Black Duck®ソフトウェア・コンポジション解析（SCA）は、アプリケーションやコンテナに含まれるオープンソースおよびサードパーティーのコードから生じるセキュリティ、品質、ライセンス・コンプライアンス上のリスク管理を支援します。
コードの内容を理解する
複数のスキャン・テクノロジを組み合わせて、あらゆるタイプのソフトウェア、ソースコード、成果物内のオープンソースの依存関係を特定します。
ソフトウェア・サプライチェーンのリスクを管理する
ソフトウェアの出荷前に、アプリケーションの依存関係に関連するセキュリティ、品質、ライセンスの問題を特定して解決します。
信頼を確立する
業界および顧客の要件に合わせてセキュアな開発標準を定め、SBOMを生成します。
ソフトウェア・サプライチェーンを可視化する
リスク管理の第一歩は、アプリケーションの構成と依存関係を特定することです。Black Duck SCAは、複数のスキャン・テクノロジを組み合わせてソースコード、ファイル、成果物、コンテナ、ファームウェア内のすべてのオープンソースの依存関係を特定します。
依存関係の解析
パッケージ・マネージャーによって宣言された直接的および推移的な依存関係を特定します。
バイナリ解析
Codeprint解析
パッケージ・マネージャーによって宣言されていない場合でも、ソース・ファイルとディレクトリ内の依存関係を特定します。
スニペット解析
AIコーディング・ツールに含まれるコードスニペットなどを、元のオープンソース・プロジェクトと照合します。
依存関係のリスクを特定し、優先順位を付けて対処する
依存関係が特定されると、Black Duck Security Advisoriesにより、関連するリスクを評価でき、優先順位を付けて修正することができます。
セキュアか？既存および新たに発見された脆弱性に関するアラートとセキュリティ強化されたデータを受信し、データ露出を評価して、修正対策を計画することができます。
信頼できるか？既知の悪意のあるパッケージや不審なファイル、ファイル構造、デジタル署名、セキュリティ緩和、機密情報など、マルウェアの存在を検出するために、アーティファクトの構築後解析を実行します。
準拠済みか？Black Duck SCAは、特定されたすべてのコンポーネントのライセンス義務と帰属要件についての分析情報を示すことで、知的財産のリスクを軽減します。
高品質か？Black Duck SCAは、プロジェクトの健全性、履歴、コミュニティ支援、評判を評価する指標を提示し、リスク軽減プロセスを予防的に行えるようにします。
SDLC統合によりソフトウェア・サプライチェーンのファイアウォールを作成する
Black Duckのポリシー管理により、オープンソースの使用に関するポリシーを定義し、開発、ビルド、SCMツール内のソフトウェア開発ライフサイクル（SDLC）全体にわたる適用を自動化できます。 DevOps統合の詳細をご覧ください。
開発者
コーディング時に、リスクが高い、あるいはポリシーに違反するコンポーネントを特定、回避、または自動的に修正します。
開発チームおよびDevOpsチーム
JenkinsなどのCIツールを使用して、ポリシー違反に基づいてスキャン、ビルドの警告または停止を自動化します。
セキュリティ・チームと運用チーム
デプロイする前にアプリとコンテナを検査し、デプロイ後に自動化されたセキュリティ・アラートを受け取ります。承認されたコンポーネントのプライベート・リポジトリとしてバイナリ・リポジトリを使用します。
SBOMをアプリケーション・ライフサイクル全体に組み込む
インポート：ソフトウェア部品表（SBOM）をBlack Duckに読み込んで、依存関係を既知のコンポーネントに自動的にマッピングし、カスタムまたは商用ソフトウェアの依存関係用に新しいコンポーネントを作成します。
エクスポート：SPDXおよびCycloneDXレポートを標準フィールドまたはカスタムフィールドとともに出力して、アプリケーションの透明性を確保し、顧客または業界の要件に合わせます。
統合：SDLCツールと統合してSBOMの生成を自動化し、既存または新たに発見されたリスクについてSBOMの依存関係を継続的に監視します。
統合されたクラウドベースのASTソリューションをお探しなら Polarisをご確認ください。
Polaris Software Integrity Platform®は、市場をリードするSASTエンジンとSCAエンジンを統合してCoverity®とBlack Duckを強化し、最新のDevSecOpsのニーズに合わせて最適化された、使いやすく、コスト効率が高く、拡張性の高いSaaSソリューションを実現します。
ニーズに合ったプランをお選びください
Professional Edition
企業全体に包括的なオープンソースのリスク管理ソリューションを装備し、開発から本番環境までのポリシーベースのガバナンスを実現します。
ご相談ください
- オープンソース検出
- アプリケーションとコンテナを無制限にスキャン
- オープンソースの依存関係の迅速な分析 コードのビルドやリリース・ブランチへのマージを実行する前にポリシー違反に対処
