SBOM

かつてソフトウェア開発が「自家薬籠中」のもので、ソースコードを部外（＆社外）に持ち出すことがあり得なかった時代には、多くの企業で同じようなコードを書く社会全体では非効率なことが行われていた。これを改善して、皆が使えるコードを公開し合ったのがオープンソース・ソフトウェア（OSS）。 自分で書いていないコードを利用するのが、今では当たり前になっている。効率的ではあるが、その結果自社製品に組み込まれているソフトウェアの由来を管理する必要が出てきて、割合見過ごされがちである。管理がおろそかになると、 ・ライセンス違反をしていることに気付かない ・問題（バグ等）があるプログラムを使用していても見逃しがち…

【要点】 ◎製品に含まれるソフトウェアを構成するコンポーネントや互いの依存関係、ライセンスデータなどをリスト化した一覧表 security-log.hatenablog.com 【図表】 使用するソフトウェアの構成部品を一覧で管理 出典: https://www.nri-secure.co.jp/glossary/sbom 【辞書】 ◆SBOMとは【用語集詳細】 (SOMPO CYBER SECURITY) https://www.sompocybersecurity.com/column/glossary/sbom ◆SBOM（Software Bill of Materials）(NRI …

実は「Apache Log4j」事件以前から、ソフトウェア管理台帳を作って利用しようという話はあった。米国バイデン政権は、2021年５月のサイバーセキュリティ強化に関する大統領令で、ソフトウェアのサプライチェーン強化を謳いSBOM（Software Bill of Materials）に言及している。 SBOMがまさに上記の管理台帳にあたるのだが、膨大過ぎる対象を登録することができるとは、多くの関係者が考えていなかった。しかし大統領令に触れられたことから、SBOM登録は少なくとも米国政府調達の要件にはなると思われ、前向きに考える人が多くなった。この管理台帳には、次の項目が集約されている。 ・台…

今週、ハードウェアの信頼性についてこれを明示しようという取り組みについて紹介した。ではソフトウェアについてはどうか？ハードウェアに比べて製造元が非常に多く、細分化すれば個人のプログラマまで広がってしまう。 ソフトウェアがハードウェアの「機器添付品」だった時代は、ハードウェアの製造企業が個別にソフトウェアを開発していた。ハードウェアの標準化に伴って、ソフトウェアの個別開発を見直せるようになった。これによって、ソフトウェア開発の効率性は高まった。ソフトウェアは人類共通の資産だという考えも広がり、それまでは「自家薬籠中」の物だったソースコードが公開されるようになった。これがオープンソースソフトウェア…

はじめに こんにちは、ACS事業部の谷合です。 先日Githubから、SBOMのエクスポート機能が提供されたとのアナウンスがありました。 github.blog ちなみにSBOMとは、Software Bill of Materialsの略語であり、ソフトウェアのコンポーネント、 ライブラリ、ツール、およびプロセスを部品とみなし、それらを可視化 した一覧表です。 2021年末に発覚した「Log4j」の脆弱性などをきっかけにソフトウェアサプライチェーン における 脆弱性に注目が集まったことで、ソフトウェアの依存関係を可視化する取り組み として注目されています。 また、現在米国では大統領令にて、政…

今年の４月にリリースされたDocker Desktop 4.7.0でSBOMが普通に使えるようになり、Docker DesktopユーザーはDocker単体でSBOMの調査やSBOMファイル作成が可能になっていました。 www.docker.com 筆者はこの機能はDocker Desktopでしか使えないのかなと勘違いしていたのですが、Dockerのドキュメント をよくみたら、これ自身はDocker Pluginだと書かれていたのでLinuxでも動きそうだと先ほどようやく気がつきました。 このブログでも何度か取り上げたTrivyを使ってSBOMを取り扱う方法もありますが、Docker単体で利…

たまに、家族向けにスィーツを作ります。今回はハロウィーンなので、かぼちゃのチーズケーキを作ってみました。 View this post on Instagram A post shared by スロトレ (@slowtrain575) ボウルにクリームチーズ（200g）と、砂糖（70g）をよく混ぜる。 １に卵を加えかき混ぜる。 かぼちゃ（250g）を蒸かす。 ２に３を加えかき混ぜる。 ４に生クリーム（200g）を入れてかき混ぜる。 210度で余熱したオーブンに35分焼く。 冷蔵庫で冷やす。 かぼちゃの量が多めなので、かぼちゃたっぷりの濃厚さを感じるチーズケーキでした。かぼちゃのチーズケーキを…

近年、ソフトウェアセキュリティの重要性が急速に高まっており、特にオープンソースソフトウェアの使用が増える中、サプライチェーンのセキュリティリスクが注目されています。そんな中で、ソフトウェア開発者や運用者が依存している部品やライブラリを管理し、透明性を確保するために導入されているのが「SBOM」（Software Bill of Materials、ソフトウェア部品表）です。この記事では、SBOMとは何か、その必要性、メリット、そして実際にどう活用されるのかについて詳しく解説します。 SBOM（ソフトウェア部品表）とは？ SBOM（Software Bill of Materials、ソフトウェ…

toittaチームSREのid:cohalzです。 この記事は、はてなのSREが毎月交代で書いているSRE連載の9月号です。8月の記事はid:walnuts1018さんのはてなブログや GigaViewer で使われている画像変換プロキシを EC2 から EKS に移行しましたでした。 はてなでは2024年7月に生成AIを活用したtoittaというサービスをベータ版でリリースしました。現在正式リリースに向けて準備中で、無料トライアルも実施中です。 ja.toitta.com このサービスはビジネス向けのSaaSアプリケーションで、インフラはGoogle Cloud上に構築しています。 ユーザー…

