ソフトウェアが世界を動かしています。 エンドポイント環境全体に展開され、システムの安定稼働を維持するとともに、毎日、毎分、競争優位性の確立に貢献します。 しかし、ますます、それはさまざまな出所からの複雑かつ広範な構成要素から成り立っています。 これらのコンポーネントのいずれかに問題が見つかった場合、どうなるのでしょうか？ 経営陣は、組織がどの程度影響を受けているかを把握しておく必要があります。 そして、リスクを迅速かつ効果的に管理できるという確信を持てるようにする必要があります。
アプリケーションベンダーが、自社のソフトウェアに含まれる影響を受けるコンポーネント（例えば、 にある現在の OpenSSL の脆弱性 など）の詳細を完全に把握するには、数日から数週間かかる可能性があります。その間、顧客は自社のエンドポイント全体でその脆弱性の有無を確認し始めることさえできません。 のTanium Software Bill of Materials（SBOM） を環境に導入すれば、すべてのエンドポイント上のあらゆるアプリケーションについて、完全なソフトウェア部品表をわずか数秒で取得できます。
ソフトウェアの問題点
もしソフトウェアが世界を動かしているとするなら、こうしたアプリケーションを支えているのは、ますますオープンソースのコンポーネントになってきています。 の新しいレポートによると、 主要な4つのオープンソース・エコシステムに対する開発者からのリクエスト総額は、今年3 兆ドルを超えると推定されています。 これらは、市場投入までの期間を短縮し、組織が急速に変化する市場の需要に迅速に対応できるよう支援することで、DevOpsの革新という止めようのない波を後押ししています。 しかし、オープンソースのコンポーネントは、自社開発のアプリにのみ採用されるわけではありません。 『 Log4j 』で悪名高く指摘されたように（）、プロプライエタリなアプリケーションにもサードパーティ製のコードが溢れかえっています。
残念ながら、コードは人間が書くものであり、人間には間違いがつきものです。 Linux Foundationの「 」によると、平均的なアプリケーション開発プロジェクトには、 80 の直接依存関係にまたがる49 の脆弱性が含まれているとのことです。 間接的な依存関係は、見つけるのがさらに困難です。 同報告書によると、全脆弱性の5分の2（40％）が、これらの推移的依存関係において発見されたとのことです。
さらに深く掘り下げてみましょう
では、これらのコンポーネントのいずれかに脆弱性が発見された場合、どうなるのでしょうか？ IT部門やセキュリティ担当チームは、まもなく、すべてのアプリケーションに関する大まかな一覧だけでは不十分であることに気づくことになるでしょう。 リスクを効果的に管理するためには、依存関係を解きほぐし、 これらのアプリ内に含まれる圧縮ファイルの「マトリョーシカ」 のような構造を解きほぐすことができる必要があります。 ベンダーが自社開発者に製品の有無を確認するまで2週間も待つというのは、悪意のある攻撃者が攻撃を仕掛けるのに十分な長い時間となってしまいます。
要するに、ITチームは、エンドポイントにインストールされている自社開発アプリやプロプライエタリなアプリ全体において、影響を受けるコンポーネントがどこで使用されているかを正確に把握する必要があります。 そして、実行時にこの情報が必要となります。
Taniumのソフトウェア部品表
これこそが、Tanium SBOMの価値です。 既存の単一のTaniumエージェントから、複雑なソフトウェア環境に関する重要なリアルタイムの可視性を提供し、組織がエンドポイントのリスクを管理するために、より的確な情報に基づいた意思決定を行えるようにします。 Taniumは、お客様に次のようなメリットをもたらします：
- 実行時にすべてのソフトウェアコンポーネントを把握する。ソフトウェアベンダーに依頼することなく、ソフトウェアパッケージを特定し、それらを分解して構成要素をすべて調査します。 このツールは、シッククライアントのファイルを解析し、シンクライアント環境の内部状況を把握することができます。
- これらのコンポーネントにおいて、 で検出された脆弱性や設定ミスをすべて修正してください。
- を活用し、影響を受けたデバイスの使用を停止したり、関連するプロセスを終了させたり、さらには影響を受けたエンドポイント全体からアプリを完全に削除したりするなど、サプライチェーンのリスクを軽減するための迅速な措置を講じてください。
- ServiceNowなどのサードパーティ製ツール（ ）への投資を最適化するため、詳細かつ正確でリアルタイムのSBOMデータをこれらのツールに反映させます。
複雑さは、サイバーリスク管理の敵です。 しかし、Tanium SBOMは、ソフトウェアサプライチェーンの最も見通しの立たない部分にも光を当て、不透明さや制御不能なリスクが存在する場所に可視性と管理機能をもたらします。
Tanium SBOMは、 のアセット検出およびインベントリソリューション「」の一部です。 詳細をご覧いただき、今すぐソフトウェア・サプライチェーンのリスクを可視化する方法をご確認ください。
