オープンソースエコシステムのセキュリティ：SBOMはもはやオプションではない

ソフトウェアを真に安全にするためには、その内部に何があるかを知る必要があります。そこで、ソフトウェア部品表が必要になるのです。

過去1年半の間に、SolarWindsのソフトウェアサプライチェーン攻撃、log4jの脆弱性、npmの悪意のあるコード注入など、一連のサイバーセキュリティの混乱が発生し、私たちがソフトウェア供給チェーンを整理する必要があることが明らかになりました。プロプライエタリソフトウェアでは、プログラムの内部がわからないため、それを実現することは不可能です。しかし、オープンソースのプログラムであれば、それを実現することができます。

ここまでの進捗について、Linux Foundationの新しい「ソフトウェア材料の状態とサイバーセキュリティの準備状況」レポートによれば。

Linux基金、OpenSSF、SPDX、およびOpenChainは、ジョー・バイデン大統領が連邦政府のサイバー防御を強化するための大統領令に署名する前から、ソフトウェア供給チェーンのセキュリティに取り組んできました。この命令では、オープンソースソフトウェアはソフトウェア部品表（SBOM）を提供しようと努めなければならないと述べています。

この命令は、SBOMを「ソフトウェアの構築に使用されるさまざまなコンポーネントの詳細とサプライチェーンの関係を含む正式な記録」と定義しています。これは特にオープンソースソフトウェアに関して重要な問題です。なぜなら、「ソフトウェア開発者やベンダーはしばしば既存のオープンソースおよび商用ソフトウェアコンポーネントを組み合わせて製品を作成する」からです。

どのくらいの頻度ですか？管理されたオープンソース企業のTideliftによれば、92%のアプリケーションにはオープンソースコンポーネントが含まれています。実際、平均的な現代のプログラムは70%のオープンソースソフトウェアで構成されています。

ジム・ゼムリン、Linux Foundationのエグゼクティブディレクターは、「SBOMはもはやオプションではありません。我々のLinux Foundationリサーチチームは、組織の78％が2022年にSBOMを作成または使用することを期待していることを明らかにしました。新しいISO標準5962の発表やホワイトハウスの大統領令に続いてSBOMの採用を加速させる企業は、ソフトウェアの品質を向上させるだけでなく、log4jに関連するような新しいオープンソースの脆弱性公開に対抗するために自らをよりよく準備しているのです。」

SBOMのISO標準5962は、SPDXの成果物です。これはLinux財団に関連するプロジェクトです。

この標準に従うと、SBOMはソフトウェアコンポーネントとその内容を一意に特定する正式で機械可読のメタデータです。また、著作権やライセンスデータも含まれる場合があります。これをプログラムのレシピと考えれば、あまり遠くありません。

SBOMは組織間で共有され、ソフトウェアサプライチェーンにおけるコンポーネントの透明性を提供します。アプリケーションセキュリティを懸念する多くの組織は、SBOMをサイバーセキュリティ戦略の基盤としています。それは、彼らがプログラムに使用している成分を確実に把握できる唯一の方法です。

Linux Foundationは2021年第3四半期に、組織のSBOMの準備状況と導入状況についての世界的な調査を実施しました。世界中から412の組織が65問の調査に参加しました。Linux Foundationの研究担当副社長であるスティーブン・ヘンドリックが報告書を著しました。

調査からの主要な成果は次のとおりです:

• 回答者の82％がSBOMという用語に精通しています。

• 76%がSBOMのニーズに対応するために積極的に関与しています。

• 47%がSBOMを生成または消費しています。

• 2022年に78％の組織がSBOMを生成または消費することを期待しており、前年の66％から増加しています。

調査の回答者は、SBOMを作成することによるトップ3の利点を明らかにしました:

• 51%は、開発者がアプリケーション内のコンポーネント間の依存関係を理解するのが容易であると言っています。

• 49%がコンポーネントの脆弱性を監視するのが容易であると述べています。

• 44%はライセンス遵守の管理が容易であると述べています。

そうは言っても、研究者たちはSBOMの採用には追加の業界のコンセンサスと政府の政策が必要であることも発見しました。具体的には：

• 回答者の62%が、SBOMの生産/消費を自分たちのDevOps実践に統合する方法について、より良い業界の合意を求めている。

• 58%がSBOMのリスクとコンプライアンスプロセスへの統合について合意を求めています。

• 53%はSBOMがどのように進化し改善されるかについて、より良い業界の合意を望んでいる。

• 世界中の組織の80％がサイバーセキュリティを改善するためのホワイトハウスの大統領令を認識しています。

• 76%が大統領令の直接的な結果として変更を考慮しています。

最終的に、研究参加者は、開発者が使用するオープンソースソフトウェアコンポーネントを優先するために用いた主要な属性を明らかにしました：セキュリティが最も高く評価され、次にライセンス遵守が続きました。

これらはすべて良いスタートですが、さらに多くのことが行われる必要があります。特に、SBOMのためのISO標準が存在するにもかかわらず、開発者やその企業がそれをもっと採用していないことが懸念されます。

見てください、SBOMはオプションではありません。オープンソースソフトウェアを安全に保つために不可欠です。セキュリティ侵害から差し迫ったサイバー戦争まで、私たちは早急にSBOMを採用しなければなりません。