オープンソースセキュリティの現状に関する調査 - 2020年

Snykはオープンソースセキュリティに情熱を注いでいます。2017年から毎年、オープンソースセキュリティの現状レポートを発行しています。このレポートでは、オープンソースセキュリティの最新動向と、組織がオープンソースソフトウェアやクラウドネイティブ技術の脆弱性にどのように対処しているかを分析します。調査の一環として、オープンソースセキュリティの現状に関するアンケートを実施し、コミュニティの皆さまのご意見を伺っています。2020年版のアンケートを開始しました。ぜひご協力ください！

皆さまの回答は、コミュニティが直面する課題への理解を深め、調査の方向性を定めるうえで役立ちます。自社プラットフォームやパートナーのプラットフォームから収集・分析したデータと併せて、今年もこの無料レポートをコミュニティに公開します。今年はクラウドネイティブ技術への注目を広げ、コンテナ、オーケストレーションツール、Infrastructure as Codeについて、さらに詳しく調査します。

2019年のオープンソースセキュリティ

2019年のレポートでは、さまざまな開発エコシステムの動向と、セキュリティへの影響を詳しく調査しました。調査からは多くの重要な知見が得られましたが、特に注目すべき点がいくつかありました。以下は、2020年版レポートでも引き続き追跡する、2019年の主な発見です。

既知の脆弱性

2019年のレポートで調査した重要なデータの一つが、複数のエコシステムで報告されたセキュリティ脆弱性の件数です。PyPi、Golang、npm、Maven Central、PHP Packagistのアプリケーションライブラリを調査したところ、2017年から2018年の2年間で脆弱性は約88%増加していました。特にPHPでは、2018年に報告される脆弱性の増加ペースが大幅に上昇しました。

脆弱性を調査する際は、単に件数を把握するだけでなく、発見された脆弱性の深刻度も理解する必要があります。2017年から2018年にかけては、ある程度明るい傾向が見られました。報告された脆弱性のうち、高深刻度のものに対する中深刻度のものの割合が増加し、リスクの低い中深刻度の脆弱性の比率が高まりました。

コンテナセキュリティ

2019年のレポートでは、コンテナイメージに関する脆弱性の主な動向についても調査を始めました。Docker Hubで人気の高いイメージを対象に、システムライブラリに含まれる既知の脆弱性を調べました。その結果、脆弱性の平均件数はかなり多く、特にイメージに含まれるNode.jsライブラリには深刻な脆弱性が多いことが分かりました。ただし、脆弱性の44%は、より脆弱性の少ないバージョンのベースイメージに切り替えることで修正できることも分かりました。

修正までの期間

オープンソースエコシステム全体のセキュリティ状況を把握するうえで重要なのは、報告された脆弱性にメンテナーが対処し、修正を提供するまでにどれくらいの時間がかかるかを知ることです。npmの人気パッケージを調査したところ、修正までの期間は289日から2,000日以上に及んでいました！

2020年版レポートの計画

2019年の調査結果は非常に興味深く、場合によっては目を見張るものでした。今年のレポートでは、2019年版で取り上げた重要な項目の多くについて引き続き動向を追うとともに、調査範囲をさらに広げる予定です。アンケートでは、組織がどのようにDevSecOps文化を推進し、オープンソースソフトウェア、コンテナ、オーケストレーション全体のセキュリティを管理しているかを理解するため、質問を増やしています。

データ調査では、2019年版レポートから得た知見を生かし、各エコシステムの脆弱性情報をさらに収集します。オープンソースのセキュリティは向上しているのか、という問いに答えるため、データをより深く掘り下げます。こうした情報とアンケート結果を組み合わせることで、オープンソースエコシステムを包括的に把握し、メンテナーと組織の双方がセキュリティ施策をより適切に計画できるようになります。

ぜひご協力ください。こちらからアンケートにご回答ください！