CNCFとKusariがクラウドネイティブプロジェクトのソフトウェアサプライチェーンセキュリティ強化で提携

クラウドネイティブコンピューティング財団（CNCF）とKusariは、クラウドネイティブプロジェクト全体におけるソフトウェアサプライチェーンのセキュリティを強化する新たな協力関係を発表しました。これにより、CNCFがホストするプロジェクトに対して、KusariのAI搭載セキュリティツールの無償アクセスが提供されます。この取り組みは、深いセキュリティ専門知識を必要とせず、メンテナーやコントリビューターがますます複雑化する依存関係エコシステムをより良く理解し、管理、そして保護することを支援するために設計されています。 このパートナーシップの中心は、Kusari InspectorへのアクセスをCNCFプロジェクトに提供することにあります。このツールは、AI支援コードレビューと依存関係分析を組み合わせ、直接の依存関係だけでなく間接的な（トランジティブな）依存関係全体にわたるリスクを特定します。現代のアプリケーションはますます数百、数千もの相互接続されたコンポーネントに依存しており、AI生成コードの普及が進むにつれて、完全なソフトウェアサプライチェーンへの可視性は、より困難かつより重要になっています。 この発表は、クラウドネイティブエコシステムが直面する拡大する課題を浮き彫りにしています。ソフトウェアサプライチェーンは規模と複雑さの両方で拡大しており、新たな攻撃面や運用リスクをもたらしています。多くの依存関係はトランジティブな関係を通じて自動的に取得されるため、メンテナーがソフトウェアに何が含まれているかを完全に理解することは困難です。同時に、攻撃者は依存関係の混乱（dependency confusion）、悪意のあるパッケージのインジェクション、脆弱なプロヴェナンス管理の悪用などの手法を通じて、これらのサプライチェーンを標的にするようになっています。 リソースが限られた小規模チームによって維持されることが多いオープンソースプロジェクトにおいて、この複雑さは断片化されたツールと限られた可視性によってさらに悪化しています。複数のセキュリティツールが使用されている場合でも、チームはサプライチェーン全体におけるリスクの統一された文脈付きのビューを欠いていることが多く、脆弱性の優先順位付けと効果的な修正が困難になっています。 Kusari-CNCFイニシアチブの重要な焦点は、セキュリティを開発者ワークフローに直接組み込むことで、「左側」へのシフトを実現することです。Kusari Inspectorは、プルリクエストに対してインラインフィードバックを提供し、依存関係をマッピングし、プロヴェナンス（出所）とアテスタション（証明）のギャップを特定し、開発ライフサイクルの初期段階でリスクを可視化します。 このアプローチは、リアクティブなセキュリティプロセスからプロアクティブでワークフローに統合されたセキュリティプラクティスへの、より広範な業界の移行を反映しています。問題を早期に検出し、文脈に応じた洞察を提供することで、このプラットフォームはメンテナーの負担を軽減し、手動調査を最小限に抑え、より迅速で安全なソフトウェア配信を可能にすることを目指しています。また、実行可能なインテリジェンスを開発プロセスに直接組み込むことで、開発者とセキュリティチームの間のギャップを埋めることにも役立ちます。 この取り組みは、Supply-chain Levels for Software Artifacts (SLSA) や GUAC、in-toto、OpenVEX といったプロジェクトやツールに基づいており、これらはすでに Kusari Inspector を採用しています。これらのプロジェクトは、現代のセキュリティ戦略における重要な柱である、ソフトウェアサプライチェーン全体の出自情報の改善、透明性の向上、そして信頼性の確保に焦点を当てています。 これらの既存の取り組みと統合することで、このコラボレーションはサプライチェーンセキュリティに対するより一貫性がありアクセスしやすいアプローチを提供することを目指しており、プロジェクトが断片化されたツール群から、連携したエコシステム全体の可視性とガバナンスへと移行できるよう支援します。 より広範な業界動向において、このコラボレーションはソフトウェアサプライチェーンセキュリティの向上に注力する他の組織による類似した取り組みと整合していますが、アプローチや統合のレベルは異なります。例えば、Snyk と GitHub（GitHub Advanced Security を通じて）は、開発者ファーストのセキュリティツールリングを強調し、脆弱性スキャン、依存関係の洞察、コード分析を直接開発者のワークフローに組み込んでいます。これらのプラットフォームは広く採用されており既知の脆弱性に関する強力な可視性を提供しますが、Kusari などの取り組みが対象とする出自情報、アテスタンス（証明）、信頼保証の全ライフサイクルというよりは、検出と修正に重点を置いている傾向があります。 エコシステムレベルでは、OpenSSFや前述のSLSAのような取り組みは、より標準主導のアプローチを採用し、ビルドの整合性、出所（プロヴェナンス）、およびアーティファクト検証に関するベストプラクティスを定義しています。同様に、Sigstoreのようなツールは、アーティファクトの信頼性を確保するために暗号署名と検証に焦点を当てています。これらと比較すると、CNCF-Kusariのイニシアチブは、AI支援による洞察とサプライチェーンの可視性を組み合わせ、開発者のワークフローに直接組み込むことで、より統合されアクセスしやすいレイヤーとして位置づけています。これは業界における顕著なトレンドを反映しています：断片化された定点のセキュリティツールから、強力なガバナンスと信頼性を保証しつつ、使いやすさとバランスを取った統一された継続的なサプライチェーンセキュリティプラットフォームへの移行です。 著者について Craig Risi Craig Risiは多才な人物ですが、その才能の使い方がわかりません。世界を変えに行くことも可能ですが、ソフトウェアを作ることを好みます。彼はソフトウェアデザインへの情熱を持っていますが、それ以上に技術的に多様で絶えず進化していくテクノロジーの世界において、ソフトウェアの品質とシステムの設計に情熱を注いでいます。 クレイグはまた、『Quality By Design: Designing Quality Software Systems（品質による設計：高品質なソフトウェアシステムの設計）』という書籍の著者であり、自身のブログサイトや世界中のさまざまなテックサイトにて定期的に記事を投稿しています。 ソフトウェアいじっていないときは、文章を書くこと、ボードゲームをデザインすること、あるいは何の理由もなく長距離走をしている姿をよく見かけます。 Show moreShow less

CNCFとKusariがクラウドネイティブプロジェクトのソフトウェアサプライチェーンセキュリティ強化で提携

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト