Cloudbase Sensorのアップデートで.NETパッケージスキャン機能を強化！

Cloudbase Sensorが.NETパッケージのスキャン機能を強化

Cloudbase株式会社は、東京港区に本社を置き、最近、同社の専門的なセキュリティプラットフォーム「Cloudbase」の機能を拡張しました。このアップデートにより、.NET（NuGet）パッケージをスキャンする新たな機能が追加され、オンプレミス環境で動作する.NETアプリケーションのOSSパッケージの検出が自動化され、SBOM（Software Bill of Materials）として可視化できるようになりました。この動きは、特にセキュリティ対策において重要な意味を持ちます。

開発の背景

.NETは、企業の業務システムやWebアプリケーションの開発に広く使用されている言語です。同時に、NuGetパッケージマネージャーを使用することで、多様なOSSパッケージがアプリケーションに組み込まれています。その結果、セキュリティ対策として利用しているソフトウェアコンポーネントを正確に把握し、脆弱性を継続的に管理する重要性が高まっています。しかし、実際には、特にオンプレミス環境では多くの異なるプロジェクトやパッケージが存在し、OSSやそのバージョン、依存関係の把握は非常に難しい状況です。

Cloudbase Sensorが.NET（NuGet）パッケージのスキャンに対応したことで、これらの課題を克服する手助けとなります。対象システム上の.NETプロジェクトから自動的にパッケージ情報を収集し、それをSBOMとして可視化することで、OSSの理解と脆弱性管理を支援します。

アップデートの詳細

この最新のアップデートでは、Cloudbase Sensorが対象システムに存在する.NETプロジェクトのマニフェストファイルを自動で検出し、解析を行います。具体的には、以下の主要なマニフェストファイルに対応しています：

- `.deps.json`（.NET Coreのビルド出力で提供される依存関係情報）
- `packages.lock.json`（NuGetのロックファイル）
- `packages.config`（従来形式のNuGetパッケージ定義）
- `Directory.Packages.props` / `.packages.props`（Central Package Management利用のパッケージ定義）

これにより、多数の.NETアプリケーションが同一ホスト内にあっても、プロジェクト単位での自動的なグルーピングが実現されます。収集したソフトウェアコンポーネントは、Cloudbaseの「ソフトウェア一覧」画面や各リソース詳細の「ソフトウェア」タブから確認可能です。

収集される情報

収集される情報には以下の項目が含まれます。

- パッケージ名
- バージョン
- ライセンス情報
- パッケージの所在位置
- パッケージ間の依存関係 PURL（Package URL）

これにより、収集したパッケージ情報を基にした脆弱性もCloudbaseで簡単に確認できます。

期待される効果

この新機能の導入予定により、オンライン及びオンプレミス環境で運用される.NETアプリケーションについて、OSSパッケージやそのバージョン、依存関係に関する情報を継続的に追跡できるようになります。これにより、従来個別に確認する必要があった.NETアプリケーションのソフトウェア構成をSBOMとして明示化できます。これに伴って、「どのシステムで、どのOSSが利用され、どの脆弱性の影響を受けるか」という情報も把握しやすくなり、企業全体のセキュリティリスクを一元的に管理し継続的なリスク管理が進むことが期待されています。

会社紹介

Cloudbase株式会社は、エンジニアのバックグラウンドを持つCEO岩佐によって2019年に設立されました。AWS、Microsoft Azure、Google Cloud、Oracle Cloudなどのマルチクラウド環境でのリスクを統合的に監視・管理できるセキュリティプラットフォームを提供しています。クラウド環境のみならず、オンプレミス環境を通じて、企業のインフラ全体をわかりやすく可視化し、セキュリティリスクの継続的な管理をサポートしています。また、生成AIに関する情報漏洩を防ぐ「Cloudbase AI」も展開しています。