本文の内容は、2024年5月7日に ERIC CARTER が投稿したブログ（https://sysdig.com/blog/accelerating-appsec-with-mend-io-and-sysdig/)を元に日本語に翻訳・再構成した内容となっております。
本日、RSA Conference 2024 で、 Mend.io と Sysdig は、開発者、DevOps、セキュリティ チームが開発からデプロイメントまでセキュアなソフトウェアデリバリーを加速できるよう支援する共同ソリューションを発表しました。この統合は、Sysdig SecureとMend Containerの間で、ランタイムインサイトとアプリケーション所有者のコンテキストをやり取りすることで、開発環境と本番環境にわたって、エンド・ツー・エンドでリスクベースで優れた脆弱性に対する優先順位付けと修復を提供するものです。
組織は、コンテナや Kubernetes などのクラウドネイティブ サービスの使用を増やすにつれて、検出される多数のセキュリティ問題への対応に苦労しています。 Mend.io と Sysdig は共に、限られた時間とリソースに苦戦している組織に、実際のリスクの修復を目標とするより効果的な方法を提供します。実行時に検出されたリスクに関する洞察を提供することで、セキュリティチームはより自信を持って予防および防御できるようになります。
増大するワークロードの保護という課題
Gartner は、2025 年までに大企業の 45% がソフトウェア サプライ チェーンに対する攻撃を経験すると予測しています。常に脅威アクターは、標的組織のネットワークに侵入するために脆弱性を侵入させ、悪用する方法を探しています。コンテナの利用が拡大するにつれ、コンテナは悪意のあるコードの理想的なデリバリー手段となっています。
新たに発見される脆弱性の量は年々増加し続けています。実際、共通脆弱性およびエクスポージャー (CVE) の総数は2024 年に 25% 増加すると予測されています。新しい脆弱性の終わりのない流れは、開発者とセキュリティチームを同様に圧倒させます。チームは、ノイズをフィルタリングして、ソフトウェアイノベーションを安全に提供するという最終目標を達成するより良い方法を必要としています。
Mend.io と Sysdig によるアプリケーションセキュリティ管理
Sysdig と Mend.io は、際限なくソフトウェアの脆弱性を追い求めるフラストレーションに対処するために協力しました。
- Mend.io には、グローバル組織が世界クラスの AppSec プログラムを構築するのを支援してきた 10 年以上の経験があります。 Mend Container は、重大なセキュリティ脆弱性を特定して優先順位を付け、実用的な修復提案と、オープンソースライブラリと依存関係の全体像を提供します。
- Sysdig は、ランタイムで何が起こっているかを深く理解します。 Falco オープンソースの作成者である Sysdig は、包括的なランタイム セキュリティを使用して、異常な振る舞い、潜在的なセキュリティ脅威、コンプライアンス違反をリアルタイムで可視化する先駆者です。
Sysdig は、ランタイムの視点を通じてコンテナをプロファイリングし、使用されているソフトウェア・パッケージと使用されていないソフトウェア・パッケージを特定します。Mend.ioは、このような洞察により、開発者が深刻度、悪用可能性、到達可能性、およびランタイムにおけるエクスポージャーに基づいて、脆弱性と真のリスクの修復を迅速に目標設定することを可能にします。
仕組み: Mend.io と Sysdig の統合
Mend Container は、Mend SCA および Sysdig Runtime Insights API の両方と統合すると、ソフトウェア パッケージのランタイム コンテキストを Mend SCA 製品およびコンテナのスキャン結果に組み込みます。ランタイムコンテキストのビューを提供することにより、開発者とセキュリティチームは本番環境でのアプリケーションのデプロイメントと動作を確認し、望ましい修復の優先順位とスコアを設定できます。
Mend.io は CVSS スコアを超えて、チームのリスク計算を支援します。到達可能性や悪用可能性、そして実行時の使用状況などの側面を分析することで、理論的なリスクを超えて、アプリケーションのコンテキストにおけるリスクを具体的に理解できるようになります。
さらに、Mend Container は、セキュリティ チームが脆弱なパッケージに関連するリポジトリとアプリケーションの所有権を特定するのに役立つ、アプリケーションの所有権に関する洞察を提供できます。これらの洞察により、チーム全体での修復プロセスの自動化と加速が可能になります。
コードからクラウドまでをセキュアにする
本番前と本番後の両方で、ソフトウェアのライフサイクル全体にわたって潜在的な脅威がさまざまな形をとるため、組織はアプリケーションをさまざまな形式のリスクから保護する方法を必要としています。 Mend.io と Sysdig は、ユーザーが「シフト レフト」と「シールド ライト」の両方のセキュリティ戦略を活用できるように支援します。
本番環境で発生する可能性のある未知の脅威をすべて防御することは不可能であるため、最高の AppSec プログラムだけでは十分ではありません。ここで、Sysdig のランタイム セキュリティは、コンテナとクラウド全体にわたる脅威をリアルタイムで検出する上で重要な役割を果たします。 「シールド ライト」は、セキュリティインシデントを防ぐための運用慣行と、イベント発生時に検出して対応するためのセキュリティ モニタリングと動作分析に焦点を当てています。
Sysdig と Mend.io を使用すると、セキュリティ チームはセキュリティ体制を強化して攻撃を事前に防止し、アクティブなリスクを継続的に監視してクラウド環境とアプリケーションをセキュアに保つことができます。
Mend.io と Sysdig でワールドクラスのセキュリティプログラムを構築
組織がクラウド アプリケーションのデリバリーを加速するにつれて、ソフトウェア サプライ チェーン全体から運用環境までエンドツーエンドのセキュリティを確保することが成功の鍵となります。私たちは、Mend.io と Sysdig の共同のお客様が対応を迅速化し、脆弱性修復を合理化し、高効率で自動化されたセキュリティ ワークフローを推進できると確信しています。 Mend.io の AppSec 専門知識と Sysdig のクラウドネイティブ アプリケーション保護により、開発者チームとセキュリティ チームはより迅速に行動し、イノベーションに集中できるようになります。
追加リソースにアクセスし、共同ソリューションの詳細については、Mend.io 統合ページにアクセスしてください。