第86回スクエアfreeセミナー

www.opensquare.co.jp

OSSセキュリティ＆コンプライアンス管理ツール

今、利用しているオープンソースのライセンスご存知ですか？

株式会社ＯＰＥＮスクエア
営業担当
sales_os@opensquare.co.jp
2017/12/25

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

1www.opensquare.co.jp

本日、お伝えしたいこと
オープンソースソフトウェア（OSS）は管理する必要があり、使用しているOSSの正確なリストを作成する必要があります。
2016年末、米オラクルがJavaを無料で使用している顧客に対し監査を開始し，使用料を請求し始めたというニュースが流れ、多くの利用企業が身じろぎました。
オラクルの Web サイトからダウンロードできる「Java Standard Edition」は、Java アプリケーションを作成するだけなら「無料」です。
しかし、そのアプリケーションを何百ものWindows 環境にインストールするための「EnterpriseJRE インストーラ」は無料では使えません。他にも、無料で使用できない Java の要素やエディションがあります。
使用しているOSSを正しく把握していないと「急に使用料を請求される」、「提訴される」こともあるかもしれません。

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

2

www.opensquare.co.jp

オープンソース利用状況/課題

オープンソースの利用状況

今や、ソフトウェア製品に含まれる 60～80% のコードはオープンソースコンポーネントが占めています*Forrester developer survey 2015
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

3

www.opensquare.co.jp

オープンソース利用状況/課題

なぜオープンソースが使われるのか？

・リリースまでの短いサイクル要求 DevOps
・開発コスト削減
・最新技術の早期採用 等
ソフト開発の生産性向上が至上命題！

ソースコードが公開されていて、簡単に入手できるオープンソース（OSS）を使わない手はない！
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

4

www.opensquare.co.jp

オープンソース利用状況/課題

オープンソース利用時の課題

何でしょうか？

ライセンス違反それだけでしょうか？

脆弱性の把握それだけで十分でしょうか？ 新たな不具合情報やアップデートの把握

そもそも、随所に使われているOSSを完全に把握できていないかも？
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

5

www.opensquare.co.jp

オープンソース活用時の課題とその克服

オープンソースの主なライセンス種類
ライセンス種類は70以上ありますが、主なものを表にすると、、、
ライセンス

Required（必須）Permitted（許可）Forbidden（禁止）Apache v2

著作権の表示、変更箇所の明示

商用利用、修正、配布、サブライセンス、特許許可

トレードマークの使用、責任免除

GPL v2

著作権の表示、変更箇所の明示、ソースの明示

商用利用、修正、配布、特許許可

責任免除、サブライセンス

MIT

著作権の表示

商用利用、修正、配布、サブライセンス

責任免除

Mozilla Public v 2.0

ソースの明示、著作権の表示

商用利用、修正、配布、サブライセンス、特許許可

責任免除、トレードマークの使用

LGPL v2.1

著作権の表示、ライブラリの使用、ソースの明示

商用利用、修正、配布、サブライセンス、特許許可

責任免除

The BSD 3-Clause

著作権の表示

商用利用、修正、配布、サブライセンス

責任免除、トレードマークの使用

Artistic 2.0

著作権の表示、変更箇所の明示、ソースの明示

商用利用、修正、配布、サブライセンス、個人利用責任免除、トレードマークの使用

GPL v3

著作権の表示、変更箇所の明示、ソースの明示

商用利用、修正、配布、特許許可

責任免除、サブライセンス

LGPL v3

著作権の表示、ライブラリの使用、ソースの明示

商用利用、修正、配布、サブライセンス、特許許可

責任免除

Affero GPL

著作権の表示、変更箇所の明示、ソースの明示

商用利用、修正、配布

責任免除、サブライセンス

Public Domain-

個人利用、商用利用、修正、配布、サブライセンス

責任免除

No License

著作権の表示

個人利用、商用利用

修正、配布、サブライセンス

Eclipse Public v1.0

ソースの明示、著作権の表示

商用利用、修正、配布、サブライセンス、特許許可

責任免除

BSD 2-Clause

著作権の表示

商用利用、修正、配布、サブライセンス

責任免除Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

6www.opensquare.co.jp

オープンソース利用状況/課題

オープンソース活用時の課題④バグやアップデートされていないコンポーネント使用の回避①使用している「モノ」を知る

課題③法令・規則（ライセンス条項）の順守②製品のセキュリティ確保

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

7

www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守•OSS コンポーネントと従属性の自動検出•

300万のコンポーネントと7000万のソースファイルか④バグやアップデートされていないコンポーネント使用の回避

ら構成されるデーターベース•

20以上のプログラミング言語をサポート

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

8

www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守④バグやアップデートされていないコンポーネント使用の回避•

