シノプシス ソフトウェア・インテグリティ・グループはブラック・ダックになりました 詳細はこちら

close search bar

申し訳ありませんが、この言語ではまだご利用いただけません

close language selection

2019 OSSRAレポートで明らかになったオープンソースのトレンド

Black Duck Editorial Staff

Apr 30, 2019 / 1 min read

現代のソフトウェア開発に、オープンソース・コンポーネントの使用は避けられません。

最新の試算によると、非常に小さなアプリケーションを除けば、アプリケーション全体の99%にオープンソースのコンポーネントが含まれています。あなたのアプリケーションがその他の1%に含まれる確率はどれくらいでしょうか? あなたが個人資産ランキングでトップ1%に含まれるよりも小さな確率です。

あなたはたぶんオープンソースを使用していると思われます。さて、Synopsys Cybersecurity Research Center (CyRC)により今週公開された年次レポート「2019年オープンソースのセキュリティおよびリスク分析 (OSSRA)レポート」の調査では、オープンソースのトレンドについて検討しています。CyRCは、Synopsysの専門知識、技術、イニシアチブ、リソースを、より広いセキュリティ、開発者、DevSecOpsのコミュニティの利益に役立てようという活動です。

2019年版OSSRAレポートによって明らかになったオープンソースのトレンドをいくつか紹介します。

オープンソースは以前にも増して遍在している

17の産業を扱った今年のレポートでは、監査の対象となった平均的なコードベースに298のオープンソース・コンポーネントが含まれていました。この値は2017年より16%アップしています。レポートは、オープンソースの普及が進んでいる様子をさらに深く掘り下げています。

 遍在する

リスクの主なカテゴリーは2つ

OSSRAレポートに記載されたとおり、オープンソースの使用が遍在化した現在でも多くのチームは依然としてこの潜在的なマイナス面に対応するための適切な対策を取っていません。オープンソースの利用がどのようにして、より多くのリスクとコンプライアンスの問題を招くのかについてこれから説明します。

セキュリティ、脆弱性、パッチの影響は過小評価されている

オープンソース・ソフトウェアそれ自体は、プロプライエタリや商用オフザシェルフ(COTS)パッケージよりもリスクが大きいということはありません。本当のリスクは、組織がそれについてトラッキングと管理をする(またはしない)方法にあります。これには、セキュリティ・パッチが配布される方法や、オープンソースの脆弱性がどのようにモニタリングされて修正されるか、そして、どの程度の信頼性がある方法で、組織は使用中のオープンソース・コンポーネントをトラッキングしているかが含まれています。

Equifaxはおそらくこの問題の最も明白で純然たる例でしょう。2017年に起きたこの大手消費者信用情報会社の破滅的な情報漏洩は、オープンソースのwebアプリケーション・フレームワークであるApache Strutsの脆弱性に対するパッチ適用を怠った結果です。彼らはセキュリティ警告に気付いたのでしょうか? 気付いていましたが、アプリケーションにパッチを適用していませんでした。自分たちがApache Strutsを使用しているという事実を把握していなかったからです。

 脆弱性 2018

みなさんのコードの中にはたぶんパッチが適用されていないオープンソースの脆弱性が含まれています。

しかしそれはあなただけではありません。2018年に監査を受けたアプリケーションのうち脆弱性があるのは60%でした。これは2017年の78%からの顕著な改善です。その種のリスクを回避する方法は、使用中のオープンソース・コンポーネントをトラッキングして管理する自動ソリューションを使用することです。それは(真実ではありますが)決まり文句のように響くかもしれません。しかし、使用していることを知らなければパッチを適用することはできません。

リスクを最小化するには現在の行動を変えることが必要

オープンソースのトレンドを単に知るだけでは十分でないことは明らかです。他の組織がどのようにしているのかを知ることは正しい方向への第一歩です。しかし、オープンソースの利点を理解してマイナス面を避ける最高の方法は、セキュリティとライセンスのリスクを軽減できるようにオープンソース・ソフトウェアのすべてをトラッキングすることです。

Continue Reading

トピックを探索する