知っておくべきこと
ソフトウェアのサプライチェーンリスクは、規模を問わず、民間企業や政府機関にとって最大の懸念事項の一つとなっています。 リスクが高まっている主な理由は、使用されているオープンソースのパッケージやライブラリが膨大な数に上ることです。 For instance, GitHub, an online platform that manages software for others, hosts over 200 million software repositories. さらに、広く使われている2つのプログラミング言語であるJavaScriptとPythonは、合わせて100万を超えるパッケージに対応しています。
ソフトウェアの迅速な開発が求められる中、オープンソースのパッケージやライブラリは、こうした迅速な展開を可能にする不可欠な要素となっています。 しかし、このプロセスに関する監視や記録は限られています。 開発者やソフトウェアベンダーがこれらのパッケージをどの程度活用しているかについては、ほとんど知られていません。 どの企業がどのソフトウェアコンポーネントを使用しているかを記載したデータベースは存在しません。 企業自身でさえ、自社の重要な業務運営に利用しているソフトウェアの範囲を把握していない可能性があります。
課題は、それを見つけることなのです
組織のリスクを軽減するための鍵は、影響を受ける実装を特定し、できるだけ早くパッチを適用するか、リスクを軽減することです。 しかし、課題となるのは、cURLのような広く利用されているサードパーティ製のオープンソースライブラリにパッチを適用し、企業全体でその使用箇所をすべて特定することです。
CURLは、他のオープンソースライブラリと同様、ソフトウェアベンダーがコンパイルする必要があるソースコードであり、プログラムに静的に組み込まれる場合から、動的にリンクされるリソースとして提供される場合まで、さまざまな方法で配布される可能性があります。 従来の脆弱性スキャナーでは、この種の依存関係を検出するのは困難（あるいは多くの場合、不可能です）です。 したがって、それらを発見するには、多角的なアプローチが必要となります。
Tanium SBOMはどのように役立つのでしょうか？
Tanium Software Bill of Materials（SBOM）は、Tanium Assetと組み合わせることで、ソフトウェアパッケージに関連するサードパーティ製ライブラリを特定する機能を提供します。 Tanium SBOMは、AssetとComplyの両方に対応した追加機能です。
Tanium SBOMは、単一のTaniumエージェントを活用することで、複雑なソフトウェア環境に対するリアルタイムの可視性を提供し、組織がエンドポイントのリスク管理に関して、より的確な判断を下せるようにします。
Tanium SBOM を設定すると、環境内のすべてのソフトウェアアプリケーションに関する詳細情報や、脆弱性のあるパッケージの有無を確認できるようになります。 Tanium SBOMに質問するだけで、数秒のうちに環境全体から大規模な回答が得られます。
Tanium SBOM を使用して cURL の脆弱性に対処する方法
Tanium SBOMは現在、Java、JavaScript、Python、PHP、Ruby、およびGoLangバイナリといったエコシステムの解析に対応しています。 SBOMコンテンツをインストールおよび設定するには、さらにいくつかの手順が必要です。
Tanium をご利用いただくと、次のようなことが可能になります：
- 実行時にすべてのソフトウェアコンポーネントを把握し、ソフトウェアベンダーに依存することなく、ソフトウェアパッケージを特定し、構成要素をすべて検証します。 このツールは、シッククライアントのファイルを調査したり、シンクライアント環境を点検したりすることができます。
- これらのコンポーネントで見つかった脆弱性や設定ミスを修正してください。
- 影響を受けたデバイスの使用を停止したり、関連するプロセスを終了させたり、さらには影響を受けたエンドポイントからアプリを完全に削除したりするなど、リスクを軽減するための措置を講じてください。
Taniumのコンバージド・エンドポイント管理（XEM）プラットフォームは、cURLの脆弱性のような問題を特定・修正できるほか、将来のサプライチェーン上の脆弱性に対して組織をより万全な態勢で備えることができます。
詳細については、 や、「TaniumがcURLの脆弱性に対処する方法（ CVE-2023-38545）」 などをご覧ください。
