第85回スクエアfreeセミナー

www.opensquare.co.jp

OSSセキュリティ＆コンプライアンス管理ツール

その脆弱性がハッカーに狙われる前に株式会社ＯＰＥＮスクエア
営業担当
sales_os@opensquare.co.jp
2017/11/25

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

1www.opensquare.co.jp

最初に、、、OPENスクエアとはICT製品の販売、サポートを提供し、客様のICT活用を支援することで社会貢献します。

負荷分散

リモート接続Webサーバ

メールサーバ

IP電話

仮想環境
IP-PBX サーバ

Fileサーバ

アプリケーションサーバ等

開発環境

セキュア
リモート接続Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

2

www.opensquare.co.jp

本日、お伝えしたいことオープンソースの利用状況✓今やオープンソースはソフト開発に必須になっています。
オープンソース利用時の課題✓オープンソースの脆弱性はハッカーに狙われています。
✓何のオープンソースを利用しているか把握していない。
セキュリティ対策としてのオープンソース管理✓Whitesourceのご紹介• OS、ミドルウェアのセキュリティパッチを体系的に管理できます。
• 人手を介さず自動運用が可能です。

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

3

www.opensquare.co.jp

オープンソース利用状況/課題

オープンソースの利用状況

今や、ソフトウェア製品に含まれる 60～80% のコードはオープンソースコ
ンポーネントが占めています*Forrester developer survey 2015
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

4

www.opensquare.co.jp

オープンソース利用状況/課題

なぜオープンソースが使われるのか？

・リリースまでの短いサイクル要求 DevOps
・開発コスト削減
・最新技術の早期採用 等
ソフト開発の生産性向上が至上命題！

ソースコードが公開されていて、簡単に入手できるオープンソース（OSS）を使わない手はない！
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

5

www.opensquare.co.jp

オープンソース利用状況/課題

オープンソース利用時の課題

何でしょうか？

ライセンス違反それだけでしょうか？

脆弱性の把握それだけで十分でしょうか？ 新たな不具合情報やアップデートの把握

そもそも、随所に使われているOSSを完全に把握できていないかも？
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

6www.opensquare.co.jp

オープンソース利用状況/課題

日々報告される多くのOSS関連脆弱性
CVE-IDCVE-2011-3928

テスラモーターズの車載情報端末のブラウザー QtCarBrowser の WebKit エンジンに任意のコードが実行できる脆弱性

CVE-2017-5638

Apache Struts 2 に、Jakarta Multipart parserのファイルアップロード処理に起因する、リモートで任意のコードが実行される脆弱性が存在

CVE-2017-1000367

Ｌinux の sudo コマンドで全特権の取得。

CVE-2017-7925

ネットワーク管理者権限で任意の操作が行われる可能性

CVE-2017-1001000

REST APIの脆弱性によるWebサイトの改ざん

CVE-2016-8747

Tomcatの脆弱性 セッションIDや応答などの情報漏洩の可能性

CVE-2016-6662

OpenSSL の拡張機能 Heartbeat に脆弱性が存在し、情報漏洩

CVE-2015-0235

Ghost – glibc にバッファオーバーフローの脆弱性。DoS状態に陥ったり、リモートからのコード実行が可能になる恐れ

CVE-2014-6271

Shellshock -- bashに存在する脆弱性。遠隔でシェルコマンドを実行することが可能になり、サーバが乗っ取られたり、不正プログラムに感染の恐れ。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

7

www.opensquare.co.jp

オープンソース利用状況/課題

オープンソース活用時の課題④バグやアップデートされていないコンポーネント使用の回避①使用している「モノ」を知る

課題③法令・規則（ライセンス条項）の順守②製品のセキュリティ確保

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

8

www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSourceソリューション
現状を把握

継続的な管理

検出

レポート

選択

警告

ビルドの実施中にクリックするだけで、オンラインで検索しなセキュリティリスク、コード内のすべてオープンソース活がら、最適なオープポリシーの落とし穴、のオープンソース用状況に関する包ンソースコンポーネ

ソフトウェアのバグ

コンポーネントを自括的な最新版のレントを選択が可能でに関してリアルタイ動的に検出します。

ポートの作成が可す。

ムに警告します。

能となります。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

9www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守•

OSS コンポーネントと従属性の自動検出•

300万のコンポーネントと7000万のソースファイルか④バグやアップデートされていないコンポーネント使用の回避

ら構成されるデーターベース•

20以上のプログラミング言語をサポート

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

10www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守④バグやアップデートされていないコンポーネント使用の回避•

