サイバーセキュリティクラウド(CSC)は2024年7月23日、脆弱性管理ツール「SIDfm VM」にSBOM(ソフトウェア部品表)管理機能を追加したと発表した。SBOMファイルをインポートし、脆弱性データベースと照合して脆弱性を検出できるようになった。
サイバーセキュリティクラウド(CSC)の「SIDfm VM(エスアイディーエフエム ヴイエム)」は、脆弱性情報を収集・管理するソフトウェアである。OS、アプリケーション、ネットワーク製品の脆弱性情報を自動収集・蓄積し、ユーザーが必要な情報を特定する。対策すべき脆弱性と対策内容が一目で分かり、対策の進捗状況も管理できる(図1)。
![](/mwimgs/c/1/600/img_c1cc8c6c2b0cb6242e6eecb138d1c4dd208813.jpg)
拡大画像表示
SIDfmは脆弱性情報として、NVD(National Vulnerability Data)、KEV(Known Exploited Vulnerabilities)、JVN(Japan Vulnerability Notes)などを参照する。CSCはこれらの情報を読解してリスクを評価し、独自の指標や日本語の解説を付加した脆弱性情報として提供する。「ユーザーはこの提供のみで脆弱性の概要から、影響を受けるバージョンや対処方法などの情報を日本語で把握でき、優先すべき脆弱性の対処にリソースを集中させられる」(同社)。
今回、SBOM(ソフトウェア部品表)ファイルをインポートする管理機能を追加した。取り込めるSBOM形式は、SPDX(2.2/2.2.1/2.2.2/2.3/2.3.1)またはCycloneDX(1.1/1.2/1.3/1.4)。いずれもJSONまたはXMLフォーマットに対応する。
管理対象のホスト(コンピュータ)単位で、SBOMのインポート状況を一覧できる。また、インポートしたSBOMを、脆弱性データベースとの照合用データに自動変換して脆弱性を検出可能である(画面1)。
![](/mwimgs/6/5/600/img_657db9aa2af934f2a3c3f079e877143c170607.jpg)
拡大画像表示
CSCは、「サプライチェーンの弱点を悪用したサイバー攻撃による被害が増える中、SBOMの需要が高まっている」と指摘する。米国では2021年5月発布のサイバーセキュリティ強化のための大統領令で、SBOM作成の指示が出された。国内では、経済産業省が2023年7月に「ソフトウェア管理に向けたSBOMの導入に関する手引」を公開している。
「SBOMは、サプライチェーンの透明性を高めるために活用されており、特に脆弱性管理での利用が期待されている。ソフトウェアの提供者/利用者においては、自社が提供または利用するソフトウェアに含まれるオープンソースソフトウェア(OSS)を含め、SBOMによって脆弱性を効率的に管理する需要が高まっている」(同社)
CSCは、SBOMの導入支援/作成ツールは多く存在し、ソフトウェア提供者が利用者に対してSBOMを納品することは比較的容易であると説明。一方で、効果的な脆弱性管理のためには、SBOMに記載されたOSSなどに新たな脆弱性が見つかった際に迅速に気づき、適切に対処する必要があると指摘する。