ソフトウェア定義型自動車（Software-Defined Vehicle）へのニーズが高まるにつれて、ソフトウェアに採用されるOSS（オープンソースソフトウェア、以下OSS）コンポーネントの数も増加しています。OSSは誰でも利用できるように公開されており、自由に改変・再配布が可能ですが、その一方で、バグや脆弱性、ライセンス違反などのリスクも伴います。そのため、適切なリスク管理は必要不可欠です。
AutoCrypt Security Analyzerは、ソフトウェア開発ライフサイクル（Software Development Life Cycle、SDLC）に脆弱性スキャン及び分析機能を組み込み、車載ソフトウェアにおけるOSSライセンスや脆弱性の管理を支援し、安全な車載ソフトウェア開発をサポートするSBOM管理ツールです。
OSSに潜んでいるリスクを見える化
OSSは、開発コストを抑えながら短期間でシステムを構築できるだけでなく、開発の自由度及び効率の向上、継続的な改良による高品質のようなメリットがあります。しかし、OSSの活用には多くの利点がある一方で、適切に管理しなければならないリスクも存在します。
特に、ライセンス違反、脆弱性検知、サプライチェーンにおけるOSS管理といった点に注意が必要です。
Autocrypt Security Analyzerはマルチファクタ―分析手法による脆弱性検知で正確で効率的なSBOM管理をサポートして、OSS活用におけるセキュリティリスクを事前に対応することができます。
正確なSBOM作成でOSSリスクを徹底管理
ソースコード単位での分析を行い、改変されたOSSも検知
定期的にDB更新を実施することで、ゼロデイ脆弱性にも対応可能
開発スピードを落とさずOSSを管理
既存のシステムとのシームレスな連携で効率的なSBOM管理が可能CI/CDプロセスとの連携で開発の効率性を向上
AutoCrypt Security Anaylzer
AutoCrypt Security Analyzerは、車載ソフトウェアに含まれるオープンソースの脆弱性検出、ライセンス違反などのセキュリティリスクを管理する「車載OSS脆弱性診断・SBOM管理ツール」です。
1.ソースコードの機密性確保
ソフトウェアのソースコードをSecurity Analyzerでスキャンし、そのソースコードをハッシュ値に変換し暗号化されたファイルとして保存します。（すべてのプログラミング言語に対応します)
2．データ蓄積
NVD、MITRE、Github、Bugzillaから提供される脆弱性リスト、マシンラーニングを活用したパッチ、ソースコードスキャンから検出したオープンソースコンポーネント、ユーザ定義の脆弱性を収集し、Security Analyzerビッグデータ（VDB）を構成します。また、毎日CVEを収集してDBを更新するため、最新の脆弱性にも迅速に対応できます。
3．高精度検出
特許技術（VUDDY、CENTRIS）を活用し、ファイル及びコードスニペット単位での脆弱性分析を行います。また、パッケージ管理システムによる依存関係の分析結果を再び学習し、検知精度向上及び未知の脆弱性検知を実現します。
4.SBOM管理
Security Analyzerは対象ソフトウェアに対するSBOMを作成・提供します。SBOMには対象ソフトウェアに使用された全てのオープンソースコンポーネントとライセンスリストが表示されます。Security AnaylzerはSPDX/CycloneDX標準SBOMフォーマットのサポートします。
5.脆弱性管理分析
プロセスの後、Security Analyzerは、ユーザがコーディングの欠陥を手動で修正できるように検出されたセキュリティリスクに対して推奨されるパッチのリストと、脆弱性に関する詳細なガイドを提供します。
マルチファクター分析による詳細なコンポーネント検知
AutoCrypt Security Analyzerは、マルチファクター分析によりコンポーネント、ライブラリ、ファイル、およびコードスニペット単位まで、コード内にあるあらゆるOSS脆弱性を検出します。
特許済み技術を利用したコードスニペット単位での分析で、ソフトウェア内のすべてのOSSコンポーネントとライセンスを識別し、OSS脆弱性に対する高い検出精度を実現しています。
高精度なOSS脆弱性検知
マルチファクター脆弱性分析により、精度の高い検知を実現します。
正確なパッチ適用
影響を受けるOSSコンポーネントを正確に把握し、バックポーティングに必要なパッチ情報を提供します。
ユーザ定義の脆弱性管理
コンポーネント単位を含む関数単位におけるユーザ定義の脆弱コードを作成・検知機能を提供します。
Zero-Day脆弱性検知
的確な分析により、Zero-Day脆弱性など未知の脅威をすべて検出できます。
AutoCrypt Security Anaylzer無料トライアル
１カ月利用できる無料トライアルでは、企業様が実際に使用しているソースコードを7回まで分析できます。お申込み後、登録されたメールにアカウント情報をお送り致します。
*無料トライアルでは、ソースコード分析や結果確認などの基本機能を体験できます。より詳しい情報が必要である方は別途お問い合わせください。
