Application Security
リスクと技術的負債の排除
キュー管理が重要な理由 #
管理されていない脆弱性バックログは、リスク、ノイズ、古い検出結果、確認済みの作業項目を生み出します。 チームは一部の CVSS 解決に修復能力を費やす一方で、ロングテールのレガシーライブラリの増殖が技術的負債を蓄積させます。
「脆弱性ステータスの遷移と組織全体のライブラリインベントリのガバナンスを持つことで、圧倒的なリストが実行可能で追跡可能なキューに変わり、トリアージプロセスにおける負債を排除します。」
6.1 組織全体のライブラリインベントリ #
- APM → Application Security → Libraries に移動します。
- または、現在のビューから 「Libraries」 タブにピボットします。
- ここでは、インストルメント済みのアプリケーション環境全体にデプロイされた全パッケージの包括的なカタログが表示されます。
- 脆弱性の状態、CVSS、Security Risk Score、およびサービスについてライブラリを確認します。
「これにより、環境内で実行されているもの、その所有者、およびリスクレベルの全体像が得られます。また、コードベース内にまだ存在し、廃止が必要な可能性のあるレガシー | 未使用ライブラリを確認するのにも有用なビューです。」
6.2 脆弱性ステータスのライフサイクル管理 #
- APM → Application Security → Runtime Vulnerabilities に移動します。
- または、「attack」 ビュー | タブから 「Runtime Vulnerabilities」 タブにピボットします。
- 組織のリスクポリシー（リスク評価ガイドライン）に照らして脆弱性を確認します。
- 行のチェックマークを使用して、current status が「Detected」の脆弱性を1つ選択します。
- Update Status をクリックし、Ignored または Confirmed を選択します。
「これにより、ノイズや調整済みの低リスク脆弱性と、注意が必要な確認済みの作業項目を区別できます。監査に適したステータス遷移も備えています。」
6.3 コラボレーションのためのフィルタリングとエクスポート #
- Status ドロップダウンを開き、Not Vulnerable を選択します。
- 既知の CVE データがないライブラリを確認します。これは、既知の既存リスクに対して健全であることを意味します。
- Export（または同等の機能）を選択して、模擬的なエンジニアリングまたは SecOps への引き継ぎ用に共有可能なサブセットを作成します。
Note
リスクプロファイルは新しい脆弱性が発見されるたびに変化します。そのため、現時点で既知の脆弱性がないものでも、
ステータスが変わる可能性があります。したがって、すべてのアクティブなワークロードにおける
Zero Day Vulnerabilities を含むこれらの変化を追跡するために、リアルタイムのアクティブ検出を導入することが重要です。
学んだこと #
- 一括ステータス更新が脆弱性キューの負債をどのように管理するか。
- 組織全体のライブラリインベントリが単一の CVE を超えてサプライチェーンの健全性をどのように明らかにするか。
- フィルタリングとエクスポートが重複するワークフローなしにチーム間コラボレーションをどのようにサポートするか。