ソフトウェアサプライチェーンセキュリティの脅威が今年のセキュリティ専門家の主要な関心事である中、RapidFortとReversingLabsの提携は、脆弱性がゼロのコードパッケージでも最大のリスクになり得ることを示しています。
Red Hatはアプリケーション層の依存関係をターゲットにしたLightwellを発表し、GitLabとGitHubはAIサービスを提供してより深いコードスキャンとソフトウェア構成分析（SCA）を実現しています。Harnessは、未検証または信頼されていないサードパーティのアーティファクトをブロックするための自動化パイプラインセキュリティゲートに関する立場を明確にし続けています。そしてもちろん、Gartnerはこの分野のすべての主要ベンダーをリストアップしています。
こうした背景の中、ソフトウェアサプライチェーンセキュリティに特化したRapidFortは、ファイルセキュリティベンダーのReversingLabsと新たな提携を発表し、独立した第三者検証によってバックアップされたキュレーションとハードニングツールを備えたソフトウェアパッケージカタログ「Open Source Dependency Libraries」を提供します。
開発者はサプライチェーンの脆弱なリンクについてより横断的に考える必要があり、現在のビルドで最も危険なパッケージはCVE（共通脆弱性識別子）がゼロである可能性があるとRapidFortのCMO Mike WoodはThe New Stackに語っています。彼は、XZ（悪意のあるバックドア）、Shai-Hulud、Nx、Axios（JavaScript用の人気HTTPクライアントライブラリ）、tj-actionsが単なる脆弱性の話ではなく、信頼チェーンの失敗であると強調しています。Wood氏は「ソフトウェア開発者はライブラリをインポートするだけのためにマルウェアアナリストになるべきではありません。この提携により、エンジニアリングチームは既に使用しているパッケージマネージャー、依存しているオープンソースライブラリ、そしてそれらのパッケージがビルドパイプラインに触れる前の独立した検証レイヤーを備えた安全なデフォルトを手に入れることができます」と述べています。
RapidFortのオープンソースライブラリカタログは、ReversingLabsによって検証されています。この検証は「深層バイナリマルウェア検出」を使用して行われ、ニューラルネットワークに依存してコンパイルされたコードの構造フロー内の生の実行可能バイナリを分析し、脅威に関連する可能性のある隠れたパターンや難読化を特定します。Wood氏は「パッケージマネージャーは配布のために構築されており、信頼のために構築されているわけではありません。最近のサプライチェーン攻撃は、ソフトウェアコードの依存関係が正当に見え、クリーンにインストールされても、資格情報を盗んだり、バックドアを開いたり、継続的インテグレーションパイプラインを汚染したりする可能性があることを示しています。RapidFortとReversingLabsは、開発者が爆発半径を受け継ぐ前に、信頼の決定を上流に移しています」と説明しています。
Wood氏のチームによると、この分野の他のアプローチは、プロプライエタリなパッケージマネージャー、カスタムオペレーティングシステムディストリビューション、またはベンダー固有のツールチェーンへの移行を必要とします。RapidFort Librariesは、どのオペレーティングシステム、どのソフトウェア開発フレームワーク、どのアプリケーションパッケージマネージャーでも、チームが既に使用している標準のpip、Maven、npm、OSパッケージインターフェースを介して動作します。同社のRapidFort Librariesはドロップイン置換であるため、移行、中断、またはプラットフォーム移行や単一エコシステムのライブラリカバレッジを必要とするプロプライエタリOSディストリビューションに関連する手間は一切ありません。
Pentest Toolsの主任セキュリティ研究者Matei Badanoiu氏はThe New Stackに対し、「ゼロCVE運動」は最近勢いを増しており、全体的には良いことだが、それでも未知の脆弱性を見落としていると述べています。彼は「ここで強調された失敗——XZ、Shai-Hulud、tj-actions——は、どの脆弱性フィードも監視していないレイヤーで発生しました：メンテナの継承、盗まれた公開トークン、汚染されたCIワークフローです」と指摘しています。彼は、独立したバイナリレベルの検証は、マニフェストをCVEリストと一致させることよりも真の改善であり、報告された内容ではなく、アーティファクトに含まれるものを調査するためだと同意しています。「ただし、上記の比較があっても、誰かが正当な機能、潜在的な新たな脆弱性（意図的か否か）、または悪意のあるバックドアの線引きをする必要があります。XZは5.6.0までクリーンでした」とBadanoiu氏は付け加えています。
Huntressの上級セキュリティオペレーションアナリストMichael Tigges氏はThe New Stackに対し、「保証付きオープンソースリポジトリは新しい概念ではなく」、Google自身も保証付きオープンソースソフトウェア（OSS）プログラムを提供していると述べています。さらに、WizなどのベンダーはDockerなどのサービス向けにハードニング/保証付きイメージベースを提供しています。「しかし、ここで重要なのは、あなたは依然として信頼を信頼している、つまり、オープンソースメンテナやOSSリポジトリ管理者に信頼を委ねる代わりに、保証組織に委ねているということです。これによりパッケージが自動的にマルウェアフリーになるわけではありません。保証付きソフトウェアは、審査済みのリリースおよびレビュープロセスと考えてください」とTigges氏は説明します。彼は、保証付きソフトウェアソースを使用する個人は、実際には別の組織の専門家の意見/検出ライブラリ/特定のオープンソースソフトウェアアプリケーションの分析にお金を払っていると述べています。「XZバックドアのケースでは、多くのユーザーがDebianやRHELを含む多数のディストリビューションへの組み込みが試みられる前に、このコードベースを調査したことは間違いありません。これは、GoogleやRapidFortなどがこれらのパッケージをレビューしたという高いレベルの信頼があっても、彼らもまた無謬ではないことを示しています」とTigges氏は助言しています。彼は一般的に、保証付きオープンソースソフトウェアは良いことであり、「信頼を集中させ、リスクと責任を単一の組織に委ねるのに役立ちます。しかし、その代償として、パッチサイクルが遅くなる可能性があるか、組織自体が配布するソフトウェアの安全性を確保するために非常に高いハードルを設定する必要があります」とバランスを取っています。
サイバーセキュリティ業界の最善の努力にもかかわらず、ソフトウェアサプライチェーンとその中に自然に存在するコード依存関係およびサービス相互依存関係によってもたらされる脅威を完全に認識した上で、私たちのソフトウェアサプライチェーン全体は次にどのような形に進化するのでしょうか？慎重な推測では、Kubernetesの台頭と、悪意のあるアクターがオープンソースコンポーネントを侵害し、従来のツールが到達できないコンテナイメージの深い層に脅威を埋め込んでいるという事実を考慮すると、状況はより明確になるどころか、より曖昧になる可能性があります。RapidFortとReversingLabsを公平に見ると、両社はすでにこの問題を指摘しています。彼らは、ReversingLabsのSpectra Assure独立マルウェア分析サービスをRapidFortライブラリカタログのすべてのパッケージに導入することで、企業はビルドパイプラインに入る前に厳格にハードニングされ、独立してクリーンと評価されたオープンソース依存関係にアクセスできるようになると述べています。それでも、パイプラインとサプライチェーンは拡大し続けているので、それらが可能な限り機能的に完全であり、私たちを汚水システムから遠ざけてくれることを願いましょう。