Trend Micro、Snykを活用したCloud One Open Source Securityを発表

昨夏、Trend Microとのパートナーシップ拡大計画を発表し、セキュリティ運用チームがオープンソースコンポーネントの脆弱性やライセンスリスクを可視化し、追跡できるようにすることを明らかにしました。長年にわたるパートナーシップには、Snyk独自の脆弱性データベースを活用したコンテナイメージのセキュリティスキャンも含まれています。

新たに共同開発したTrend Micro Cloud One - Open Source Security by Snykは、オープンソースの脆弱性を継続的に把握できるようにし、リスク管理の強化とデータに基づく修正判断を支援します。Trend MicroがCloud Oneセキュリティサービスプラットフォームでパートナーとソリューションを共同開発するのは今回が初めてです。これは光栄なことであり、Snykのオープンソーススキャン技術が市場でいかに独自性と価値を持つかを示すものでもあります。

Trend Microの新しいCloud Oneサービスの一部として提供されることを大変うれしく思います。同社の発表によると、本日よりチャネルパートナーおよびAWS Marketplaceを通じて利用できます。

SnykとTrend Microは、セキュリティチームと開発チームが効果的に連携し、組織の安全性を高めるサイバーセキュリティ業界の未来に向けて、ともに投資しています。

Snykの開発者第一のセキュリティ技術をTrend MicroのCloud Oneプラットフォームに加えることで、より多くのお客様が単一のプラットフォームからオープンソースのリスクに対処できるようになります。複数のベンダーやツールを管理する必要を減らしながら、各課題に最適なソリューションを妥協することなく利用できます。

オープンソースセキュリティの必要性

オープンソースソフトウェアの利用は、長年にわたって大幅に拡大しています。実際、Snykの「2020 State of Open Source Security Report」では、主要なオープンソースエコシステムすべてで成長が見られ、npmパッケージだけでも33%増加した一方、依存関係ツリー全体を把握できていない組織が依然として60%に上ることが明らかになりました。コンテナセキュリティについては、公式Nodeイメージに含まれる脆弱性が642件に上り、前年の580件から増加していました。10億回以上ダウンロードされたイメージで、前年比約11%の増加です。これは極端な例ですが、ほかの公式イメージにも重大な脆弱性が多数含まれていました。

問題は、開発者がサードパーティ製のツールやライブラリをますます利用する一方で、それらのコンポーネントに潜むリスクをセキュリティチームが把握できていないことです。実際、脆弱性の78%は間接的な依存関係で見つかっています。そのため、オープンソースの状況を把握することは、セキュリティチームにとって重要な調査項目です。

オープンソースの拡大は、ソフトウェアの市場投入までの時間を短縮しただけでなく、悪意のある攻撃者に新たな攻撃対象をもたらしました。何百、何千もの組織が利用する人気のオープンソースパッケージで攻撃者が1つの脆弱性を見つければ、それらすべての企業が標的になり得ます。攻撃による見返りが大きくなる一方で、セキュリティ運用チームには既知の脆弱性とその修正状況を優先的に追跡する、より大きな負担がかかります。リスクを効果的に管理するには、セキュリティ運用チームがオープンソースの依存関係とライセンスの問題を可視化することが不可欠です。

Cloud Oneプラットフォームによるセキュリティ

Trend MicroのCloud Oneは、クラウドでアプリケーションを構築する組織向けのセキュリティサービスプラットフォームです。組織の重要なクラウド戦略の実現を支援するために設計されており、組織のリスクを管理しながら、既存アプリケーションのクラウド移行、クラウドネイティブアプリケーションの提供、クラウド運用の卓越性の実現を支援します。

Snykとの共同ソリューションは、より広範なDevSecOps戦略の一環として、セキュリティ運用の担当者がサードパーティの依存関係に伴うリスクを管理できるよう支援します。アプリケーションセキュリティの取り組みを「シフトレフト」することで、ソフトウェアのデリバリーを中断せずに、DevOpsとSecOpsの間の溝を埋め、組織のセキュリティ態勢を強化できます。

「この1つのソリューションで、複数の課題を解決し、テクノロジーによって社内の隔たりを埋めることができます」と、Trend Microの最高執行責任者（COO）であるKevin Simzer氏は述べています。「Trend MicroとSnykの新しいサービスは、ライセンス要件に伴うリスクと責任の管理を支援し、これまで把握できなかった機能コードベースの一部をセキュリティチームが可視化できるようにします。」

今日の組織には、アプリケーションセキュリティに対するプロアクティブな取り組みが必要です。Snykを活用したこのソリューションは、セキュリティ運用チームに必要な脆弱性情報を提供し、開発者と連携して脆弱性の優先順位付けと大規模な修正を進められるようにします。これにより、セキュリティ上の問題が深刻化する前に発見できます。

新しいサービスにより、セキュリティ運用の担当者は次のことが可能になります。

• パイプラインの各段階で検出されたゼロデイ脅威を含む脆弱性とライセンスの問題について、オープンソースの部品表（BOM）レポートを自動生成し、コーディングの早い段階からコンプライアンスを確保できます。

• オープンソースコードのリスクを簡単かつ効果的に管理・軽減し、開発者の生産性とワークフローの効率を高められます。

• アプリケーションセキュリティを包括的に把握し、オープンソースのリスク修正に優先順位を付けられます。

• SecOpsチームとDevOpsチームの連携を促進してセキュアなDevOpsの実践を加速し、サイバーセキュリティの脅威への対処を支援します。

新しいTrend Oneサービスは、専任の調査チームが維持するSnyk Security Intelligenceのカバレッジを活用しています。SnykのSnyk Vulnerability Databaseは、公開情報、開発者コミュニティからの報告、独自調査、機械学習を組み合わせ、変化と拡大を続けるセキュリティ脅威に継続的に対応します。SnykはCVEやNVDなどの公開情報にとどまらず、開発者やセキュリティの専門家にとって、スキャン結果をより実用的で包括的なものにします。これにより、組織は問題をより迅速に検出し、早期に修正できます。

Trend Micro Cloud One - Open Source Security by Snykは、Trend MicroのチャネルパートナーおよびAWS Marketplaceを通じてご利用いただけます。

詳細の確認やご利用の開始は、Trend MicroのCloud One - Open Source Security by Snykのページをご覧ください。