CapyがSBOMを利用した新たな脆弱性管理体制を構築の背景と実運用

CapyがSBOMを活用した脆弱性管理体制を構築

Capy株式会社は、ITセキュリティの重要性が高まる中、株式会社grasysの協力を得て、SBOM（ソフトウェア部品表）を用いた脆弱性管理体制の強化に取り組んでいます。この新たな体制は、同社の不正アクセス対策サービス「Capy CAPTCHA」を支えるインフラにおいて、ソフトウェア構成要素を定期的に可視化し、最新の脆弱性情報と照合する仕組みです。これにより、脆弱性の検出と対応の迅速化が図られています。

新たな脆弱性管理体制の確立

従来、Capyでは外部ベンダーによるセキュリティ診断や、ニュース、SNSからの脆弱性情報の収集が行われていました。しかしソフトウェアは多数のライブラリやミドルウェアに依存しているため、脆弱性が公開されるたびに手動で確認する必要があり、大きな負担となっていました。影響確認においては、場合によっては2日ほどかかることもありました。これを解決するため、Capyは脆弱性情報を常に把握し、自社システムへの影響や対応の必要性を迅速に判断できる体制を整えました。

SBOMの導入とその効果

新たに採用した運用プロセスでは、オープンソースツール「Syft」と「Grype」を利用しています。Syftを用いてソフトウェアの構成要素を解析し、生成されたSBOMをGrypeで最新の脆弱性情報と照合します。これにより、検出された脆弱性についてgrasysが影響範囲や対応優先度を評価します。優先度評価には「SSVC（Stakeholder-Specific Vulnerability Categorization）」の考え方を取り入れ、どの脆弱性に優先的に対処すべきかを判断します。

スキャンの負荷軽減

脆弱性スキャン自体が本番環境に影響を与えないよう、Capyでは複製ディスクを使用したスキャン方法を採用しました。これにより、ユーザーのアクセスが集中する中でも、サービスの安定性を保ちながら脆弱性の確認が行えます。過去のアクセス集中によるリソース逼迫を避けるための工夫がなされています。

効率的な影響確認

SBOMを利用することで、脆弱性情報公開時の影響確認が効率化されました。以前は、それぞれのミドルウェアやライブラリ、依存関係を個別に確認する必要がありましたが、現在はSBOMと脆弱性情報の照合を経て、迅速な判断が可能となっています。これにより、Capyは脆弱性への対応を迅速に実施できるようになりました。

ITmedia Enterpriseでの掲載

ITmedia Enterpriseでは、この取り組みの詳細がタイアップ記事として紹介されています。SBOM導入前の課題から始まり、実際の技術構成や、対応優先度評価、本番環境への影響を抑えたスキャン設計、さらにはgrasysとの協力体制についても詳述されています。Capyの技術顧問である松本悦宜氏は、SBOMの導入だけでなく、専門パートナーとの連携が重要であることを解説しています。