MetaDefender Software Supply Chain バージョン4.0.0のリリースにより大きなSupply Chain 、全面的に刷新されたインターフェース、新しいジョブベースのワークフロー、リポジトリレベルのリスクスコアリング、より充実したSBOMのPDFエクスポートに加え、新しいテレメトリ機能やイベントベースのJFrog Webhookなど、数多くの新機能を導入しました。これにより、セキュリティチームはソフトウェアサプライチェーン全体において、より迅速な可視化、よりスマートな是正措置のガイダンス、そしてより強力なコンプライアンスレポートを実現できます。
本リリースは、複雑なパイプラインを管理するセキュリティチームや開発チームの負担を軽減すると同時に、米国大統領令第14028号やEUサイバーレジリエンス法などの規制枠組みとの整合性を強化することを目的としています。
このリリースの新機能
- 新しいユーザーインターフェース
- スキャンに代わる業務
- リポジトリのリスクスコア
- セキュリティに関するアドバイス
- フィールドが追加された新しいSBOM PDFエクスポート機能
- テレメトリ
- パッケージのCSVエクスポート
- Container スキャンとハッシュによるスキップ
- ハッシュによるバイナリパッケージのスキップ
- JFrogContainer （イベントベース）
セキュリティチーム向けに構築された最新のインターフェース
ソフトウェア・サプライチェーンに対する脅威の規模と高度化が進む中、セキュリティチームには、機能面だけでなく使いやすさの面でも、その脅威に対応できるツールが求められています。
バージョン 4.0.0 では、OPSWAT スイート全体と整合した、全面的に刷新されたユーザーインターフェースが導入されました。すべてのページとワークフローが再設計され、ナビゲーションの煩わしさを軽減し、関連情報をより迅速に表示するとともに、プラットフォーム全体でより一貫性のあるユーザー体験を提供できるようになりました。
今回のアップデートは、リポジトリを数個管理しているチームであれ、複雑で複数のチームが関わるパイプラインを統括しているチームであれ、日々セキュリティツールに依存しているすべてのチームが、それらを容易に利用できるようにするという、より広範な取り組みを反映したものです。
スキャンからジョブまで：パイプラインの活動状況をより明確に把握
スキャンベースのモデルからジョブベースのモデルへの移行は、今回のリリースにおける最も重要なワークフローの変更点の1つです。
スキャンが特定の時点での処理であったのに対し、ジョブはより構造化され、追跡可能な作業単位を提供するため、チームは何が、いつ、どのような結果で分析されたかをより明確に把握できるようになります。この変更により、監査可能性が向上し、分析範囲の不備を特定しやすくなるほか、セキュリティチームと開発チームがパイプラインの活動を追跡するための共通言語を得ることができます。
リポジトリのリスク評価：最も重要な事項を優先する
すべてのリポジトリが同じリスクを抱えているわけではありません。バージョン4.0.0では、脆弱性、マルウェア、およびポリシーに関するデータを集約し、単一の、具体的なアクションにつながるシグナルとして提示する、リポジトリレベルのリスクスコアが導入されました。
セキュリティチームは、個々のスキャン結果をいちいち確認することなく、どのリポジトリが最も大きなリスクを抱えているかを迅速に特定し、それに応じて是正措置の優先順位を決定できるようになりました。これは、分散型開発環境全体で多数のリポジトリを管理している組織にとって、特に有益です。
セキュリティに関する提言：検知から是正まで
脆弱性を発見するのは、あくまで第一歩に過ぎません。迅速に対処することこそが、リスクを低減させるのです。
セキュリティに関する提案は、検知されたその場で製品内に直接、具体的な対応指針として表示されます。チームが独自に修正策を調査する必要がなく、プラットフォームが具体的な是正措置の推奨事項を提供することで、組織は問題の特定から解決までのプロセスをより迅速に進めることができます。
強化されたSBOMエクスポート：コンプライアンス対応のレポート機能
ソフトウェアの透明性に関する規制の圧力は、ますます強まり続けています。米国の大統領令第14028号およびEUのサイバーレジリエンス法により、多くの業界においてSBOMの作成がコンプライアンス要件となっており、コンプライアンスに準拠したSBOMに求められる内容の基準は、ますます高まっています。
新しいSBOM PDFエクスポート機能では、コンポーネントレベルの詳細情報をより充実させるためのフィールドが追加され、現行および今後導入されるコンプライアンスフレームワークとの整合性が向上しました。組織はプラットフォームから直接、監査対応済みのレポートを生成できるため、規制上の義務を履行するために必要な手作業の負担を軽減できます。
利用状況レポート
集計された利用データやジョブの活動状況は、より迅速なサポートの提供、皆様が実際に必要とする機能の開発、そして皆様に最も影響の大きい問題の解決に役立っています。
パッケージのCSVエクスポート
パッケージレベルのデータをCSV形式で直接エクスポートできるようになりました。これにより、チームはオフラインで分析結果を確認したり、結果を他のレポートツールに取り込んだり、プラットフォーム外のステークホルダーとパッケージレベルの詳細情報を共有したりすることが、より容易になります。
Container スキャンと、ハッシュ値によるバイナリパッケージのスキップ
より高度なスキャンロジックにより、以前に分析済みのコンテナレイヤーやバイナリパッケージをハッシュ値で識別し、その後のジョブではそれらをスキップするようになりました。これにより、冗長な分析が削減され、大規模で頻繁に再構築されるイメージ全体のスキャン時間が短縮されます。
JFrogContainer （イベントベース）
JFrogコンテナリポジトリ向けのイベントベースのWebhookは、新しいイメージがプッシュされると自動的に分析をトリガーするため、手動やスケジュールされたジョブを必要とせずに、スキャン結果を常に最新の状態に保つことができます。
変化し続ける脅威の状況に対応する、より強力なプラットフォーム
MetaDefender Software Supply Chain .0.0 は、ソフトウェアライフサイクルのあらゆる段階を保護するための包括的なプラットフォームです。一新されたインターフェース、より高度なリスク分析、自動化機能の拡充、そしてより充実したコンプライアンスレポート機能の組み合わせは、脅威環境の複雑化が進んでいること、そしてそれに対処するためにセキュリティチームに寄せられる期待が高まっていることを反映しています。
ドキュメント全体をご覧いただき、これらの更新がお客様のワークフローをどのようにサポートできるか、さらに詳しくご確認ください。
詳細はこちら：