- 部分的なコード・スニペットの検出 アプリケーションやコンテナにコピーされ、ライセンス義務が残っているオープンソース・コードの部分を見つける
- バイナリ・ファイルとファームウェアの解析 ソースコードにアクセスせずにアプリケーションの内容を解析
- 宣言されていないコンポーネントの識別 明示的に宣言されていないオープンソースの依存関係や、パッケージ・マネージャーを使用していないC/C++などの言語で書かれたオープンソースを検出
- カスタム・コンポーネントの検出 非オープンソース・コンポーネント、内部コンポーネント、サードパーティー製コンポーネントを見つける
- ソフトウェア部品表（SBOM）のエクスポート
- オープンソース・コード/サードパーティー製コード/自社開発コード
- SPDX
- CycloneDX
- 脆弱性管理
- Black Duck Security Advisories
- 重大度、優先順位付け、到達可能性の指標
- 修正ガイダンス
- ライセンス・コンプライアンス
- 宣言されたオープンソース・ライセンスと宣言されていないオープンソース・ライセンスの識別
- 通知レポート
- ライセンス全文
- 義務履行に関するガイダンスと追跡
- 深い著作権データ
- オープンソース・データベース
- プロジェクト、脆弱性、ライセンスへの完全なアクセス
- ポリシー管理
- カスタム・セキュリティ/ライセンス・ポリシーの設定
- ポリシーの適用、通知、レポート作成を自動化
- 実装と統合
- デプロイの前後でアプリケーションを継続的に監視
- SDLC全体の統合
- 実装・導入サービス Synopsysツールのワークフロー統合、カスタム実装、プログラム/プロジェクト管理により、テクニカル・サポートと支援を強化
Supply Chain Edition
組織全体で活用できるソフトウェア・サプライチェーン・セキュリティおよびリスク管理ソリューションを提供します。サプライチェーンを完全に可視化し、リスクに対処し、顧客の信頼を確立します。
ご相談ください
- オープンソース検出
- アプリケーションとコンテナを無制限にスキャン
- オープンソースの依存関係の迅速な分析
- 部分的なコード・スニペットの検出
- バイナリ・ファイルとファームウェアの解析
- 宣言されていないコンポーネントの識別
- カスタム・コンポーネントの検出
- ソフトウェア部品表（SBOM）のインポートとエクスポート
- オープンソース・コード/サードパーティー製コード/自社開発コード
- カスタム・コンポーネントの自動作成
- 標準およびカスタムのSBOMテンプレート
- SPDX
- CycloneDX
- 脆弱性管理
- Black Duck Security Advisories
- 重大度、優先順位付け、到達可能性の指標
- 修正ガイダンス
- マルウェア検出
- マルウェア
- 悪意のあるパッケージ
- 疑わしいファイルと構造
- プロテストウェア
- デジタル署名
- セキュリティ緩和
- 機密情報
- ライセンス・コンプライアンス
- 宣言されたオープンソース・ライセンスと宣言されていないオープンソース・ライセンスの識別
- 通知レポート
- ライセンス全文
- 義務履行に関するガイダンスと追跡
- 深い著作権データ
- オープンソース・データベース
- プロジェクト、脆弱性、ライセンスへの完全なアクセス
- ポリシー管理
- カスタム・セキュリティ/ライセンス・ポリシーの設定
- ポリシーの適用、通知、レポート作成を自動化
- 実装と統合
- デプロイの前後でアプリケーションを継続的に監視
- SDLC全体の統合
- 実装・導入サービス
Black Duckの詳細はこちら
よくある質問
独自開発のコードとオープンソース・コードの脆弱性は同様の方法で検出および修正できるという誤解があるため、オープンソースのセキュリティは見過ごされがちです。現実には、SAST、DAST、およびその他のアプリケーション・セキュリティ・テスト・ツールでは、オープンソースの脆弱性を効果的に検出することはできません。そこで、SCAの出番です。
SCAと他のアプリケーション・セキュリティ・ツールの重要な差別化要因は、これらのツールが解析する内容とその状態です。SCAはサードパーティーのオープンソース・コードの脆弱性、ライセンス、運用上の要因を解析し、SASTは独自開発コードの弱点を解析し、DASTは実行中のアプリケーションの脆弱性をテストします。
包括的なソフトウェア・セキュリティ・プログラムには、SASTとSCAの両方が含まれています。このような手法を採用している組織では、問題の早期特定による品質の向上、独自開発のコードとオープンソース・コード全体に対する可視性の向上、開発プロセスの早い段階で脆弱性を検出して修正することによる修正コストの削減、セキュリティ違反リスクの最小化、および効果的かつアジャイル開発に対応した最適化されたセキュリティ・テストなど、SDLC全体で改善が見られます。
