クラウドネイティブ セキュリティ プロバイダーの Aqua Security は、ソフトウェア サプライ チェーン攻撃を防止し、CI/CD パイプラインの整合性を確保するために、パイプライン整合性スキャンの追加を発表しました。
eBPF テクノロジーを活用した Aqua の Pipeline Integrity Scanner は、不審な動作やマルウェアをリアルタイムで検出してブロックし、コードの改ざんを防止し、ソフトウェアのビルド中に脅威に対抗します。
このソリューションにより、組織は、大規模な攻撃対象領域を生み出す最も攻撃的なソフトウェア サプライ チェーンの脅威を戦略的にブロックする自信を得ることができます。
ソフトウェア サプライ チェーン攻撃の増加と脅威の状況が絶えず変化する中、組織はセキュリティのベスト プラクティスをソフトウェア開発ライフサイクルに組み込む責任を負っています。
ソフトウェアの完全性検証はこれらのベスト プラクティスの 1 つであり、SLSA、安全なソフトウェア開発のための NIST フレームワーク、CIS ソフトウェア サプライ チェーン ベンチマークなどの主要な業界サプライ チェーン セキュリティ フレームワークの重要な要件です。
SolarWinds は、ソフトウェア構築プロセスの整合性を損なうことによる壊滅的な影響と、ソフトウェアの整合性を継続的に検証することが重要であることを実証しています。
新しい Pipeline Integrity Scanner は、最新の開発プロセスの整合性を確保し、この破壊的なソフトウェア サプライ チェーン攻撃を防止するという、業界で最も差し迫ったニーズの 1 つに対応します。
Aqua の Pipeline Integrity Scanner は、サプライ チェーン攻撃の特徴である不審な動作やマルウェアを検出します。この機能は、Aqua Nautilus 研究チームによって生成された動作シグネチャも利用して、実際のクラウドネイティブ攻撃に基づくゼロデイ脅威を検出します。
ビルド パイプラインに接続すると、パイプライン整合性スキャンにより、開発者はビルド パイプラインを監視し、ビルドの動作方法のベースラインを定義できます。チームは、ビルド パイプラインがどのように実行されているか、既知の適切な環境における典型的なネットワーク アクティビティ、ファイル アクセス パターン、プロセス アクティビティがどのようなものかを理解できます。
このソリューションは、ベースラインからの逸脱も検出します。ベースラインが確立されると、スキャナーはその状態からの逸脱を検出し、予期しないファイルの変更、疑わしい URL との通信の確立、ドロップされた悪意のある実行可能ファイルの使用などの異常や異常をチームに警告します。ビルド プロセスの整合性を確保するためです。 。
整合性スキャナーは攻撃ベクトルを最小限に抑えます。さらに、パイプライン ドリフトを継続的にスキャンすることで、CI/CD パイプラインのセキュリティ ギャップを埋めます。これにより、チームはソフトウェア構築プロセスの初期段階でコードの改ざんを防止し、開発ツールの整合性を維持できます。
保証ポリシーの策定に役立ちます。たとえば、安全な開発手法を拡張し、ソフトウェアの整合性を確保するために、不審なアクティビティの兆候を示す新しいビルドの完了を防ぐ保証ポリシーを実装できます。これにより、開発者は開発中に修正しやすい箇所に対応できるようになります。
他のソフトウェア サプライ チェーン セキュリティ ツールはコード スキャンや、ソフトウェア部品表や SBOM などのビルド アーティファクトの静的分析のみに焦点を当てているため、これはこの種の最初のソリューションです。
これらは重要ですが、そのようなサプライチェーン攻撃を検出して防止するには不十分であることが判明しています。
Aqua のパイプライン整合性スキャナーは、同社の強力なオープンソース ランタイム セキュリティおよび Linux フォレンジック センサーである Tracee を活用しています。eBPF テクノロジーは軽量な機能により、ビルド ランタイムの可視性を提供し、最小限の中断でリアルタイムの脅威を検出できます。
eBPF ベースのスキャンとオリジナル ビルドのドリフトを検出してブロックするポリシーにより、チームはソフトウェアを不正アクセスから保護し、高度なサプライ チェーン攻撃を防ぐことができます。
Aqua はこの動的機能を最初に導入しました。これは、コード スキャン、CI/CD ステータス管理、次世代 SBOM などの既存のシフトレフト機能を補完し、市場で最も包括的な保護を顧客に提供します。
ソフトウェア サプライ チェーン セキュリティ ソリューションの一部であるパイプライン整合性スキャンは、コード、すべての開発インフラストラクチャ、およびパイプライン プロセスを保護し、組織がイノベーションをより迅速かつ安全に構築および提供できるようにします。
クラウド ネイティブ アプリケーション保護プラットフォーム (CNAPP) Aqua Cloud Security Platform によって提供され、クラウドを開発者に接続し、コードに対するランタイム リスクとそれを修正できる開発者を追跡することで、運用効率を向上させます。