概要
- オープンソースソフトウェアのコミュニティがサイバーセキュリティ体制を強化するには、いくつかの重要な教訓を理解する必要があると、IBMは指摘しています。IBMは、オープンソースの脆弱性を分析・開示するためのクリアリングハウスを運営しています。
- 「脆弱性の発見は、あくまで出発点にすぎません」。IBMは木曜日に公開したレポートでこう述べました。「セキュリティチームはリスクを理解し、対応が必要かどうかを判断したうえで、使える修正を見つけ、それを必要とするソフトウェアに届けなければなりません」
- 今回のレポートは、IBMのクリアリングハウスから得られた知見をまとめるシリーズの第1弾です。ソフトウェアのメンテナーや、企業を含むその利用者が、オープンソースのエコシステムに潜む構造的なリスクをよりよく理解できるようにすることが狙いです。
詳細解説
IBMによると、オープンソースソフトウェアには多数の脆弱性が存在しており、コミュニティを効果的に守る唯一の方法は、深刻な欠陥を優先的に選別（トリアージ）し、その修正を効率よく行き渡らせることです。同社は新レポートで、トリアージをより成功させるための3つの重要な considerations を示しています。
第1のステップは、特定のリスクがビジネスにとってどの程度関係するのかを理解することです。IBMは、防御側は「発見された脆弱性は、どのような場合に実際にシステムを脆弱にするのか」を問うべきだとしています。深刻度スコアは有用な情報を伝えますが、「実際のリスクは、それ以外の多くの要素にも左右されます」と同社は述べています。たとえばAIエージェントは、深刻度の低い複数の脆弱性を連鎖させ、甚大な被害をもたらす侵入を実現できます。大規模な攻撃を防ぐには、特定の脆弱性を悪用することで攻撃者が何を実行できるのかを正確に把握する必要があります。攻撃者が到達できる具体的なシステムや、それを阻止できる緩和策も含まれます。
「防御側には、どの発見事項が意味のあるリスクにつながるのか、そして脆弱性がたどりうる経路を判断するための文脈が必要です」とIBMは述べています。「セキュリティチームは、どの脆弱性に対処が必要なのか、特定の環境でなぜ重要なのか、どれほど急いで対応すべきなのかを把握する必要があります」
オープンソースのセキュリティにおける第2の重要な論点は、修正を必要とするソフトウェアコンポーネントに確実に届けることです。オープンソースのエコシステムには、セキュリティ専門家からあまり注目されないコンポーネントが数多く含まれています。IBMによると、脆弱性クリアリングハウス「Lightwell」の運営を通じて、ネットワーク、認証、暗号、クラウドサービス、AIなどを扱うモジュールを含む、広大な「相互接続されたシステム」の実態が明らかになったといいます。
「修正を作ることは、仕事の一部にすぎません」とIBMは述べています。「修正は、それを必要とするソフトウェアにも届かなければなりません」
幸い、オープンソースのコミュニティには、研究成果を共有し、協力して問題を解決する文化が根付いていると、同社は付け加えています。「オープンソースのイノベーションを広げているのと同じ相互接続性が、オープンソースのセキュリティがもたらす恩恵も広げることができます」とIBMは述べています。
IBMによると、オープンソースのセキュリティを測る最良の指標は、必要なすべてのコンポーネントに修正がどれだけ速く展開されるかです。リスク分析、パッチ作成、パッチ展開のスピードを含む「修復速度（remediation velocity）」に注目すれば、「脆弱性の件数だけを見るよりも、オープンソースのセキュリティがどう機能しているかをはるかによく理解できるかもしれません」と同社は述べています。
防御側が考慮すべき第3の要素は、再利用可能な修正によって、広範囲に及ぶ問題の修正にかかる総時間を大幅に短縮できることです。
「広く使われているコンポーネントに脆弱性が見つかると、多くの組織が似たような作業に直面します。自社が影響を受けるかどうかを判断し、安全な修正を入手または開発してテストし、本番環境へ移行する作業です」とIBMは述べています。「再利用可能な修復策があれば、この作業を繰り返す回数を減らせます」
IBMは、JAXBというJavaライブラリを例に挙げました。JAXBは、拡張マークアップ言語（XML）を使って、開発者がJavaオブジェクトをメモリ上で保存・取得できるようにするものです。レポートは、脆弱なバージョンのJAXBを実行しているJavaアプリケーションの数を試算し、再利用可能な修正がパッチ適用に伴うエンジニアリング負荷を大幅に軽減できることを示しています。
「共通の依存関係向けに開発された解決策は」とIBMは述べています。「下流の利用者が同じ作業を自分で繰り返さずに済むようにできます」
