昨年、National Vulnerability Database（NVD）には、 20,000 件を超える共通脆弱性および露出（CVE）が公開されました。 これは 2020 から10％の上昇となり、5年連続で過去最高値を更新しました。 こうしたバグに伴うサイバーリスクの管理は、状況が良好な時でさえも困難な課題となるでしょう。 しかし、各組織がデジタル投資を拡大し、自社開発のソフトウェアプロジェクトを加速させるにつれ、状況はさらに厳しくなってきています。
Taniumのテクノロジーストラテジストであるティム・モリス氏が新しい動画で説明しているように、この増大し続けるサプライチェーンの複雑さを管理し―― ソフトウェアサプライチェーン攻撃から防御する ――ための鍵は、何が実行されているかを完全に可視化し、あらゆる問題を解決するための制御権を確保することにあります。
ソフトウェア・サプライチェーン・マネジメントとは何でしょうか？
サプライチェーンは、私たちが毎日消費する製品を生産するための不可欠な経路です。 新しいジーンズであれ、アスピリンのボトルであれ、サプライヤーから提供される成分や原材料の一覧があります。 一見したところ、ソフトウェアもこれと何ら変わりはありません。 ソフトウェアは基本コンポーネントから構成されており、それらのコンポーネントは、ソフトウェアのサプライチェーンを構成する多数の開発者、チーム、企業によって構築されています。 しかし、ほとんどの製造品とは異なり、ソフトウェアを利用している組織が、ベンダーから提供された「成分表」のようなものを手元に持っていることはまずないでしょう。
実際、DevOpsチームがサードパーティのオープンソースコードを活用して社内で製品を開発するケースが増えるにつれ、ソフトウェアのサプライチェーンはますます複雑化しています。 これにより、価値実現までの時間が短縮される一方で、不透明さが増し、組織にさらなるリスクをもたらす可能性があります。 Log4j ユーティリティをご覧ください。 圧縮ファイルという「マトリョーシカ」の中にバグが隠れていると、それが発覚した際に、環境全体にわたってCVEを発見し、修正することが難しくなります。
こうした状況はすべて、脅威アクターを惹きつける要因となっています。 オープンソースコードは、企業の攻撃対象領域を大幅に拡大させ、コード内の既知のバグを悪用するだけでなく、コードライブラリに新たなバグを仕込む機会さえも増やしています。 それだけではありません。 また、攻撃者たちは、信頼されている独自開発のソフトウェアを侵害するための活動を活発化させています。 例えば、SolarWindsでは次のような対応がなされました。
[SolarWindsのCISO、ティム・ブラウン氏がレジリエンスと規制について語った内容をご覧ください――今すぐ記事全文をお読みください]
サプライチェーンのセキュリティは、構成要素の内部にある構成要素を見極めることから始まります
これらすべてはエンドポイント上で発生しており、そのため、ここがサイバーリスクとの戦いにおける新たな最前線となっています。 課題となっているのは、今日のエンドポイントセキュリティチームが、これらのエンドポイント上で常にどのアプリケーションが実行されているかを把握するだけでなく、それらのアプリ内でどのようなコンポーネントが使用されているかを把握する必要があるという点です。 例えば、これらのコンポーネントのいずれかに隠れたバグがあったとしたら、どうなるでしょうか？ あるいは、そのコンポーネント自体の設定に誤りがあり、現在、侵害される危険にさらされている可能性はないでしょうか？
これはまた、パンデミック以前と比べて大幅に拡大したエンドポイント環境という文脈においても起こっていることです。 リモートワーク用デバイスの急増やクラウドへの投資拡大により、攻撃対象範囲はかつてないほど広がっています。 そして、悪者たちはたった一度だけ運が良ければいいのです。
行動を起こす時です
では、ソフトウェア・サプライチェーンにおけるリスク管理のベストプラクティスとは、どのようなものなのでしょうか？ 結局のところ、重要なのはサイバー衛生管理の基本原則、すなわち「把握」「管理」「保護」です。 組織は、管理していないものを保護することはできず、把握していないものを管理することもできません。 まず第一に、 の包括的な資産インベントリ （新しいタブで開きます） および構成管理を通じて、何が稼働しているかを可視化することです。
Taniumは、こうした洞察を迅速かつ大規模に継続的に提供することで支援し、各チームが自身の環境について質問を投げかけ、アプリケーションの内容を詳細に分析し、何か問題があれば即座に対応できるようにします。 この包括的な可視性により、拡張型検出・対応（XDR）などのツールでは到底実現できないような、リアルタイムのインシデント対応も可能になります。 悪意のある攻撃者が数秒や数分単位で活動している以上、私たちには数日後にインシデントに対応する余裕はありません。
弊社の無料リスク評価をご利用いただき、御社のリスク状況について包括的な把握をしてください。 今すぐリスクレポートをご請求ください。 （新しいタブで開きます）
