www.opensquare.co.jp

シフトレフトで実現する効率的なセキュリティ対策
オープンソース利用によるソフト開発のリスクを、簡単に回避する方法～ セキュリティ脆弱性、ライセンス違反、バグ… リスクは一気につぶす！～

株式会社OPENスクエア
田中 昭造

www.opensquare.co.jp

アプリケーションのリリース頻度
・数回/1日2%

・1回/1日(平均)2%・1回/1週(平均)8%・1回/1ヵ月(平均)21%

・1回/四半期(平均)26%

・2回/1年(平均)16%

・1回以下/1年間

11%

・OS,ミドルウェアと同期(新バージョン対応)

10%

・その他

6%

(四捨五入により合計が100%以上になっている）＊対象：635人
出展：WhiteSource Webiner on 25 june 2017

www.opensquare.co.jp

オープンソース利用時の注意点
・Security

・Licensing
・Quality
・その他

53%
38%
9%
0%
出展：WhiteSource Webiner on 25 june 2017

www.opensquare.co.jpDevSecOpsに必要不可欠なシフトレフト
修正コストの削減

シフトレフト＄80／修正＄240／修正＄960／修正＄7,600／修正

コーデング

ビルド

検 証

運 用

www.opensquare.co.jp

60-80%

近年の調査ではシステムのコードに含まれるオープンソースの割合は60％～80％との結果が報告されています。
つまり、独自のコードは40%～20%

5

www.opensquare.co.jp

シフトレフトを実現するにはオープンソースの管理が必須!!
既知の脆弱性が含まれいないこと、、既知の不具合が含まれていないこと、、会社のポリシーに準拠していること、、
6

www.opensquare.co.jp

オープンソースの管理は簡単ではないらしい。
なぜなら、、報告される脆弱性数の増加

推移的な依存関係の増加

www.opensquare.co.jp

手動管理

放 置

手動でオープンソースの各コンポーネントを検証するのは、速度と精度に限界があります。

手を付けないでいると、より大きな問題に発展します。

自動化www.opensquare.co.jp

でも、どうやってオープンソースの管理を自動化するればいいの？

www.opensquare.co.jp

その課題WhiteSource
for Developersが解決します。

WhiteSourceCorewww.opensquare.co.jp

オープンソース管理のベースライン
Inventory

利用しているオープンソースの洗出し

Quality

オープンソースのバグやアップデート情報を、リアルタイムに通知

Security

オープンソースの脆弱性を指摘し、解決策を提示

Licenses

企業ルール、法令・規則の順守

www.opensquare.co.jp

リアルタイムアラート

企業ポリシーの適用

各種レポートオープンソースの検出

WHITESOURCE
CORE

www.opensquare.co.jp

WhiteSource の動作環境
WhiteSource は、サービスとして提供(※オプションで、オンプレミスでの提供も可能)

クラウド環境開発環境にエージェントをインストール
エージェントはソースコード、バイナリーコードを検査して各ファイルを一意に識別するUIDを生成します。

生成したUIDをクラウドに送付
オープンソースマスターDBとマッチング

ユーザ環境

自社のオープンソース情報にアクセス
ブラウザから各種情報の利用可能が可能になります。

WhiteSource では、全ての通信データは TLS（HTTPS）を利用サービス提供なので簡単に導入して、直ぐに利用開始できます。

www.opensquare.co.jp

••

ユーザ環境

クラウド環境

ユーザ環境

ステップ１

ステップ２

ステップ３

開発環境に置かれたエージェントがソースコード内、バイナリコード内のそれぞれのファイルに対する独自の識別子（UID）を計算します。
すべての識別子（UID）が、WhiteSource のサーバへと送付されます。

ソースコードは送付されません•

UID は WhiteSource のマスターデータベースとマッチングされます。

•

ユーザアカウントの情報がアップデートされます。

•OSS と認識されたものに対して、セキュリティ、ライセンス、品質といった関連するすべてのデータが、ユーザ特定のOSS インベントリーに蓄積されます。

•

すべての解析データがオンラインで利用可能となります。

www.opensquare.co.jp

WhiteSource 画面イメージ（ブラウザ―ベース）

www.opensquare.co.jp

メールによる変更内容の通知

www.opensquare.co.jp

多様なツールと連携可能www.opensquare.co.jp

多数の言語をサポート

www.opensquare.co.jp

WhiteSourceはコンテナもサポート
コンテナ開発のための包括的なソリューションを提供

開発

構築

一般的なコンテナレジストリとの高度な統合

コンテナレジストリ

展開

Kubernetesとの統合によるポリシーの自動的な適用と継続的な監視www.opensquare.co.jp

DevSecOpsに求められる3要素◼ オートメーション

コーデング➢ 既存開発環境へのシームレスな統合

多数のリポジトリ―、ビルドツール、CIサーバ等をサポートしています。

◼ スピード➢ 結果は継続的に、且つ数分で報告

開発サイクルの中で適切にオープンソースの分析を行い、迅速にレポートします。

ビルド◼ カバレッジ➢ 幅広く、深い分析

200以上の言語サポートと７０Mのオープンソースファイルの情報により詳細に分析をします。

検 証

運 用

www.opensquare.co.jp

WhiteSource Software

THE LEADER
OF SOFTWARECOMPOSITION ANALYSIS

2011年に設立
オフィス：ニューヨーク、ボストン、ロンドン
テルアビブ

700+
顧客1.2 M

以上の開発者を支援

フォーチュン100社の23％が利用

3x

前年比の成長

www.opensquare.co.jp

OVER 700 CUSTOMERS

www.opensquare.co.jp

ご清聴ありがとうございました。
現在のアプリケーション開発では、開発工数の削減、品質の高いアプリケーションの作成など多くのメリットがあることからオープンソースソフトウェア（OSS）の利用が前提となっています。一方、OSSとうまく付き合うための取組が注目されています。
特にOSSの脆弱性を狙ったサイバー攻撃が急増しています。また、ライセンスを正しく理解しないで利用するとライセンス違反として訴訟を起こされることも考えられます。
WhiteSourceはOSSと上手に付き合うことを支援するソリューションです。
WhiteSourceを利用頂くことで、OSSのメリットを活かしたシステム構築の実現をご支援させて頂きます。

＜お問い合せ先＞株式会社OPENスクエア
営業担当
E-Mail： sales_os@opensquare.co.jp
TEL： 03-6413-1840

資料をご覧頂き、ありがとうございました。
END