多様なソース及びアドバイザリーをベースとした23万以上の脆弱性検出•

誤検出回避のための独自アルゴリズムによる正確なマッチング•

リリース後に判明した脆弱性やバグも自動トラッキングし、アラート•

問題点解決のための解決オプション提示（全脆弱性の内70%に対し）Node Security
Project

Retire.js

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

11www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守•

ライセンス情報とリスクアセスメント•

様々なライセンスポリシーのサポート•ユーザがコンプライアンスルールを定めることが可能④バグやアップデートされていないコンポーネント使用の回避

違反するライセンス、脆弱性存在時にビルド失敗やアラート通知•

リリースモジュール管理の自動化

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

12www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守•

重大度別にソフトウェアバグのトラッキング•

OSS バージョン毎の総合品質スコア•

アクティビティとメンテナンスレベルの④バグやアップデートされていないコンポーネント使用の回避

トラッキング

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

13

www.opensquare.co.jp

システム開発ライフサイクルにおけるアプローチ

脆弱性は攻撃者が「発明」するからなくならない 攻撃者はソフトに対する攻撃アプローチを常に研究している。攻撃者が新たな攻撃手法を生み出すと、その攻撃を可能にしているソフトの状態が脆弱性と呼ばれるようになる。
 あらかじめソフトに存在する脆弱性を攻撃者が「発見」することもあるが、むしろ脆弱性を攻撃者が「発明」していると考えるほうが実態に近い。
 ソフトの開発者が、あらゆる攻撃手法を事前に想定して入力データをチェックすることは事実上不可能だ。このため、攻撃者がいる限り脆弱性はなくならないと考えていいだろう。
出展 http://itpro.nikkeibp.co.jp/atcl/column/17/090100359/090100001/

Apatch Struts2の脆弱2013年から2016年にかけてOGNLインジェクションの対策（パラメータまわり）
2017年 OGNLインジェクションの脆弱性が判明
HTTPで送られてきた文字をエラーログに出力する際にコードが実行される
今後もStruts2の新たな脆弱性が発見/発明される可能性がある。

脆弱性対策はシステム開発ライフサイクルに組込むことが重要
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

14

www.opensquare.co.jp

システム開発ライフサイクルにおけるアプローチ

SDLC（システム開発ライフサイクル）の各工程で利用各製品のセキュリティと品質の問題点を継続的に監視

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

15

www.opensquare.co.jp

システム開発ライフサイクルにおけるアプローチ

統合可能なツールや環境
Repositories

Build Tools

CI Servers

Issue Trackers

ALM

Application Security
Testing Tools

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

16

www.opensquare.co.jp

システム開発ライフサイクルにおけるアプローチ

全てのプログラミング言語をカバー

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

17

www.opensquare.co.jp

提供方法と仕組み

SaaSとしてのサービス提供
・WhiteSource は、サービスとして提供※オプションで、オンプレミスでの提供も可能

・WhiteSource 利用者は、ローカルエージェント
もしくは開発環境プラグインを導入

WhiteSource では、全ての通信データは TLS（HTTPS）を利用するため安全です。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

18

www.opensquare.co.jp

提供方法と仕組み

SDLC（システム開発ライフサイクル）の各工程で利用仕組みの概要

••

ユーザ環境

クラウド環境

ユーザ環境

ステップ１

ステップ２

ステップ３

開発環境に置かれたエージェントがソースコード内、バイナリコード内のそれぞれのファイルに対する独自の識別子（UID）を計算します。
すべての識別子（UID）が、WhiteSource のサーバへと送付されます。

ソースコードは送付されません•

UID は WhiteSource のマスターデータベースとマッチングされます。

•OSS と認識されたものに対して、セキュリティ、ライセンス、品質といった関連するすべてのデータが、ユーザ特定の OSS インベントリーに蓄積されます。

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

•

ユーザアカウントの情報がアップデートされます。

•すべての解析データがオンラインで利用可能となります。

19www.opensquare.co.jp

ホワイトソース社の概要

WhiteSource 社の概要
マーケット初のオープンソースのセキュリティチェックツール
多くのデーターソースをベースとした、脆弱性に関する独自の定評のあるデータベース誤検出なくフルカバー
システム開発ライフサイクルのすべての段階において安全にオープンソースコ
ンポーネントを管理
すべての一般的なビルドツール や CI
サーバと統合統合可能な多くのツールや環境