多様なソース及びアドバイザリーをベースとした23万以上の脆弱性検出•

誤検出回避のための独自アルゴリズムによる正確なマッチング•

リリース後に判明した脆弱性やバグも自動トラッキングし、アラート•

問題点解決のための解決オプション提示（全脆弱性の内70%に対し）Node Security
Project

Retire.js

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

9www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守•

ライセンス情報とリスクアセスメント•

様々なライセンスポリシーのサポート•

ユーザがコンプライアンスルールを定めることが可能④バグやアップデートされていないコンポーネント使用の回避

違反するライセンス、脆弱性存在時にビルド失敗やアラート通知•

リリースモジュール管理の自動化

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

10www.opensquare.co.jp

オープンソース利用時の課題克服

WhiteSource を活用することで課題を克服①使用している「モノ」を知る②製品のセキュリ
ティ確保③法令・規則（ライセンス条項）の順守•

重大度別にソフトウェアバグのトラッキング•

OSS バージョン毎の総合品質スコア•

アクティビティとメンテナンスレベルの④バグやアップデートされていないコンポーネント使用の回避

トラッキング

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

11www.opensquare.co.jp

システム開発ライフサイクルにおけるアプローチ

統合可能なツールや環境
Repositories

Build Tools

CI Servers

Issue Trackers

ALM

Application Security
Testing Tools

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

12www.opensquare.co.jp

システム開発ライフサイクルにおけるアプローチ

全てのプログラミング言語をカバー

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

13

www.opensquare.co.jp

提供方法と仕組み

SaaSとしてのサービス提供
・WhiteSource は、サービスとして提供※オプションで、オンプレミスでの提供も可能

・WhiteSource 利用者は、ローカルエージェント
もしくは開発環境プラグインを導入

WhiteSource では、全ての通信データは TLS（HTTPS）を利用するため安全です。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

14

www.opensquare.co.jp

WhiteSource ユーザ

主要顧客

COMMUNICATIONENTERPRISE

INTERNET

BANKING & FINTECHHEALTHCAREGAMING

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

IOT ＋ EMBEDDEDSECURITY15

www.opensquare.co.jp

まとめ

WhiteSource の特徴
継続的に12のデータベース、３百万のオープンソースコンポーネント、7千万のオープンソースファイルを監視しています。 WhiteSource社のデータベースは競合と比べ、最も豊富なものとなっています。

高精度マッチン手法による脆弱性分析

豊富なWhiteSource
データベース

データベースサービスによる手軽な展開とコストパフォーマンス

開発時ばかりでなく、リリース後も検出。SDLCに組み込める WhiteSource によりシフトレフトを実現。

開発期間の短縮とコスト削減を達成するツールの選択

正確なデータベース

ほとんどのデータベースに対しての実行可能な解決策の提示

Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

WhiteSource のアルゴリ
ズムは、時間を無駄にするような誤検出がなく、正確なマッチングを行います。
競合製品では、多くの誤検出によって無駄な警告が発生し、開発者の時間を浪費してしまいます。

WhiteSource はオープンソースコミュニティを基にした実行可能な解決策を、データベースに対し提示します。
16www.opensquare.co.jp

最後にいまやアプリケーション開発ではオープンソースソフトウェア（OSS）の利用が前提となっており、実際にアプリケーションの96％がOSSを利用しているとの調査結果もでています。OSSを利用することで開発工数を削減したり、品質の高いアプリケーションを作成できるなどの多くのメリットがありますが、一方ではOSSを上手に活用するための方法が模索されています。
特にOSSの脆弱性を常に把握し、対処しなければサイバー攻撃によるセキュリティ事故に繋がる可能性があります。また、OSSのライセンスを正しく理解しないで利用するとライセンス違反として訴訟を起こされることもあります。
当社ではOSSを活用した、安全で効率的なシステム開発を支援するWhiteSourceをご提案させて頂きます。
何卒、宜しくご検討お願いたします。

＜お問合せ先＞
株式会社OPENスクエア
営業担当
E-Mail： sales_os@opensquare.co.jp
TEL： 03-6413-1840
資料を最後までご覧頂き、ありがとうございました。
Copyright(C) OPENSQUARE Co., Ltd. All right reserved.

17