セキュリティ リスクを正しく管理できていますか？
脆弱性情報をCVE単位で表示し、脆弱性の原因となるコードを検出
オープンソースに含まれている脆弱性は、テストツールでは検出できません。どこに脆弱性があるかをきちんと把握する必要があります。セキュリティ リスクを放置すれば甚大な被害に発展しかねません。
FossIDは、NIST（アメリカ国立標準技術研究所）で公開されるCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）情報に基づいてOSSの脆弱性情報を表示することで、OSSのセキュリティ対策を支援します。
また、セキュリティ脆弱性の原因となるコードスニペットを検出するオプション「VulnSnippet Finder」を提供しています。
※NIST：National Institute of Standards and Technology。通称NIST、アメリカ国立標準技術研究所です。
※CVE：Common Vulnerabilities and Exposures。脆弱性を識別するための共通脆弱性識別子。（個別製品中の脆弱性を対象として、米国政府の支援を受けた非営利団体のMITRE社(※)が採番している識別子です。）http://cve.mitre.org/
※MITRE社：米国政府向けの技術支援や研究開発を行う非営利組織です。http://www.mitre.org/
FossIDはコンポーネントのバージョンを特定し、CVE（Common Vulnerabilities and Exposures）に基づく脆弱性情報を提供します。NVD（National Vulnerability Database：脆弱性情報データベース）の各ページへのリンクが表示されるため、リンク先を参照して脆弱性の対策方法を確認できます。
VulnSnippet Finderは、コード行（スニペット）単位でFossIDナレッジベースと照合し、コンポーネントとして取り込まれたオープンソースだけでなく、自社開発のソースコードに挿入されたオープンソースの断片からも、セキュリティ脆弱性の原因になりうるコード行（スニペット）を検出します。
コンポーネントに含まれる脆弱性情報をCVE単位で表示
FossIDはコンポーネントのバージョンを特定し、CVE（Common Vulnerabilities and Exposures）に基づく脆弱性情報を提供します。
NVD（National Vulnerability Database：脆弱性情報データベース）の各ページへのリンクが表示されるため、リンク先を参照して脆弱性の対策方法を確認できます。
※NVD：National Vulnerability Database。NIST（アメリカ国立標準技術研究所）が管理している脆弱性情報データベースです。
セキュリティ脆弱性の原因となるコードスニペットを検出
VulnSnippet Finder
VulnSnippet Finderは、コード行（スニペット）単位でFossIDナレッジベースと照合し、コンポーネントとして取り込まれたオープンソースだけでなく、自社開発のソースコードに挿入されたオープンソースの断片からも、セキュリティ脆弱性の原因になりうるコード行（スニペット）を検出します。単に脆弱性があるOSSのパッケージやバージョンを使用しているかだけではなく、ソフトウェアに含まれるセキュリティ脆弱性を引き起こす特定のコードスニペットを検出できるため、より正確かつ迅速にOSSのセキュリティ脆弱性情報を確認できます。
VulnSnippet Finderの特長
- セキュリティ脆弱性の原因になる実際のコード行（スニペット）を検出
- 一致するオープンソースとして、誤ったコンポーネントまたはバージョンを選択するなどのよくある人的エラーを排除
- 自社コードに挿入されたオープンソースも検出
- 誤検出を削減
- 派生物およびフォークの既知のセキュリティ脆弱性を検出
※VulnSnippet Finderは、有償オプションです。
VulnSnippet Finderのライセンス
詳しくは、テクマトリックス(株)までお問い合わせください
OSSを利用することにより、開発のスピードアップやコスト削減、柔軟性など、さまざまなメリットが得られます。
OSSを利用しソフトウェアの価値を高めていくには、手作業でのセキュリティリスク管理は限界があります。
FossIDツールを上手に活用しましょう！