TOPクラウド > IBM Cloud Continuous Delivery、...

クラウド

IBM Cloud Continuous Delivery、コードのリスク分析機能を追加

2020/11/06

Paul Krill InfoWorld

 Code Risk Analyzerの開発にあたって、IBMはまず、一般的なIT組織がアプリケーションの開発とデプロイに使用したり、Kubernetesインフラやクラウドサービスのプロビジョニングと設定に使用したりするソースアーティファクトの洗い出しと分類を行った。従来のクラウドソリューションでは、アプリケーションのマニフェストの脆弱性スキャンなど、ソースコードの対象範囲全体にわたるセキュリティコントロールに限界がある。すべてのアーティファクトに対してセキュリティやコンプライアンスを評価できるよう、ソリューションを包括的にデザインすることは不可欠だとIBMは言う。

 Code Risk Analyzerは、Gitベースのソースコードリポジトリのコード(Python、Node.js、Java)に対するスキャンのほか、脆弱性やライセンス管理のチェック、デプロイ設定に対するCIS(Center for Internet Security)コンプライアンスチェックを行い、すべての依存関係とソースを対象とした「BoM(Bill of Materials)」を作成する。また、Cloud Object Storeなどのクラウドサービスのプロビジョニングや設定で使うTerraformファイルに関しても、セキュリティの不備をチェックする。

 IBMは、Code Risk Analyzerの開発で目指した点として、米国立標準技術研究所(NIST)やCISの標準をセキュリティコントロールのよりどころにすること、新しいセキュリティプラットフォームや手法をユーザーがスムーズに取り入れられるようにすること、開発者がセキュリティの定義やポリシーについて理解していなくても済むよう、アクションに生かせるフィードバックを提供することなどを挙げている。

(了)

翻訳:内山卓則=ニューズフロント
記事原文(英語)はこちら

↑ページ先頭へ