Timesys Vigiles - IoT・組込み Linux 向けSBOM 管理＆脆弱性通知・対策サービス

Timesys Vigiles のご紹介（動画）

SBOM による管理の必要性

IoT 機器・組込み機器へのオープンソースソフトウェア（OSS）の浸透

OSS の利活用領域は日々拡大中です。スマートデバイスやエッジと呼ばれる IoT 機器の普及にともない、組込み機器についてもより高度な処理やセキュリティ対策が必要な Linux OS のニーズが増加しています。

産業用途でも OSS 活用が広がるにつれ、開発の効率化による開発費の抑制、開発期間短縮、高い安定性・品質・透明性の確保、豊富な種類による新たな価値創出、ベンダロックインの回避といったメリットがある一方、ライセンス管理、ライフサイクル脆弱性管理、サプライチェーン管理などの新たな課題も出てきています。

増大し続ける IoT・組込み機器へのセキュリティ脅威

サイバー攻撃は、インフラ設備などをはじめさまざまな対象を狙って行われています。独立行政法人情報処理推進機構 (IPA) 発表の「情報セキュリティ 10 大脅威 2023」では、「サプライチェーンの弱点を悪用した攻撃」は組織の 2 位にランクインし、IoT・組込み機器のソフトウェアイメージにおける OSS サプライチェーン管理は、今や重要な課題となっています。

しかしながらソフトウェアの脆弱性は年々増加する傾向にあり、かつ不定期に突然発生することから、膨大なソフトウェアコンポーネントのサプライチェーンおよびそれに起因する脆弱性を人力で監視することは現実的ではありません。
増大するセキュリティリスクに対してお客さま自身で脆弱性を監視し対策方法を調査し修正を行うことは時間とコストを費やし、タイムリーな脆弱性対応の障壁となります。

SBOM 管理と脆弱性対策

そうした中、機器のソフトウェアイメージのソフトウェア・サプライチェーンを管理する方法として SBOM（Software Bill Of Materials : ソフトウェア部品管理）が注目されています。

SBOM はソフトウェアを構成するコンポーネントや依存関係、ライセンス情報などをリスト化した構成情報一覧表です。ソフトウェアサプライチェーンにおいてトランスペアレンシー（透明性）とトレーサビリティ（追跡可能性）を確保するための有効な手段として、世界的に普及が進んでいます。

ゼロから学ぶ SBOM 読本
～ SBOM の推進背景、現在の課題がわかる!! ～

「SBOMの推進背景、現在の課題がわかる!! ゼロから学ぶ SBOM 読本」（全 12 ページ）をダウンロードしていただけます。

目次

1. はじめに
2. 活発化する日本国内における偵察行動
3. 攻撃主体者について
4. なぜインフラ設備が狙われるのか
5. ソフトウェアサプライチェーン管理の課題
6. SBOM の生成方法と情報制度
7. SBOM 生成方法による脆弱性検出精度の比較
8. ビルドシステムベースで SBOM を生成・管理する「Timesys Vigiles」

　ダウンロードはこちら　　

組込み機器における OSS サプライチェーンと脆弱性を一元管理：Timesys Vigiles

Timesys Vigiles は、SBOM をベースにしたお客様のソフトウェアプラットフォームに合わせセキュリティ通知と対策情報通知を行うサービスです。自動化されたセキュリティ脆弱性監視と対策パッチ通知により、お客さまのIoT・組込み機器のソフトウェアセキュリティの維持にかかる時間とコストを大幅に削減します。

Timesys Vigiles の特長

製品に固有の既知のセキュリティ問題（CVE）が発見された場合、お客様に通知します。

脆弱性の修正状況（修正済み、未修正）をお知らせし、修正プログラムへのリンクを提供します。

ソフトウェアのアップデートや対策パッチを選択して適用することができます。

Timesys Vigiles が解決する課題

脆弱性の監視時間の削減

Vigiles は、お客様が CVE の情報を継続的に監視して発見した脆弱性の影響分析を行う負担を大幅に軽減します。
Vigiles を使用すると、ソフトウェアに関連する脆弱性通知をオンデマンドで受け取ることができます。 また、Vigiles は複数の脆弱性フィードからの Timesys が精査したデータを使用しているため、誤検知や CVE の見逃しが少ない監視プロセスと新しい脆弱性の迅速な通知を実現しています。

セキュリティフィックスの制御

脆弱性が修正されたカーネルバージョン情報と対応する対策パッチへのリンクを受け取ることができます。対策パッチを選択して適用することができるので、何を更新するかを決めることができます。

安全性の維持

お客さまのソフトウェアが悪用される可能性を最小限に抑えます。お客様が脆弱性の特定、評価、対策パッチ/ アップデートを選択して適用することができるので、CVE の脆弱性に迅速かつ効率的に対応することが可能です。

Timesys Vigiles 操作画面例

オープンソースの組込みソフトウェアの専門知識を駆使し、お客様のセキュリティ維持に貢献します。

Timesys Vigiles の脆弱性監視および対策パッチ通知サービスをご利用いただくと、最もコスト効率が高い方法で、お客様の組込み Linux ベースの製品の安全性を確保することができます。私たちは、何百ものボード、何千ものプロジェクト、そして Yocto Project、Timesys Factory、Buildroot、PetaLinux 等の多数のビルドシステムと連携してきており、これらの経験は、組込み Linux のセキュリティを向上させるための脆弱性の監視、分析、対応のプロセス全体の合理化を実現してきています。