Black Duckは、ほとんどのポピュラーな開発ツールおよびREST APIに対して使いやすいオープンソース統合が利用できるため、ほぼすべての商用開発環境やカスタマイズした開発環境用に独自の統合構築が可能です。Black Duckは、IDE（統合ソフトウェア開発環境）、パッケージ・マネージャー、CI/CD、問題追跡ツール、本番環境機能など、SDLC全体で幅広い統合を提供します。
ほとんどのソリューションは、National Vulnerability Database（NVD：脆弱性情報データベース）のデータのみに依存しています。多くの脆弱性はNVDに文書化されず、また、公開される他の脆弱性も、掲載されるまでに数週間はかかるため、この制限は問題です。Black Duck Security Advisories（BDSA）はNVDを凌駕するもので、SynopsysのCybersecurity Research Center（CyRC）が研究・分析して得られたデータを活用することで、完全かつ正確な情報収集を実現し、早期の警告と詳細な洞察をお届けします。
多くのソリューションは、パッケージ・マネージャーの宣言を使用してオープンソース・コンポーネントを識別しています。ただし、宣言されている依存関係以上のものをスキャンしなければ、一部のオープンソースを見逃すことになります。そして、そのオープンソースがあることを知らなければ、セキュリティ上安全で規格に準拠していることは保証できません。
パッケージ・マネージャーのスキャンでは、開発者がパッケージ・マニフェストで宣言していないオープンソース（CやC++などの言語）、パッケージ・マネージャーが使用されていないコンテナに組み込まれているオープンソース、変更されたオープンソース、または、ライセンス義務があるコードの部分的なスニペットが見落とされます。Black Duckは、ファイル・システム・スキャンおよびスニペット・スキャンとビルド・プロセスの監視を組み合わせることで、パッケージ・マネージャーがトラッキングしていないオープンソース・コンポーネント、オープンソースの一部、変更されたか宣言されなかった可能性があるオープンソース、動的および推移的な依存関係のコンポーネントとバージョンの検証を可視化することができます。
簡潔に答えると、オープンソース・リスクのエンドツーエンド管理を提供する、範囲の広い強力なソリューションです。Black Duckのようなソリューションは、SDLC全体にわたるオープンソース管理への包括的なアプローチを提供します。
具体的には、SCAソリューションを選択する際、次の機能を考慮する必要があります。
- 宣言されているもの以上の包括的なスキャン
- 永続的な部品表
- ポリシー、ワークフロー、SDLC統合
- NVDにないものにも対応した堅牢な脆弱性データベース
- ライセンス・コンプライアンス機能
- 監視とアラート
Black Duckは、ほとんどの一般的なパッケージ・マネージャーをサポートしています。Black Duckのスニペット・スキャンは、トップの言語とよく使用される言語に対応しています。KnowledgeBaseの専門チームは、常に新しい言語を監視および追加しており、すべての一般的な言語がサポートされるようにしています。
さらに、Black Duck独自のシグネチャ・スキャン・アプローチは言語に依存しません。このスキャン・アプローチは、言語に依存しない他のメタデータとともに、ファイルとディレクトリのレイアウトに基づいてシグネチャを検索します。
はい。一部のソリューションでは、バイナリをスキャンしてパッケージ・マネージャー情報を探したり、リポジトリから直接取得したバイナリを変更せずに探したりできます。Black Duckの洗練されたバイナリ・スキャン・ソリューションは、バイナリを解読して、変更されたバイナリを検出し、レガシー言語と幅広いアーチファクトのサポートを提供できます。
Black DuckのオープンソースKnowledgeBaseは、SynopsysのCybersecurity Research Center（CyRC）が、オープンソースのプロジェクト、ライセンス、セキュリティ情報を取得して整理している、業界で最も包括的なデータベースです。KnowledgeBaseには、2,650件以上の固有オープンソース・ライセンス（GPL、LGPL、Apacheなど）、一般的なオープンソース・ライセンスのライセンス全文、各ライセンスのエンコードされた属性や義務が含まれています。Black Duckには、詳細な著作権データ、および徹底したオープンソース・コンプライアンスのために埋め込まれたオープンソース・ライセンスを引き出す機能も含まれています。
はい。Black Duckを使用すると、Docker（およびその他の）コンテナを使用してアプリケーションをパッケージ化して配信するチームは、コンテナ内のオープンソースが使用ポリシーとセキュリティ・ポリシーを満たしており、脆弱性がなく、ライセンス義務を果たしていることを確認および証明できます。オープンソース管理には、既存のアプリケーションとコンテナに影響を与える新たな脆弱性の継続的な監視が含まれます。
