ランタイム・ソフトウェア・コンポジション分析について
ランタイムにアプリケーションで使用されるオープン・ソース・コンポーネントとライブラリーの脆弱性を特定し、管理します。
従来の SCA はビルド・プロセス中にサードパーティーの依存関係を識別するため、膨大な数の結果を生む可能性があります。ランタイム SCA は、実行中のアプリケーションを監視して、アクティブにロードされているライブラリーを特定することで、このデータを改良します。参照されるコードと使用されるコードを区別することで、現実にリスクを引き起こすコンポーネントに対する修復に集中できます。
主なメリット
- 操作の正確性: 非アクティブな依存関係と、アクティブでリスクの高いライブラリーを区別します。
- リスクの優先順位付け: 脆弱性に関する詳細なコンテキストを取得して、修復のバックログを合理化します。
- 生産に関する洞察:
IAST_SCA_PRODを使用して、ライブラリー検出を優先して完全なセキュリティー・テストを無効にすることにより、最小限のオーバーヘッドで実稼働環境を監視します。 - 機能レベルの到達可能性: CVE に関連付けられた脆弱な関数が、アプリケーション実行時に実際に実行されたことを検出します。関数レベルの到達可能性は、脆弱なパッケージがメモリーにロードされたことを示すだけではなく、脆弱なコード自体が呼び出されたことを示すより強力な証拠を提供します。このより深いシグナルは、セキュリティー・チームが環境内で積極的に実行されている脆弱性に優先順位を付けるのに役立ちます。注:この機能は現在 Python のみをサポートしています。
- ランタイム・ライブラリーの検出: ASoC 検出されたランタイム・ライブラリーの既知の CVE を識別して報告するようになり、実行時にのみインポートまたはロードされるが、標準の静的依存関係解析には表示されないライブラリーを検出するようになりました。ランタイムのみの依存関係は個別に報告でき、実行中のアプリケーションのみに存在する脆弱性の可視性を向上させます。
実装ワークフロー
ランタイム SCA を活用するには、エージェントを配置し、その検出結果を標準 SCA スキャンに関連付ける必要があります。
- IAST エージェントを配置します。
アプリケーション・サーバーに IAST エージェントをインストールします。
- 環境変数を構成します。IAST 構成ファイルに以下の変数のいずれかを追加して、ランタイム検出を有効にします。
変数 環境 説明 IAST_RUNTIME_SCAテスト/ステージ ランタイム・ライブラリー検出と並行して、IAST のフル機能を有効にします。 IAST_SCA_PROD実稼働 標準の IAST 機能を無効にし、ライブラリー検出のみをアクティブのままにします。 - アプリケーションを実行します。エージェントは、ロードされたライブラリーを識別するために使用中のアプリケーションを確認する必要があります。これは以下の方法でトリガーできます。
- 自動化された機能テストまたは回帰テストの実行。
- 動的 (DAST) スキャンの実行。
- アプリケーションの手動による探査。
- 結果を関連付けて、確認します。
エージェントがアプリケーションを監視した後、標準 SCA スキャンを実行します。 ASoC 静的スキャンの検出結果をエージェントのランタイム・データと自動的に関連付けます。確認されたアクティブなライブラリーは、簡単に識別できるように相関グループに表示されます。