インターネットにつながる様々な機器のリスクについて、再三申し上げてきた。以前からリスクはあったが、今年はそれに関する報道が目立つ。洗濯機が大量のデータ転送をしていた話（*1）などは、何に使われているかわからず気味が悪い。 今月には、武装組織ヒズボラの人たちが使っていたポケベルや無線機が爆発し、3,000名以上の死傷者が出た。そして、チェチェンのカディロフ首長が「サイバートラックが遠隔操作で動作不能にされた」と主張（*2）している。動作不能ならまだよくて、暴走や爆発されてはたまらないのだが、Conneced Carには常にそのリスクがつきまとう。 そこで米国バイデン政権は、Connected C…

https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_qs.pdf 以下のおすすめ問題の解説となります。 良書。 2024 情報処理安全確保支援士「専門知識＋午後問題」の重点対策 作者:三好康之 アイテック Amazon 問1 Webサイトの セキュリティに関する次の記述を読んで、設問1〜6に答えよ。 A社は、従業員1,500名の中堅システム開発会社である。A社では、セキュリティ品質の高いWebサイトを開発するために、表1に示すWebセキュリティ管理基準を定めて運用している。 [A社による…

rds: グローバルクラスタのタグ付け機能を追加 organizations: AWS Organizationsのドキュメントにて複数の顧客報告の問題を修正 medialive: 入力設定フィールドからON_PREMISE列挙型を削除 python: バンドルされるPythonインタープリタをバージョン3.12.6に更新 pca-connector-scep: AWS Private CAのSCEP用コネクタの一般提供開始 iot: ソフトウェアパッケージカタログとジョブに対するAWS IoTデバイス管理の改善、SBOMサポート追加 bedrock: ModelInvocationジョブにク…

【インシデントに関する情報】 Notice of Recent Security Incident | Fortinet Blog Fortinet Confirms Customer Data Breach via Third Party フォーティネットは、今週「フォーティビッチ」というやや派手なあだ名を使うハッカーがBreachForums経由で440GBの情報を漏洩したことを受けて、「少数」の顧客に属するデータが侵害されたことを確認した。ハッカーは、Azure SharePoint サイトからデータを入手したと主張し、身代金要求について同社がハッカーとの交渉を拒否したため、データを漏洩…

こんにちは。コーポレート本部 サイバーセキュリティ推進部の耿です。 2024/6に Amazon Inspector が GitHub Actions でのコンテナイメージスキャンをサポートしたとのアナウンスがありました。コンテナイメージの脆弱性スキャンに既にTrivyを利用している方も多いと思いますが、別の選択肢として Inspector によるスキャンを試してみました。 また、実はコンテナイメージのスキャンだけではなく、言語パッケージのバージョンファイルやDockerfileを静的解析することも可能のため、それもやってみました。 仕組み アクションを紐解く リポジトリ内のファイルをスキャン…

【図表】 出典: https://japan.zdnet.com/article/35222996/ 【ニュース】 ◆ソフトウェア脆弱性管理やSBOM対応における国内外の動向 (ZDNet, 2024/09/09 06:00) https://japan.zdnet.com/article/35222996/

主に一般向け製品やサービスを提供している企業等からのリリース、お知らせを不定期に収集しています。対象企業は徐々に数を増やしていく予定です。キャンペーン情報、イベント情報等の関連する情報も掲載しています。 ランキング参加中インターネット グリー 2024/09/06 VTuber事務所「Vebop Project」、タレントオーディションを9月7日（土）より開催 楽天市場 Amazon Yahoo! ぐるなび 2024年9月6日 「RED U-35 2024」シルバーエッグ20名発表 新時代の若き才能を発掘する日本最大級の料理人コンペティション 三次審査はオンラインを介したプレゼンテーション審査…

ポッドキャスト収録用のメモですよ。 podcast - #セキュリティのアレ - ゆるーいセキュリティのポッドキャストですよ。 事件、事故 LINEヤフーが LINE 公式アカウントへの第三者による不正ログイン被害について報告 ブラジルで日本アニメの海賊版サイトが一斉摘発 攻撃、脅威 Meta がイランの攻撃者グループによって悪用された WhatsApp アカウントをブロックしたと発表 デジタルアーツが「2024年上半期フィッシングサイト ドメイン集計」を公開 Black Lotus Labs が Versa Director のゼロデイ脆弱性を悪用する攻撃について報告 フィッシング対策協議会…

こんにちは、霜月です。 8月も個人的に気になったセキュリティニュースをまとめました！ よかったらどうぞ〜m(o･ω･o)m 政府・公的機関 国境超えたサイバー犯罪取り締まり新国際条約 金融庁が預貯金口座の不正利用等対策強化を要請 NISTが耐量子計算機暗号のスタンダードを公開 CISAらがイベントロギングのベストプラクティスを公開 CISAがセキュアバイデマンドガイドラインを公開 公安が令和6年「内外情勢の回顧と展望」を公開 経産省がSBOM導入の手引きを改訂 FFIEC CATが2025年8月末で廃止 IPAが「セキュリティ担当者に必要なコミュニケーションスキル集」を公開 調査・報告書 クラ…

【ニュース】 ◆「SBOM導入手引書」に改訂版 - 脆弱性管理強化や導入範囲検討の枠組など (Security NEXT, 2024/08/30) https://www.security-next.com/161280