ソフトウェアの脆弱性は3年間で減少傾向–日本シノプシス調査

今回は「ソフトウェアの脆弱性は3年間で減少傾向–日本シノプシス調査」についてご紹介します。

関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　日本シノプシスは、「ソフトウェア脆弱性スナップショット －Webおよびソフトウェア・アプリケーションによく見られる10の脆弱性に関する3年間の分析」レポートを発表した。

　調査を担当した同社のソフトウェア・インテグリティ・グループは「ソフトウェアを開発／提供するための手法の転換を実現する統合ソリューションを提供」している。説明を行ったソフトウェア・インテグリティ・グループ シニア・テクニカル・マーケティング・マネージャの松岡正人氏は「品質とセキュリティの観点で、ソフトウェアのテストツールやコンサルティング・サービスなどを提供している」と説明する。

　同レポートでは、日本シノプシスがシノプシス セキュリティ・テスト・サービスを通じて顧客企業の「Webアプリケーション、モバイル・アプリケーション、ネットワーク・システム、ソース・コードを対象に実施したテストから得られた3年分（2020～2022年）のデータ」が分析されている。セキュリティ関連の年次レポートは多数発表されているが、同レポートでは3年間の推移を見ている点が特徴となる。

　松岡氏は本レポートの分析結果を端的に示すキーワードとして「開発チームの能力向上」と「オープンソースの課題」の2つを挙げた。検出数が多い脆弱（ぜいじゃく）性は「情報流出／漏えいとプライバシー」「設定のミス」「不十分なトランスポート層の保護」の3種。オープンソースソフトウェア（OSS）に関しては、「ソフトウェアの90％にOSSが使用されていることから、その部分のセキュリティチェックが課題」となるとした。

　テスト対象となるアプリケーションは、あらかじめ静的解析（Static Application Security Testing：SAST）を実施した上で、「ブラックボックステストとグレーボックステストの両方を取り入れ、実際の攻撃者同様、動作中のアプリケーションの脆弱性を特定し、トリアージを実施して必要に応じて修正」したという。

　3年間で実際にテストされた結果の66％はペネトレーションテスト（侵入テスト、ペンテストとも）で、さらに動的解析（Dynamic Application Security Testing：DAST）やモバイルアプリケーションに対する解析（Mobile Application Security Testing：MAST）も実施されている。テスト方針について、松岡氏は「開発時に漏れてしまいがちな『攻撃者の視点』を補完するため、攻撃者の振る舞いをシミュレートする動的テストを中心に実行している」と説明した。

　テストの結果では、3年間の平均ではテスト対象のアプリケーションの92％で脆弱性が発見されているが、これを年ごとの推移で見ると、2020年には97％のテストで脆弱性が発見されていたが、2021年には95％、2022年には83％と全体としては減少傾向にあることが分かる。

　この理由として同氏は「AppSecのプラクティスがプログラミングで発生しがちなミスの削減に役立った」「開発環境とテストの統合が進んだ（IDEのプラグイン）」「オープンソースにおいても、多くのコミュニティでコードの精査が進んだ」という3点を指摘し、「開発チームがエラーのないコードを書く能力が高まっている」と分析した。同時に、対象のアプリケーションは基本的にSASTをパスしたものであることから、動的分析を組み合わせた多層的なテストを実施しないと脆弱性の発見に至らない可能性が高いことも指摘された。

　なお、検出が多い脆弱性を深刻度別に見た場合、高リスク脆弱性では「クロスサイトスクリプティング」がトップで、次いで「不十分な認可」が続く。緊急リスク脆弱性では、2位に大差を付けて30％を「SQLインジェクション」が占める結果となっている。2位は高リスク脆弱性と同様に「不十分な認可」だが割合は9％となっている。

　OSS関連では、ソフトウェアのサプライチェーンリスクということでオープンソースライブラリーに含まれる脆弱性が深刻な被害をもたらした事例が多数報告されているにもかかわらず、アプリケーションの内部で使用しているオープンソースライブラリーのバージョン把握などが充分に行われていない傾向が見られたことも指摘された。

　この問題に関してはソフトウェア部品表（Software Bill of Materials：SBOM）が対策として注目されており、松岡氏も「ソフトウェア開発ライフサイクルにSBOMの生成を組み込む」ことを推奨項目の中に含めている。

　調査結果の数字からは、テスト対象のほとんどのアプリケーションに何らかの脆弱性が見つかっている形だが、年ごとの推移を見ると年々脆弱性が見つからないソフトウェアが増えてきていることも確かであり、同氏もこの点を「すごいこと」と強調していた。

　サイバー攻撃による深刻な被害事例が続く中、ソフトウェアの品質を向上させ、セキュリティを高めるための地道な努力によって少しずつではあるが着実に堅牢（けんろう）化していることがうかがえる。