Capy、SBOMを活用した脆弱性管理体制を構築　ITmedia Enterpriseで実運用事例を紹介

～grasysの支援のもと、SBOM生成から脆弱性の影響評価・対応判断までを継続的な運用プロセスに～

Capy株式会社（本社：東京都千代田区、代表取締役社長：岡田 満雄、以下「Capy」）は、株式会社grasys（以下「grasys」）の支援のもと、SBOM（Software Bill of Materials：ソフトウェア部品表）を活用した脆弱性管理体制を構築しました。

本取り組みでは、不正アクセス対策サービス「Capy CAPTCHA」を支えるインフラにおいて、ソフトウェアの構成要素をSBOMとして定期的に可視化し、最新の脆弱性情報と照合します。検出された脆弱性については、grasysがCapyのシステムへの影響範囲や対応優先度を一次評価し、その結果をもとにCapyが対応の要否を判断します。

本取り組みの詳細は、ITmedia Enterpriseのタイアップ記事でも紹介されています。記事では、SBOM導入以前の課題から、実際の技術構成、本番環境への影響を抑えたスキャン方法、脆弱性の優先度評価、専門パートナーとの役割分担まで取り上げられています。

脆弱性管理体制を強化した背景

Capyは、金融、EC、メディアなど幅広い業種の企業に「Capy CAPTCHA」を提供しています。

CAPTCHAは、Webサービスへのアクセスが人間によるものかbotによるものかを判別する技術です。「Capy CAPTCHA」は、Webサービスのログインや会員登録などの前段階で利用されています。

こうしたサービスを安定して提供するためには、利用するOSやミドルウェア、ライブラリなどに発見される脆弱性を継続的に把握し、適切に対応することが重要です。

従来、Capyでは外部ベンダーによるセキュリティ診断に加え、ニュースやSNSなどから脆弱性情報を収集し、自社環境への影響を個別に確認していました。

一方、ソフトウェアは多数のライブラリやミドルウェア、その依存関係によって構成されています。脆弱性が公開されるたびに、対象となるコンポーネントやバージョン、自社環境への影響を手作業で確認する必要があり、影響確認だけで長い場合には2日程度を要するケースもありました。

こうした課題から、脆弱性情報を継続的に把握し、自社システムへの影響と対応の要否をより迅速に判断できる体制の構築を進めました。

SBOMを脆弱性管理の運用プロセスへ

今回構築した仕組みでは、オープンソースツール「Syft」と「Grype」を活用しています。

Syftを用いてソフトウェアの構成要素を解析し、「CycloneDX」形式のSBOMを定期的に生成します。生成したSBOMをGrypeを用いて最新の脆弱性情報と照合します。

検出された脆弱性については、grasysが影響範囲や攻撃が到達する可能性などを確認し、対応優先度を評価します。

対応優先度の評価には、脆弱性の悪用状況や攻撃の自動化可能性、資産の露出度、業務への影響度などから対応優先度を判断する「SSVC（Stakeholder-Specific Vulnerability Categorization）」の考え方を取り入れています。

grasysは、これらの情報を踏まえて評価結果とその根拠を整理し、Capyへ報告します。Capyはその情報をもとに、対応の要否を判断します。

これにより、大量の脆弱性情報を一つずつ人手で確認するのではなく、自社環境への影響を踏まえて、対応すべき脆弱性を判断できる運用体制を整えました。

本番環境への影響を抑えたスキャン設計

継続的に脆弱性を確認する上では、スキャン自体が本番サービスへ影響を与えないことも重要です。

「Capy CAPTCHA」では、導入企業のキャンペーンなどによってアクセスが急増する場合があります。過去には、脆弱性スキャンとアクセス集中が重なり、インフラのリソースが逼迫したこともありました。

そのため今回の仕組みでは、稼働中のサーバーを直接スキャンするのではなく、複製したディスクをスキャン専用のインスタンスで検査する構成を採用しています。

本番環境とは分離した環境で検査することで、稼働中のサービスへの負荷を抑えながら、継続的な脆弱性確認を行える構成としました。

脆弱性の影響判断を効率化

SBOMの活用により、脆弱性情報が公開された際の情報収集や影響確認のプロセスを効率化しました。

従来は、利用しているミドルウェアやライブラリ、その依存関係やバージョン情報などを個別に確認する必要がありました。

現在は、SBOMと脆弱性情報を照合し、grasysによる一次評価を経た情報をもとに、Capyが対応の要否を判断しています。

これにより、脆弱性が自社環境に影響するかを確認するための作業負担を抑え、より迅速な対応判断につなげています。

ITmedia Enterpriseで取り組みの詳細を紹介

ITmedia Enterpriseのタイアップ記事では、SBOM導入以前にCapyが抱えていた課題から、今回採用した技術構成、脆弱性の優先度評価、本番環境への影響を抑える設計、grasysとの役割分担まで詳しく紹介されています。

また、Capy 技術顧問の松本悦宜が、SBOMを導入するだけでなく、自社システムを理解する専門パートナーと役割分担しながら継続的に運用する重要性について解説しています。

■記事タイトル
 「“人海戦術に頼らない”脆弱性管理の現実解 専門家も評価した『運用のかかりつけ医』―SBOM運用を『形だけ』で終わらせない」

掲載媒体：ITmedia Enterprise
 記事URL：https://www.itmedia.co.jp/enterprise/articles/2610/27/news004.html

今後の展望

Capyは今後も、SBOMを活用した脆弱性管理体制を継続的に改善していきます。

脆弱性管理を一時的な診断にとどめず、日常的なインフラ運用に組み込むことで、脆弱性への迅速な対応判断と安定したサービス提供の両立を目指します。

また、セキュリティサービスを提供する企業として、自社で実践するセキュリティ対策についても発信し、継続的な脆弱性管理に取り組む企業の参考となる情報を提供していきます。

Capy株式会社について

会社名：Capy株式会社

代表者：代表取締役社長 岡田 満雄
本社所在地：〒100-0005 東京都千代田区丸の内2丁目2-1 岸本ビルヂング6階

設立：2017年8月
事業内容：不正ログイン対策ツール「Capyキャプチャ」の開発・提供、生体認証ソリューションの開発・提供、セキュリティコンサルティング
公式サイト：https://corp.capy.me/ja
YouTube：https://www.youtube.com/channel/UCm_0cmxYAkxez5lCScqV7zg

本リリースに関するお問い合わせ先

Capy株式会社 広報担当
Email：[e-mail]