依存関係スキャン(SCA)

​

概要

• 機能:依存関係スキャン（Software Composition Analysis、SCA）は、プロジェクトが使用するサードパーティの依存関係やライブラリに含まれる既知のセキュリティ脆弱性を自動的に特定します。依存関係のマニフェストファイル（package.json、requirements.txt、pom.xmlなど）をスキャンし、CVE識別子、CVSSスコア、修正ガイダンスなどの詳細情報を提供します。
• 誰のため:この機能はセキュリティチーム、開発者、DevOpsエンジニア、そして安全なソフトウェアアプリケーションの維持を担当するすべての人向けに設計されています。特に、多数のサードパーティ依存関係を持つプロジェクトを管理するチームにとって、アプリケーションに影響を与える可能性のあるセキュリティ脆弱性について常に情報を得たい場合に特に有用です。

​

主な特徴と利点

• 包括的なエコシステムカバレッジ:Python、JavaScript/Node.js、Java、Go、Ruby、PHP、C#、Swiftなど、25+のプログラミング言語およびエコシステムにわたる依存関係をスキャン

• リッチ脆弱性インテリジェンス:以下を含む詳細な脆弱性情報を提供します:
  • CVE識別子および代替脆弱性ID
  • CVSSスコアおよび重大度評価(重大、高、中、低)
  • 影響を受けるパッケージバージョンおよび利用可能な修正
  • 詳細な脆弱性の説明と参考文献
  • GitHub Advisory Database、NVD、ベンダーセキュリティアドバイザリー(利用可能な場合)などのソースからのアドバイザリーリンク
  • 出版日および外部リンク
• スマートスキャニングロジック:依存ファイルの存在を自動的に検出し、スキャン性能を最適化します

​

セットアップ手順

​

設定ステップ

requirements.txt
Pipfile
Pipfile.lock
pyproject.toml
poetry.lock

package.json
package-lock.json
yarn.lock
pnpm-lock.yaml

pom.xml
build.gradle
build.gradle.kts
gradle.lockfile

go.mod
go.sum

Gemfile
Gemfile.lock

composer.json
composer.lock

*.csproj
packages.config

Package.swift
Package.resolved

​

使用ガイド

​

主要なワークフロー

1. 自動検出:システムはプロジェクトディレクトリ内の依存ファイルを自動で識別します
2. 包括的スキャン:すべてのサポート済み依存ファイルと脆弱性データベースとの照合を分析します
3. 脆弱性処理:スキャン結果を処理し、追加のセキュリティ情報で補強します
4. 問題の生成:検出された各脆弱性に対して追跡可能なセキュリティ問題を作成します
5. 報告:実行可能な是正ガイダンスを含む包括的な脆弱性報告を生成します

​

Dependenciesビューのフィルター

• 検索:CVE、パッケージ名、または要約で問題を検索
• 重大度:重要性、高評価、中等評価、低評価に重点を置く
• SLAステータス:SCA SLAが適用される際に遅延またはエスカレーションされた依存関係の問題に焦点を当てます
• エコシステム:結果を特定のパッケージエコシステムに限定
• プロジェクト:特定のプロジェクト名でフィルタリング(アクセス可能なプロジェクトのみを表示する)
• ライセンス:依存関係ライセンスによるフィルタリング
• 依存関係タイプ:直接依存、推移的依存、開発依存、またはオプション依存を表示
• 到達可能性:問題が到達可能、到達不可、未使用、分析中のいずれであるかを表示します（到達可能性分析を参照）
• Fix Available:既知の修正による問題のみを表示する

​

依存関係をCSVにエクスポート

​

推移的依存関係

​

依存タイプ

• 直接的:脆弱なパッケージはマニフェストで宣言された直接依存関係(例: package.json や pom.xml)です。
• 推移的:脆弱なパッケージは別の依存関係を通じて間接的に引き込まれます。
• 開発:脆弱なパッケージは実行時ではなく、開発依存関係(ビルド、テスト、ツール)として使用されます。
• オプション:脆弱なパッケージはオプション依存関係としてマークされます。

​

依存グラフの構築方法

1. マニフェストファイル(package.json、pom.xml、requirements.txt、go.mod、Gemfile、その他)から読み取る直接的な依存関係。
2. 推移的依存関係 ロックファイル( package-lock.json、 yarn.lock、 poetry.lock、 go.sumなど)と生成されたソフトウェア部品表(SBOM)から解決されます。SBOMは解決済みの正確なバージョンとその親子関係を捉えます。
3. ロックファイルが欠落している場合、Corgeaはサポートされたエコシステム(例えばPythonや.NETの依存関係の解決)に対して自動的にロックファイルを生成しようと試み、推移的パッケージの解析を続けられるようにします。

​

依存関係ツリービュー

express@4.17.1 (direct)
├── lodash@4.17.15 (transitive)
└── qs@6.7.0 (transitive)
    └── side-channel@1.0.4 (transitive)

​

対応エコシステム

​

マルチエコシステムプロジェクトの例

Enterprise Application:
├── backend/
│   ├── requirements.txt        ✓ Python dependencies
│   ├── pom.xml                 ✓ Java dependencies
│   └── go.mod                  ✓ Go dependencies
├── frontend/
│   ├── package.json            ✓ Node.js dependencies
│   └── package-lock.json       ✓ Lock file
├── mobile/
│   └── Gemfile                 ✓ Ruby dependencies
└── infrastructure/
    └── docker-compose.yml      ✓ Container dependencies

​

脆弱性の重大度内訳

• 高い:迅速に対処すべきであり、重大なセキュリティ影響が出ます
• 中:定期的なメンテナンスサイクルで対処すべきです
• 低:都合の良い時に対処できる軽微な問題

​

到達可能性分析

1. パッケージが使用されているか？ コード内でパッケージのインポートと使用箇所を調べます。宣言されていても一度もインポートされていないパッケージは、リスクが大幅に低くなります。
2. 脆弱な関数に到達可能か？ 使用されているパッケージについて、脆弱性の影響を受ける特定の関数をコードが実際に呼び出すかを分析します。

​

到達可能性ステータス

• 到達可能:コードが脆弱な機能を呼び出します。特に直接依存関係では、最優先で対応する必要があります。
• 到達不能:パッケージは使用されますが、脆弱な関数は呼び出されません。
• 未使用:パッケージは宣言されているが、コード内では使用されません。
• 分析中:問題の到達可能性を分析しています。

​

到達可能性の可視化

​

修正の推奨事項

​

ライセンススキャン

• ライセンスフィルター:依存関係ビューでは、特定のライセンスで問題をフィルタリングします( Dependenciesビューのフィルター参照)。
• CSVエクスポート:ライセンス情報は CSVへのエクスポート依存関係時に含まれています。

​

コンテナイメージスキャン

​

悪意あるパッケージ検出

​

ベストプラクティス

• 通常のスキャン:新たな脆弱性が明らかになった際に自動スキャンを有効にします
• 依存関係の更新:特定された脆弱性の修正が利用可能になり、迅速に依存関係を更新します
• 重大度による優先順位付け:まず重大および高重大度の脆弱性への対応に注力
• リスク評価:脆弱性が実際にアプリケーションの攻撃面に影響を与えるかどうかを評価する
• 依存関係の衛生:攻撃対象を減らすために、未使用の依存関係を定期的に見直し除去する
• バージョンピニング:一貫したスキャン結果を得るために依存ファイル内の特定のバージョン番号を使用する
• 監視:依存関係で新たに検出された脆弱性のアラートを設定する
• 文書:承認済みリスクおよび修復決定の記録を保持すること

​

トラブルシューティング