義務化が進むSBOM作成とサプライチェーン攻撃対策 ——JFrogで実現する「シフトレフト」な脆弱性管理の実践

【20-C-8】なぜソースコード中心のDevOpsではソフトウェアへの脆弱性の混入を防げないのか？

　ソフトウェア開発において主流となっている「ソースコード中心のDevOps」は、サプライチェーン攻撃の増加や、ソースコードをビルドした後に生成されるバイナリファイル（アーティファクト）の管理不足といった課題を抱え、ソフトウェアへの脆弱性の混入を防ぐことが困難になってきている。JFrogのシニアソリューションエンジニア 前田友樹氏は、ビルド後に生成されるバイナリファイル中心のDevOpsを実現することで、この課題を乗り越えられると語る。前田氏が、JFrogの製品を活用し信頼性の高いDevOpsを実現するヒントを紹介した。

なぜソースコード中心のDevOpsは「一貫性」を失うのか

　JFrogはイスラエル発のグローバル企業で、2018年に日本法人を設立した。DevOpsおよびソフトウェアサプライチェーンプラットフォームを提供しており、自動車業界をはじめとする製造業、金融、IT業界などの大手企業に広く採用されている。

　同社でシニアソリューションエンジニアを務める前田友樹氏は、「従来のソースコード中心のDevOpsには課題がある」と指摘した。

JFrog Japan株式会社 Senior Solution Engineer 前田 友樹氏

　従来のDevOpsとは、GitHubなどのVCSでソースコードを管理し、GitHub ActionsやJenkinsなどのCIツールでソースコードをビルドしてテストを行い、さらにCDツールでデプロイや、リリースまでを自動化するといったライフサイクルのことだ。この方法は、20年ほど前に登場した考え方であり、現在も多くの企業が採用している。

　しかし、前田氏は「VCSによってソースコード自体のバージョンは管理されているが、ビルド後に生成されるバイナリファイルまで管理できているだろうか。管理が不十分だと、環境間で一貫性が失われる課題が生じる」と指摘した。これがいわゆる「アーティファクト管理」の課題である。

　また、外部依存関係におけるセキュリティの課題についても言及した。「ファーストパーティーのコードに対するセキュリティスキャンだけでなく、サードパーティーのオープンソースやライブラリのセキュリティチェックまで徹底できているだろうか」と問いかける。

　これ以外にも、開発者がビルドツールを通さずにOSSを直接インストールした場合、ソースコードのスキャンだけでは検知できないリスクがある。また、ビルド環境のOS由来の環境変数にトークンやパスワードなどの機密情報が混入する懸念や、ビルドの過程で悪意あるコードが埋め込まれ、アーティファクトに攻撃の起点となる脆弱性が作り込まれてしまう可能性も否定できない。

　事実、こうした開発・ビルドプロセスの隙を突いたソフトウェアサプライチェーン攻撃は直近でも発生している。前田氏は、NPMのOSSに脆弱性が見つかり、そこから攻撃を受けた「NPMサプライチェーン攻撃」の実例を紹介した。サプライチェーン攻撃は、2025年にIPAが発表した「情報セキュリティ10大脅威」の第2位にランクインするほど、深刻な課題となっている。

　このようなセキュリティリスクへの対応に加え、近年ニーズが高まっているのが「SBOM（ソフトウェア部品構成表）の作成」だ。これは海外で製品セキュリティに関する法律が整備され、SBOM作成が義務化されたことが大きく影響している。特に、EU向けに製品を輸出している企業からの問い合わせが増えているという。