出典：Sergey Novikov（Alamy Stock Photo経由）
Chainguardは、最も急成長しているサイバーセキュリティユニコーンの1つです。このスタートアップは、今年4月にシリーズDで3億5600万ドルを調達し、評価額は35億ドルに跳ね上がりました。これは、わずか1年前の11億ドルから大きな飛躍です。DevSecOpsチームがソフトウェアサプライチェーンの脆弱性リスクを排除するために設計されたミニマルなコンテナイメージを活用する「Chainguard Images」マネージドサービスへの需要が成長を後押ししています。
Chainguard Imagesは、アプリケーションのオープンソース依存関係に存在する可能性のある脆弱性に対応することで、ソフトウェアサプライチェーンのリスクを排除するよう設計されています。これらのコンテナは、プログラムの実行に必要なパッケージのみを使用し、各コンテナイメージはソースから毎日更新・パッチ適用されます。イメージの再構築やパッチ適用に加え、Chainguardは重大な脆弱性には7日以内、それ以外は14日以内にパッチを提供します。各イメージには、証明書と署名付きのSBOM（ソフトウェア部品表）が付属しています。
ほぼすべての組織のクラウドネイティブソフトウェアやデバイスファームウェアは、オープンソースやサードパーティ製コードに依存しているため、サプライチェーンの脆弱性にさらされています。多くのDevSecOpsチームが、現在約1,500種類に及ぶChainguardのイメージを活用し、自社ソフトウェアに含まれる可能性のあるオープンソースライブラリを管理しています。
過去1年で、Chainguardのツールを導入する顧客は5倍に増加し、Canva、Dexcon、Elastic、GitLab、Hewlett Packard Enterprise、Snowflakeなどが含まれると同社は述べています。他にも、著名な金融機関、製造業、運輸、医療・ライフサイエンス分野の企業が顧客です。米国政府や防衛機関も、FedRAMP HighやDoD Impact Level 5（IL5）のセキュリティ要件に準拠するためにChainguardのコンテナ管理プラットフォームを導入しています。
共同創業者兼CEOのDan Lorenc氏は、ChainguardがDevSecOpsチームによる重要なビジネスシステムの構築・維持や、オープンソースコンポーネントの最新・安全な状態維持において、まだその真価を発揮し始めたばかりだと考えています。「私たちは社内のセキュリティに多大な投資をしており、できる限り安全に構築できるよう努めています」とLorenc氏は語ります。「顧客が増えれば増えるほど、私たちのソフトウェアが稼働する環境はより機密性が高くなり、私たち自身がより大きな標的となります。」
標的が大きくなれば、悩みも大きくなる
Lorenc氏は、国家レベルの攻撃がこのスタートアップにとって避けられないと述べています。「いずれ必ずそうした攻撃を受けることになるでしょう。私たちのソフトウェアは現在、非常に重要な環境で稼働しており、APT（高度標的型攻撃）の標的になるのは時間の問題です」とLorenc氏は語ります。
つまり、Chainguardが国家レベルの脅威に備える責任は、CISO（最高情報セキュリティ責任者）のQuincy Castro氏に委ねられています。多くのサイバーセキュリティ企業のCISOと同様に、Castro氏はChainguardのインフラを守り、製品チームや顧客との連携も担います。
新イメージのロードマップ
Chainguard Imagesを基盤に、Chainguardは最近独自のLinuxディストリビューション「Chainguard OS」をリリースしました。同社が「ディストロレスアプローチ」と呼ぶ新しいLinuxカーネルは、継続的インテグレーション・テスト・デリバリーによるソフトウェアパッケージの再構築を推進し、最終的にCVE（共通脆弱性識別子）を排除します。
エンジニアリング担当VPのDustin Kirkland氏は、Chainguard OSが他のLinuxディストリビューションとどう異なるかをブログ記事で説明しています。Chainguard OSは「ナノ」アップグレードと再構築を活用し、大規模な新リリースよりも継続的な小規模アップデートを重視します。Chainguard OSのミニマルかつ強化されたフレームワークは、不要なアーティファクトを減らし逸脱を最小限に抑えるために、効率化されたソフトウェアで構築されています。
また、最近プレビュー版としてリリースされた「Chainguard Libraries for Python」は、安全でマルウェア耐性のあるPython依存関係のインデックスとして説明されています。初期リリースには約10,000の人気Pythonライブラリが含まれ、今後も継続的に拡充される予定です。
同様に、ChainguardはJavaベースのガード付き言語ライブラリのカタログ「Chainguard Libraries」のプレビュー版も公開しました。また、「Chainguard VMs」という新しい仮想マシン製品もプレビュー中で、ミニマルかつゼロCVE保護されたコンテナホストイメージを提供することを目的としています。
これらすべてを統合するのが「Chainguard Factory」で、Chainguardのマネージドコンテナホスティングシステムに基づく顧客向けサービスです。現在プレビュー中のこのKubernetesベースのパイプラインプラットフォームは、コンテナイメージやオープンソースパッケージのビルド、テスト、パッチ適用、リリースを自動化するよう設計されています。
「オープンソースのセキュリティを広く強化できればできるほど、私たちはより多くの人々に役立ち、彼らの目標達成をより良くサポートできます」とCastro氏は語ります。
競合する選択肢も登場
Chainguardは、ソフトウェアサプライチェーンの脆弱性報告が急増する中、セキュアなコンテナイメージのホスティングというアプローチを採用した最初のスタートアップの1つです。Acqua Security、Docker、JFrog、Rapid7、Snyk、Wizなど、他にも競合するサービスを提供する企業が存在します。
Snykの最高イノベーション責任者Manoj Nair氏は、Chainguardを直接の競合とは見ていません。「Snykはコンテナスキャンを行い、Chainguardはコンテナ向けのセキュアイメージを提供しています」とNair氏は語ります。「これは問題に取り組む2つの異なる方法です。」
スタートアップのMinimusは、最近ステルス状態から姿を現し、VenturesとMayfieldから5100万ドルのシードラウンドを調達しました。Minimusプラットフォームは、信頼できるイメージレジストリと拡大し続けるコンテナイメージのライブラリで構成されています。