InfoQ ホームページ applicationSecurity に関するすべてのコンテンツ
-
OpenSSF、ソフトウェアの構築方法を検証するためにSBOMに認証を追加
Open Source Security Foundation (OpenSSF)は先日、ソフトウェア部品表(Software Bills of Materials:SBOM)をイントート認証で強化するために設計されたツール、SBOMitを発表した。OpenSSFセキュリティ・ツーリング・ワーキンググループの下で発表されたこの開発は、ソフトウェア開発プロセスの透明性とセキュリティ向上を目的としている。
-
AWSが未使用のIAMロール、ユーザー、権限を自動検出する機能を追加した
AWSは最近、AWS IAM Access Analyzerツール内で、IAMロールとユーザーに付与された未使用のアクセスを検出するサポートを追加した。新しいIAM Access Analyzerの未使用アクセス検出は、未使用のロール、未使用のIAMユーザーアクセスキーとパスワード、定義された使用ウィンドウ内の未使用パーミッションを特定できる。この分析は、組織内のアカウント全体で実行でき、委任された管理者アカウントから制御できる。
-
GitLabの2023年グローバルDevSecOpsレポートでは、AIが"なくてはならない"ものに
GitLabは2023年グローバルDevSecOps AIレポートを発表し、主な分析結果としてAIとMLの利用が「あるとよい」ものから「なくてはならない」ものへと進化していると発表した。
-
HashiCorp、Vault Secrets Operator for Kubernetesを一般提供開始
HashiCorpは、HashiCorp Vault Secrets Operator for Kubernetesの 一般提供を開始した。このKubernetes Operatorは、Vaultのシークレット管理ツールとKubernetes Secretsキャッシュを組み合わせたものだ。このオペレーターはシークレットのローテーションも処理し、様々なシークレット固有のカスタムリソース用のコントローラーを備えている。
-
QCon New York 2023 2日目のまとめ
2023年6月14日、ニューヨークのブルックリンにあるNew York Marriott at the Brooklyn Bridgeで、第9回QCon New Yorkカンファレンスの二日目が開催された。3日間あるこのイベントは、エンタープライズ開発コミュニティにおける偏りのないコンテンツと情報に焦点を当てたソフトウェアメディア会社であり、InfoQとQConの運営元であるC4Mediaが主催している。Alicia Dwyer Ciancioloによる基調講演と、以下4つのテーマからのプレゼンテーションが行われた。
-
プッシュ保護が一般公開(GA)へ
GitHubは、プッシュ保護(Push Protection)を一般公開し、すべてのパブリックリポジトリで無料にした。プッシュ保護は、変更がプッシュされたときにコード内のシークレットを検出するのに役立つ。GAリリースの一環として、プッシュ保護はGitHub Advanced Security(GHAS) ライセンスを持つすべてのプライベートリポジトリでも利用できるようになった。
-
AWS Signerによるコンテナイメージの署名と検証が簡素化
AWS は、Amazon Elastic Container Registry (Amazon ECR)などのレジストリ内のコンテナイメージの署名と検証に対するネイティブ AWSサポートを提供するために、AWS Signer Container Image Signing (AWS Signer)をリリースした。AWS Signerはコード署名証明書、公開鍵、秘密鍵を管理し、ライフサイクル管理ツールを提供する。
-
サプライチェーンのセキュリティ対策の調査結果、有用性の認識と導入に相関があることが判明か
サプライチェーンのセキュリティ対策に関する最近の調査では、一部の対策は広く採用されているものの、主要な対策では採用が遅れていることが判明した。この調査は、Supply-chain Levels for Software Artifacts (SLSA) フレームワークに基づいて行われた。証明書の作成などの主要な対策は、採用が遅れていることが指摘されている。またこの調査では対策の有用性の認知度と採用には高い相関関係があることがわかった。
-
ソフトウェアサプライチェーンフレームワーク「OSC&R」を構築し、セキュリティ脅威の軽減を支援
OX Securityは、Google、Microsoft、GitLabなどの企業と共同で、ソフトウェアサプライチェーンのセキュリティリスクを評価・査定するためのセキュリティフレームワークを公開した。 オープンソフトウェアサプライチェーン攻撃リファレンス（OSC&R）は、コンテナ、オープンソースソフトウェア、適切な取り扱いが行われない秘密情報、CI/CDへの取組み姿勢をカバーするMITREのようなフレームワークである。
-
OpenSSFがFuzz Introspectorをリリースして、C/C++ファズテストのカバレッジを改善
Open Source Security Foundation（OpenSSF）は、ファジングのカバレッジを改善するツールをリリースした。このツールは、開発者がアクションに��すことができる分析結果を提供し、カバレッジブロッカー（カバレッジを阻害するもの）の特定を支援する。
-
Veracodeの報告書に見る、ソフトウェアサプライチェーン保護の進展の兆し
Veracodeが先頃リリースした"State of Software Security" レポートには、サードパーティライブラリで発見された既知のセキュリティ脆弱性の数が全般的に減少傾向にあること、小規模なアプリケーションほどイシュースキャンがより定期的に実行される傾向があること、などが報告されている。さらには、業界が発展途上の段階にあることも明らかになった。
-
MetaがWebコードの真正性を立証するためのブラウザ拡張をオープンソース化
Code Verifyは、もともとはWhatsAppユーザがブラウザに提供されるWhatsAppコードの真正性を検証するために作成されたものである。これは、Chrome、Edge、Firefoxに対する新たなオープンソース拡張機能であり、他のWebサービスに対しても同レベルのセキュリティを提供できるとMetaは述べている。
-
Dynatraceアプリケーションセキュリティゲートにより安全な自動リリースの促進へ
Dynatraceは最近、ソフトウェアインテリジェンスプラットフォームで「セキュリティゲート」が利用可能になったことを発表した。組織は、Dynatraceアプリケーションセキュリティゲートを使って、ソフトウェア開発ライフサイクルの早い段階でセキュリティの脆弱性をチェックし、必要な修復アクションをトリガーできるようになった。
-
Google Cloudが証明書マネージャーを発表
Google Cloudは最近、証明書マネージャーのパブリックプレビュー版を導入した。複数の証明書とドメインを管理するために外部HTTPS負荷分散と統合するサービスである。
-
OpenSSFが、ソフトウェアサプライチェーンのセキュリティを改善するためのAlpha-Omegaプロジェクトを発表
GoogleとMicrosoftが提携しているOpen Source Security Foundation（OpenSSF）は、Alpha-Omegaプロジェクトを発表した。オープンソースソフトウェア（OSS）プロジェクト全体のサプライチェーンセキュリティを改善するためのものだ。このプロジェクトは、最も広く展開されている重要なOSSプロジェクトのセキュリティ体制の改善に焦点を当てている。