SBOMセキュリティチェッカー

ソフトウェア部品表（SBOM）とは、組織全体で使用されているすべてのソフトウェアコンポーネントを網羅した一覧です。ソフトウェア部品表には、サードパーティ製のオープンソースライブラリ、ベンダー提供のパッケージ、組織が開発した自社製アーティファクトが含まれます。

SBOMは、アプリケーションで使用するすべてのソフトウェアコンポーネントの一覧です。適切なセキュリティツール（ソフトウェア構成分析など）と併用することで、開発または利用するソフトウェアに関連するライセンス上およびセキュリティ上のリスクを明確に把握できます。ソフトウェア開発が急速に進み、コンポーネントやそのバージョンがすぐに変化するなか、最新の状態に保たれた、SBOM形式に準拠するソフトウェア部品表を維持することが重要です。

SnykのSBOMセキュリティチェッカーでは、ソフトウェア部品表（SBOM）ファイルをアップロードして、既知のセキュリティ脆弱性や法的な問題をスキャンできます。開発ワークフローのコンプライアンスとセキュリティの維持に役立ちます。

SnykのSBOM Checkerは、依存関係の変化を継続的に監視して脆弱性やライセンス上のリスクを検出することで、技術的負債の削減、コンプライアンスの強化、開発の加速を支援します。

もちろんです。Snyk CLIを使えば、開発ライフサイクル全体でSBOMの生成とスキャンを自動化できます。最小限の負荷で、SBOMをCI/CDパイプラインや開発者のワークフローに組み込めます。

SBOM Checker自体は脆弱性やライセンスの問題をスキャンしますが、AI Trust Platformを基盤とするSnykのより広範なプラットフォームの恩恵を受けています。このプラットフォームにより、スキャンワークフロー全体で自動化とインテリジェンスが強化され、開発者に役立つ分析情報が提供されます。

Snykは、CycloneDXとSPDXの両方のSBOM規格をサポートしています。これらの形式でSBOMを生成・テストし、セキュリティプロセスにスムーズに組み込めます。

セキュリティ分野で最も広く使われているSBOM標準は、CycloneDXとSPDXの2つです。どちらを使用するかはプロジェクトのニーズに応じて選択してください。また、両方を導入することもできます。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）なども複数のフォーマットがしばらく併存すると見込んでいると述べており、近いうちにSBOMの標準が一つに定まる可能性は低いでしょう。

OWASP CycloneDXは、アプリケーションセキュリティとサプライチェーンのコンポーネント分析を目的としたソフトウェア部品表（SBOM）の標準です。自社開発およびサードパーティ製のすべてのソフトウェアコンポーネントを一覧化できます。この仕様は幅広く、ソフトウェアライブラリにとどまらず、サービスとしてのソフトウェア部品表（SaaSBOM）や脆弱性悪用可能性情報（VEX）などの標準にも対応しています。この標準はApache 2.0ライセンスのオープンソースプロジェクトで、次のオープンソースGitHubリポジトリで共同開発に参加できます。https://github.com/CycloneDX/specification。

Linux Foundationが提供するSPDXは、ソフトウェアに関連するコンポーネント、ライセンス、著作権、セキュリティ参照情報などのメタデータを表現できる、SBOMのもう1つの標準です。SPDXは、重要なデータを共通の形式で簡単に共有できるようにすることで、重複作業を減らし、コンプライアンス、セキュリティ、信頼性の向上を目指しています。SPDXは、Linux Foundationがホストする草の根のオープンソースプロジェクトです。SPDXの仕様はこちらから、またSPDXのGitHubリポジトリからご確認いただけます。