Black Duck Supply Chain エディションによるサプライチェーンの保護

Black Duck Supply Chain エディション

Black Duck® Supply Chain エディションを利生することで、ソフトウェアのサプライチェーンにおける可視性やセキュリティ管理が強化され、既存のサプライチェーンにおけるセキュリティ活動への準拠が可能となります。

主な機能は下記の通り。

包括的なオープンソース検出

ソフトウェア・サプライチェーンの多くはオープンソースで構成されており、ソフトウェア・サプライチェーンを適切にOSSを追跡、管理できなければ、リスク管理の戦略に明らかな問題が生じることになります。そのため、必要とされるソフトウェア部品表 (SBOM) では、すべてのOSSの依存関係をリストすることが必要です。

Black Duckを利用することで、言語やパッケージ・マネージャーの種類を問わず、依存関係、CodePrint™、スニペット、バイナリ、およびコンテナー解析を組み合わせ、オープンソース・コンポーネントを速やかに特定し、依存関係を明らかにすることで、OSSの包括的なビューが得られます。

サードパーティSBOMのインポートと分析

ほとんどの商用およびエンタープライズ・ソフトウェアの開発では、外部ベンダーの提供するサードパーティ・コードを使用しています。また、セキュリティ・チームはこれらのサードパーティによる開発成果物を分析できますが、ソフトウェア・ベンダーがSBOMを提供してくれることで、分析作業が非常に楽になります。

Black Duckを利用することで、セキュリティチームは、外部ベンダーの提供するSBOMをインポートし、その中に含まれるオープンソース、商用、カスタム・コンポーネントを自動的に可視化できます。これにより、オープンソースの依存関係だけでなくソフトウェア・サプライチェーンの可視性が拡張され、すべての依存関係のリスクを分析することが可能となるのです。

マルウェアの検知

攻撃者は更なる悪意を持って、悪意のあるパッケージをオープンソースのエコシステムに、あるいはアプリケーションに直接送り込み、ビルド環境を侵害する可能性を高めています。このような種類のマルウェアを検出するには、ReversingLabs とのパートナーシップによる、組み込みマルウェア解析を使用した特殊な形式の解析が必要です。

継続的なリスクの特定と監視

SDLC内は管理されているため安全だと思っているかもしれませんが、常に安全であり続けるとは限りません。Black Duck Supply Chain エディションは、生成されたSBOMとインポートされたSBOMの両方の依存関係を継続的に解析し、オープンソースの脆弱性、シークレット、マルウェア、悪意のあるパッケージを監視して、必要な知見を速やかに提供します。

IPリスクとライセンス・コンプライアンスの管理

ほぼすべてのサードパーティ・ソフトウェア、特にOSSには、何らかの形式のIPまたはライセンス義務が含まれています。これらの義務を遵守しない場合、特にソフトウェアを配布する組織にとって、多大な費用がかかる結果を招く可能性があります。

Black Duck は、依存関係によって関連付けられたオープンソース・ライセンスを自動的に識別し、OSSがどのようにコードベースに取り込まれたか（AI コーディング アシスタント経由など）に関係なく、アプリケーションのライセンス、デプロイ、配布方法との競合に関するガイダンスを提供します。

業種毎のSBOM規格のサポート

ほとんどのソフトウェアの提供者は、さまざまな業界の幅広い顧客に製品を提供しています。これらの各顧客は、多くの場合、ベンダーに対して独自のSBOM要件を持っています。

Black Duckは、すぐに使用できるカスタムSBOMエクスポート・テンプレートを提供していおり、利用者は適切な可視性を決定し、それらの要件を満たすようにSBOMを繰り返し調整することができます。