オープンソースソフトウェア（OSS）は、アプリケーション開発に革命をもたらしました。事前に構築され、十分にテストされたOSSのライブラリやフレームワークを活用することで、開発者はライフサイクルを加速し、機能を充実させることができる。この協力的な精神はイノベーションを促進しますが、同時にリスクももたらします。
あなたのコードベースに統合された外部依存関係は、本質的に他の誰かの仕事の一部です。多くのOSSプロジェクトはセキュリティを優先していますが、それでも脆弱性が現れる可能性はあります。さらに、バージョン管理と使用されている特定のコードの理解は、サードパーティのコードが増えるにつれて、ますます難しくなります。そこで、Software 部品表（Software ：Software Bills of Materials）の出番となる。
OPSWAT SBOMは包括的なインベントリとして機能し、パッケージ名、バージョン、依存関係を含むすべてのソフトウェアコンポーネントの詳細を示す。これは、プロジェクトの詳細な部品表であり、中心的な参照ポイントを提供すると考えてください。しかし、ライセンスの検出がなければ、重要な要素が欠けてしまう。
ライセンス検出を理解する
ライセンス検出は、SBOM内の各オープンソースコンポーネントに関連するライセンスを分析します。単一のコードベースには、さまざまなライセンスを持つ多数のオープンソースコンポーネントが含まれる可能性があるため、これは非常に重要です。したがって、正確なライセンス検出は、法的な落とし穴を回避し、健全なソフトウェアサプライチェーンを維持するために不可欠です。
OPSWAT SBOMは、SBOM内の各オープンソースコンポーネントを綿密に分析する強力なライセンス検出機能を備えています。ライセンスの種類 (例: GPL、MIT) にとどまらず、この機能は、特定のバージョンや、プロジェクトのライセンス義務に影響を与える可能性のある関連条項など、オープンソースの依存関係をより詳細に表示します。
OPSWAT SBOMのライセンス検出の主な特徴
ライセンスには、コードのオープンソースを強制する条項がある場合があります。会社の価値を脅かさないライセンスを使用していることを確認することは非常に重要です。ライセンススキャンを行うことで、監査時のSBOM要求に備えることができる。
ライセンスの自動検出
当社のSBOMは、高度なアルゴリズムを活用してサードパーティのライブラリコンポーネントをスキャンし、含まれる各コンポーネントに適用されるライセンスを正確に識別します。包括的で直感的なダッシュボードにより、OPSWAT SBOMは、どのコンポーネントがコピーレフトのポリシーに違反しているかを簡単に表示し、企業のコンプライアンス要件に対応します。
未承認ライセンス・ブロック
単に検出するだけでなく、私たちのSBOMモジュールは、プロジェクトでの未承認ライセンスの使用をブロックすることができます。承認されたライセンスのリストを定義すると、モジュールは、指定されたライセンスポリシーに準拠していないライブラリのインクルードを阻止します。
ブロックされたライセンスのサンプル
OSSセキュリティ管理におけるライセンス検出
不要なライセンスの結果
GNU GPLのような制限的な、あるいは "コピーレフト "ライセンスのオープンソースパッケージを使用すると、ライセンス条項に従わない場合、組織が法的責任にさらされる可能性があります。たとえば、GPLは、GPLライセンスのコンポーネントを使う場合、アプリケーション全体をオープンソースにすることを要求します。
ライセンス検出により、OPSWAT SBOM は、プロジェクトで使用されるオープンソースコンポーネントに関連するライセンスを識別します。SBOMに包括的なライセンス検出機能を実装することで、組織は以下のようなリスクを大幅に軽減することができます：
- 著作権侵害の可能性
- 法的責任
- コンプライアンスの問題
ライセンス検出を DevSecOps 戦略に組み込む
ライセンスの検出は、単なる法令遵守の問題ではなく、ソフトウェアのサプライチェーンを保護するための基本的な側面である。包括的なセキュリティを実現するために、チームはマルウェアや脆弱性などの脅威への対処にも注力する必要があります。包括的な DevSecOps アプローチを採用し、DevSecOps 戦略の一部としてライセンス検出を組み込むことで、組織はアプリケーションの整合性を大幅に強化し、サプライチェーン攻撃に対する強固な防御を確保することができます。
これらの脅威を管理するために MetaDefender Software Supply Chainは、自動ライセンス検出を含む包括的なソリューションを提供します。MetaDefender、開発チームはサプライチェーン内の潜在的なリスクに対する包括的な可視性を得ることができます。このプラットフォームは、マルウェア、脆弱性、ハードコードされた秘密情報（認証情報、パスワード、API、トークン、キーなど）を含む脅威を特定し、軽減するための強力な機能を提供します。
ソフトウェアパッケージ、コンテナイメージ、およびそれらの依存関係をスキャンすることで、潜在的な脅威がアプリケーションに影響を与え、利害関係者、顧客、パートナーに影響を及ぼす前に、プロアクティブに発見して対処することができます。この多層的なアプローチにより、チームは安全でコンプライアンスに準拠したソフトウェア・エコシステムを維持することができます。
おわりに
ライセンスの検出は、オープンソースのセキュリティを管理するための SBOM の不可欠なコンポーネントです。 OPSWAT SBOM は、自動スキャン、ライセンス情報の明確な視覚化、および承認されたライセンスを強制する機能を提供することで、管理能力を強化します。この包括的なアプローチにより、コンプライアンスを確保し、リスクを低減し、ソフトウェアのサプライチェーンを強化します。
OPSWAT SBOMの開発と改良を続ける中で、さらなる進化にご期待ください。私たちは、最も包括的でユーザーフレンドリーなSBOM体験を提供することに専念しています。
