可能性があります。このような不断の変更に対処するために、Black Duckは各BDSAを頻繁にチェックして更新が必要かどうかを確認するレビューサイクルを採用しています。リサーチャーチームは、相対的な重大度に焦点を当てて脆弱性に優先順位を付け、各脆弱性の確認頻度を決めます。