開発現場で増すOSS活用、無料の脆弱性スキャンはどれだけ負荷を軽減できるのか

　2021年末、オープンソースソフトウェア（OSS）のロギングライブラリである「Apache Log4j」の脆弱性を悪用するサイバー攻撃が話題になったことは記憶に新しい。このトピックによって、自社が開発に関わる部分だけではなく、ソフトウェアサプライチェーン全体へのリスクと捉え、いち早く脆弱性に対処できる体制を整えることの重要性が再認識されることになった。

　注目したいのがOSSの脆弱性スキャンだ。クラウドから無料で利用できるツールもあり、手軽な検知手段として期待されている。そこで実際のApache Log4jの脆弱性に未対応と対応済のそれぞれのライブラリを用いて、脆弱性を検知できるか検証を行った。

　結果については資料で確認してほしいが、意図していなかった脆弱性に対しても早期に認識できるといった、副次的なメリットも確認できたという。本資料では、スキャン手順も画面などを交えて分かりやすく紹介されているだけでなく、無料クラウド版のURLも公開されているので、実際に試してみてはいかがだろう。