組織のデータジャーニーを守る：ソフトウェアサプライチェーンリスクへの対策

世界中のあらゆる規模・業種の企業が、何らかの形でITトランスフォーメーションを進行させています。パンデミックの影響により、企業の内外におけるビジネス運営のデジタル化は3〜4年加速しました。COVID-19が大きな触媒となったことは確かですが、経営リーダーたちはテクノロジーをビジネス全体に組み込む戦略的重要性を認識し始めています。

複雑化するソフトウェアサプライチェーン

多くの企業にとって、トランスフォーメーションは社内導入型のサードパーティ製パッケージソフトウェア、機密データをホストするSaaSアプリケーション、ソフトウェア構築に使用されるオープンソースのサードパーティライブラリの採用によって推進されます。最新テクノロジーの導入は必要な進歩の証ですが、こうしたイノベーションに伴う潜在的なセキュリティリスクを見過ごしてはなりません。ソフトウェアサプライチェーンの普及は、無防備な企業を新たな複雑な形でさらし、従来のセキュリティ防御の限界を押し広げています。

脆弱なソフトウェアサプライチェーンは米国政府の注目も集め、この増大するサイバーセキュリティリスクの緊急性を裏付けています。5月、政府指導者たちはサードパーティ依存関係の拡大するエコシステムに潜む潜在的脅威にプロアクティブに対処するための第一歩を踏み出しました。大統領令14028は、「アメリカ人の生活を支える重要な機関を守るため、大胆な変化と多大な投資を行う」ことを政府に求めています。この大統領令は特に「クリティカルソフトウェアのセキュリティ」を強調しており、政府はこれが「透明性に欠け、ソフトウェアの耐攻撃性への十分な焦点がなく、悪意あるアクターによる改ざんを防ぐ適切な制御がない」と指摘しています。

データ中心の防御戦略へ

米国立標準技術研究所（NIST）はクリティカルソフトウェア保護のためのセキュリティ対策を示し、システムやネットワークだけでなく「データおよびデータへのすべての経路を守る」防御に鋭く焦点を当てました。このアプローチは、機密データに直接アクセスするサードパーティ製ソフトウェアアプリケーションやライブラリという難解な問題を認識したものです。ここ数か月の成功した攻撃が示す通り、ベンダーのベンダーや自社アプリケーション・インターフェースを支えるサードパーティソフトウェアを考慮に入れなければ、ソフトウェアサプライチェーン攻撃の脅威を真に軽減することはできません。

複雑なエコシステム

従来、企業は直近のベンダー群と依存するクリティカルソフトウェアがもたらすリスクに注力してきました。しかし、ITトランスフォーメーションが従来のネットワーク境界を押し広げ、レガシー制御の効果を薄れさせている今、その姿勢では不十分です。

自社に適切なセキュリティ制御があっても、ソフトウェアサプライチェーン上のベンダーが同様とは限りません。セキュリティ戦略を、パートナーやベンダーを含むエコシステムのすべてを信頼することに依存させることはできません。拡大するソフトウェアサプライチェーンとモダンアプリケーションの複雑さにより、脆弱性はより高い速度で導入されます。ソフトウェア開発ライフサイクル内の攻撃の拡大規模に対処するには、nthパーティコードを含むサプライチェーンのすべての部分を脅威モデルに組み込む必要があります。

モダンアプリケーションは、API、マイクロサービス、サーバーレス関数の複雑なエコシステムによって駆動されます。より短命なワークロードと分散アーキテクチャの下では、プリプロダクション段階のソフトウェア分析に「銀の弾丸」は存在しません。最も厳格なソフトウェア開発ライフサイクル（SDLC）であっても、開発の複雑さゆえに脆弱性は混入します。だからこそ、「データへのすべての経路を守る」ことを組織の根本戦略としなければなりません。

問題に正面から取り組む

これまでのソフトウェアサプライチェーン攻撃が証明する通り、悪意あるアクターはサードパーティソフトウェア接続の脆弱性を悪用し、ソフトウェアサプライチェーン内をステルス的に移動、ラテラルムーブメントを経て最終的にターゲットのデータへアクセスします。

Webアプリケーションセキュリティは進化し、サードパーティコードが望ましくないアクションを実行していないかなど、実行時のアプリケーション振る舞いの特定に注力すべきです。予期せぬ振る舞いをブロックすることでのみ、新種の攻撃振る舞いを防止できます。これは、エンタープライズITが多様なモダンアプリケーション環境へ進化する中で極めて重要になります。

アプリケーションスキャンツールは有用ですが、アプリケーションに埋め込まれた侵害済みサードパーティソフトウェアを特定することは困難です。パリミターツールは、署名が公開されるまで、アプリケーションからの一見無害なトラフィックに欺かれます。また、多くの企業がエンドポイントセキュリティを導入していますが、このテクノロジーはアプリケーション攻撃に対して盲目であることが多く、攻撃の初期段階ではユーザーデバイスに触れることが稀だからです。

代わりに企業は、アプリケーション内部からリアルタイムで攻撃を検知・防止する「ランタイムアプリケーション自己保護（RASP）」を導入すべきです。この技術はNIST SP 800-53 Revision 5で推奨されており、攻撃を正確なコード行まで特定し、脆弱性の悪用を自動的に停止することで、組織が自社のスケジュールで脆弱性をパッチ適用するための時間を稼ぎます。

イノベーションを実現し競争優位を維持するには、組織は業務をモダナイズする必要があります。その多くはサードパーティアプリケーションとサービスに依存します。しかし、ソフトウェアおよびアプリケーションの脆弱性は根本的なセキュリティ課題であり、企業は注目すべきです。特に、デジタルトランスフォーメーションを支えるAPIの防御に重点を置くべきです。

攻撃者が巧妙に防御を回避し、基盤データへアクセスしようとする中、適切な制御を配置し、適切なツールを活用してデータとそのすべての経路を真に保護することが不可欠です。

Peter Klimek氏はImpervaのテクノロジーディレクター、CTOオフィス所属。