.NETオープンソースセキュリティの知見

新しいセキュリティレポート「.NETオープンソースセキュリティの知見」をご紹介します。本レポートは、次の3つの記事で構成されています。

• .NETオープンソースセキュリティの知見

• .NETエコシステム特有の傾向として、上位20件の脆弱性の75%が高い深刻度に分類される

• .NETエコシステムで確認されている脆弱性の3分の2を、リモートコード実行、クロスサイトスクリプティング、サービス拒否の脆弱性が占める

この情報をはじめ、さらに詳しい内容をまとめた手作りのPDFレポートを、無料でダウンロードいただけます。

概要

お時間がない場合は、以下の調査結果の概要をご覧ください。詳しく知りたい方は、成長を続けるエコシステムの紹介と、オープンソースセキュリティの観点から見た典型的な.NETプロジェクトについてお読みください。

.NETセキュリティの知見

.NETエコシステムは成長を続けています。Microsoftによる強力な業界支援、高品質な開発者向けツール、あるいは複数の言語や用途に対応していることなど、その理由はさまざまですが、.NETが確かな存在感を保っていることは間違いありません。NuGetは、.NETで広く使われているパッケージマネージャーです。この記事の執筆時点で、固有のパッケージは154,385件、パッケージのバージョンは1,663,564件に上り、ダウンロード数は200億回を超えています。Snykの「2019年オープンソースセキュリティの現状」レポートによると、インデックス登録されたNuGetパッケージは2018年から2019年にかけて26%増加しました。

Snykの「2019年オープンソースセキュリティの現状」レポートによると、インデックス登録されたNuGetパッケージは2018年から2019年にかけて26%増加しました。

Snykでリポジトリをスキャンすれば、.NETプロジェクトについて理解を深め、セキュリティを強化する方法を知ることができます。それでも、疑問が残るかもしれません。スキャン済みのほかのプロジェクトと比べて自分のプロジェクトがどうなのか、あるいは.NETエコシステム全体の傾向が気になる方もいるでしょう。本レポートでは、こうした疑問に答えるため、次の内容を取り上げます。

• 典型的な.NETプロジェクトのセキュリティ状況

• .NETアプリケーションでよく見られる脆弱性と、関連するライブラリの情報

• 脆弱性の種類や深刻度など、エコシステム全体で確認されている脆弱性の分析

典型的な.NETプロジェクトのセキュリティ状況

Snykは、2017年に.NETエコシステムへの対応を開始して以来、数千件の.NETプロジェクトをスキャンしてきました。これらのデータから平均的なプロジェクト像を描き、.NETプロジェクトをスキャンした際に何が見つかるのか、ユーザーが把握できるようになりました。これまでに実施した.NETプロジェクトのスキャンでは、固有の直接依存関係が5,744件、間接依存関係が1,819件見つかりました。平均的なプロジェクトには、直接依存関係が約11件、間接依存関係が約76件あります。

以下のグラフは、脆弱性が見つかったプロジェクトを示しています。Snykによるスキャン結果から、1つのプロジェクト内で脆弱性が複数の経路を通じて持ち込まれる可能性が高いことがわかります。たとえば、あるパッケージを直接依存関係として指定していても、アプリ内の別のパッケージが同じパッケージを使用または参照している場合、間接依存関係としても検出されることがあります。脆弱性を確実に修正するには、どちらのケースにも対処する必要があります。

.NETエコシステムで確認されているすべての脆弱性には、利用可能な修正方法があります。つまり、ユーザーがセキュリティ上の脆弱性を把握すれば、プロジェクトを安全にするための対策を講じることができました。

さらに朗報なのは、.NETエコシステムで確認されているすべての脆弱性に、利用可能な修正方法があることです。ユーザーはセキュリティ上の脆弱性を把握した後、プロジェクトを安全にするための対策を講じることができました。

さらに詳しく知りたい方へ

レポートの続きはこちらからご覧いただけます。.NETプロジェクトのスキャンでSnykが特によく検出した脆弱性と、それに関連するライブラリを取り上げています。エコシステムで確認されている脆弱性の全体像を知りたい方は、レポートの最終章をこちらからご覧ください。

もちろん、レポート全文を無料でダウンロードすることもできます。