このブログは「Facets of SAST: Rule Sets or Architecture Verification – Which is Enough?」を翻訳・一部加筆したものです。
ここでは、静的アプリケーション・セキュリティ・テスト（SAST）の様々な側面について深く掘り下げていきます。特に、ソフトウェアコードの強化における CERT や CWE のようなルールセットの効率性に焦点を当てています。また、アーキテクチャの検証は、SAST プロセスに不可欠な部分なのか、という疑問についても取り上げます。
静的アプリケーション・セキュリティ・テスト（SAST）は、ソフトウェア開発プロセスの重要な部分です。SASTツールは、開発の早期の段階で潜在的なセキュリティ脆弱性を特定し、修正するように設計されています。ソースコードの解析であれ、コンパイルされたバージョンの解析であれ、SASTはコーディングエラー、安全でない手法、一般的なセキュリティ上の欠陥を発見します。
サイバー脅威の世界が進化し続ける中、ソフトウェア開発ライフサイクルにおけるセキュリティの必要性が高まっています。SASTは、ソフトウェアがデプロイされる前に脆弱性を検出することで、悪用されるリスクを低減し、セキュリティに対するプロアクティブなアプローチを提供します。
SASTをソフトウェア開発プロセスに組み込むことには、いくつか利点があります。ソフトウェアの全体的なセキュリティが向上するだけでなく、セキュリティの欠陥を早期に発見することで、時間とリソースを節約できます。これにより、以降の工程でよりコストのかかる修正が必要となるリスクを減らせます。さらに、コーディングのベストプラクティスとセキュリティ標準の遵守を保証し、業界のガイドラインへの準拠を確実にします。
SASTの側面について論じる際、CERT（Computer Emergency Response Team）のセキュアコーディング標準とCWE（Common Weakness Enumeration）は、セキュアなコードを作成するための重要な要素です。これらのフレームワークは、開発者にコードを脆弱性から守るためのツールを提供します。
カーネギーメロン大学のCERTコーディネーション・センターは、CERTセキュア・コーディング・スタンダードを開発しました。これらのガイドラインは、一般的なセキュリティ上の欠陥を防ぐのに役立ち、さまざまなプログラミング言語や入力検証、メモリ管理、エラー処理などの分野をカバーしています。これらの標準に最初から従うことで、安全なコードの開発が確実になります。
一方、CWEはソフトウェアコミュニティによって開発された、既知のソフトウェアの弱点と脆弱性の包括的なリストです。これにより、ソフトウェア開発者はコード内の潜在的な弱点を特定・理解し、適切な緩和策を講じることができます。
CERTが安全なコーディングのための事前対策を提供する一方で、CWEは開発中に脆弱性を特定し、対処するための参考資料となります。SASTのこれらの側面は共に、堅牢で安全なソフトウェア・アプリケーションの作成に貢献します。
世界的に認知されたルールセットとして、CERTとCWEは安全なコーディングのためのガイドラインを提供しています。これらのガイドラインの目的は、ソフトウェアアプリケーションにおける一般的な脆弱性や弱点を特定し、修正することです。しかし、SASTのこれらの重要な側面があっても、さらなるアーキテクチャ検証の必要性がなくなるわけではありません。
CERTとCWEは、一般的な脆弱性に対する具体的なルールと推奨事項を提供し、セキュリティ問題を広範にカバーしています。しかし、新たな脆弱性が出現し続ける中、これらのルールセットが包括的な解決策を提供しない可能性もあります。さらに、これらのルールは、個々のソフトウェア・アプリケーションに固有のアーキテクチャの側面や潜在的な設計上の欠陥を考慮していません。
そこで、手作業によるアーキテクチャ検証と自動化されたアーキテクチャ検証が必要となります。アーキテクチャ検証では、ソフトウェアアプリケーションの全体的な設計と構造を精査します。潜在的な攻撃に対抗できる堅牢なアーキテクチャを確保するために、アプリケーション内の相互依存関係、データフロー、および相互作用パターンを調べます。
アーキテクチャ検証は、ソースコードが検証されたアーキテクチャに準拠していることを保証するため、アーキテクチャ検証チェックを補完します。この自動化されたチェックにより、開発者の貴重な時間が、アーキテクチャへの適合性を確認するコードの手作業によるレビューから解放されます。この時間を、スレッド・モデリングやアーキテクチャ検証など、人間が行うのが最適な活動に集中させることができます。
CERTとCWEからの洞察とアーキテクチャの検証を組み合わせることで、組織はセキュリティ態勢 (Security Posture) を強化することができます。この包括的なアプローチは、ルールセットの隙間をすり抜ける可能性のある脆弱性を特定し、開発者が潜在的なリスクに積極的に対処し、ソフトウェアアプリケーションの全体的なセキュリティを強化することを可能にします。
CWEとCERTチェッカーを統合したコードセキュリティのための完全なパッケージを提供する、包括的な静的解析ソリューション Axivion Suiteについて、そのアーキテクチャ検証および静的コード解析の詳細はそれぞれのリンク先にてご確認ください。
製品の説明をご希望の方は、こちらのフォームよりご連絡ください。