正確性

オープンソースコンポーネントを、すべての面で継続的にトラッキング
セキュリティ部門、エンジニアリング部門や法務部門が、 WhiteSource によるソリューショ
ンの可視性、簡潔性、正確さの恩恵を享受

横断的なチームをサポート

システム開発ライフサイクルをフルカバー

全てのプログラミング
言語をカバー

多様な顧客

会社概要
・2011年に最初のバージョンをリリース

・オープンソースのセキュリティ面におけるマーケット初のオープンソースマネジメントソリューション
・本社はイスラエル。北米、欧州、アジアでもビジネス展開を行っており、何百もの顧客を抱えています。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

20

www.opensquare.co.jp

ホワイトソース社の概要

主要顧客

COMMUNICATIONENTERPRISE

INTERNETBANKING & FINTECHHEALTHCAREGAMING

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

IOT ＋ EMBEDDEDSECURITY21

www.opensquare.co.jp

ホワイトソース社の概要

WhiteSource 社の業界内の位置づけ
WhiteSource 社は以下に関しても最も強力なサポートを提供したいます。
➢ 予防的な脆弱性マネジメント➢ ポリシーマネジメント➢ システム開発ライフサイクル
統合

フォレスターウェーブによるソフトウェアコンポジション分析（2017年第一四半期）
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

22

www.opensquare.co.jp

まとめ

WhiteSource の強み１
 圧倒的に情報量が多いマッチングデータベース
 誤検知がほぼ無いアルゴリズム
WhiteSource

競合他社

データベースサイズ

300万のコンポーネントと7000万のソースファイルで構成

150万のオープンソースプロジェクト
が登録

脆弱性情報源12の第三者OSSデータベースとも連携

主に2つのOSSデータベースからの情報

脆弱性情報

23万以上

8万以上

解決策の提示70%以上の脆弱性に対して解決策 僅かな数の脆弱性に対して解決
提示
策提示

データベースの正確性

誤検知はほぼ無いマッチングのアルゴリズム
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

診断結果の重複と誤検知で、手動による分析のステップが必要
23

www.opensquare.co.jp

まとめ

WhiteSource の強み２
SDLC の全工程で利用可能で、シフトレフトを実現。大幅な時間・コスト削減
 統合可能なツールや開発環境が多く、また多くのプログラミング言語をカバー
 ビルドプロセスで、ユーザが定めたコンプライアンスルールの摘要も可能
 製品リリース後に発見された脆弱性やバグにアラート
WhiteSource

競合他社

プログラミング言語

Dockerコンテナを含む22のプログラミン
グ言語とプラットフォームをサポート

プログラミング言語のサポートは限定的

統合化

多くの開発ツールと統合可能。プロセス 一部のビルドツールとは統合可能。
全体を自動化

パフォーマンス

ビルドプロセスへの影響はごくわずか

企業コンプライアンスの完全順守

ユーザがコンプライアンスルールを定める ユーザ独自のコンプライアンスルールは適ことが可能
用できない

リリース後追跡積極的なアラート通知
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

影響が大きい。ビルドプロセスに数時間の影響を与えることもある

不明確24

www.opensquare.co.jp

まとめ

WhiteSource の強み３
 サービスなので、手軽に始められる

 圧倒的なコストパフォーマンスWhiteSource

競合他社

提供形態

サービスなので、契約後すぐに始められる。 オンプレミスでの提供のため、ユーザ側でサー新規の設備投資も不要
バやデータベースの導入が必要で、始めるまでにコストも時間もかかる

費 用

年間100万円未満から始められる

年間数百万円～ という場合が多い

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

25

www.opensquare.co.jp

最後にいまやアプリケーション開発ではオープンソースソフトウェア（OSS）の利用が前提となっており、実際にアプリケーションの96％がOSSを利用しているとの調査結果もでています。OSSを利用することで開発工数を削減したり、品質の高いアプリケーションを作成できるなどの多くのメリットがありますが、一方ではOSSを上手に活用するための方法が模索されています。
特にOSSの脆弱性を常に把握し、対処しなければサイバー攻撃によるセキュリティ事故に繋がる可能性があります。また、OSSのライセンスを正しく理解しないで利用するとライセンス違反として訴訟を起こされることもあります。
当社ではOSSを活用した、安全で効率的なシステム開発を支援するWhiteSourceをご提案させて頂きます。
何卒、宜しくご検討お願いたします。

＜お問合せ先＞

株式会社OPENスクエア
営業担当
E-Mail： sales_os@opensquare.co.jp
TEL： 03-6413-1840
資料を最後までご覧頂き、ありがとうございました。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

END
26