OpenSSF Day / OSS NAにおけるSBOM、SLSAの動向

日立製作所 研究開発グループ サービスシステムイノベーションセンタ デジタルエコノミー研究部 山本穂奈美氏
2023年6月2日開催 第2回 OSSセキュリティMeetup 講演資料

Transcript

1. © Hitachi, Ltd. 2023. All rights reserved.
   OpenSSF Day / OSS NAにおける
   SBOM、SLSAの動向
   2023/06/02
   日立製作所 研究開発グループ
   サービスシステムイノベーションセンタ
   デジタルエコノミー研究部
   山本穂奈美・下沢拓
   ※本資料は、2023/05/10-12にて開催された
   OpenSSF DayおよびOSS NAにおけるセッショ
   ン内容をもとに作成したものです。
   出典：Open Source Summit North America | Linux Foundation Events、
   Open Source Summit North America | Linux Foundation Events
   

   View Slide

2. 1
   © Hitachi, Ltd. 2023. All rights reserved.
   1. はじめに
   2. SBOM
   - An SBOM Primer: From Licenses to Security,
   Know What’s I Your Code, or Someone Else’s!
   3. SLSA
   - SLSA Conformance
   - SLSA with Us: The Dance of AppSec
   Contents
   

   View Slide

3. 2
   © Hitachi, Ltd. 2023. All rights reserved.
   • Open SSF Day/OSS NAへの参加目的
   HITACHIは、今年からOpenSSFのメンバーに加入し、ソフトウェア・サ
   プライチェーン・セキュリティに注力しています。
   • 本日は、「SBOM」、「SLSA」といったキーワードをもとに、ソフトウェア・サ
   プライチェーン・セキュリティの動向をご説明させていただければ幸いです。
   1. はじめに
   

   View Slide

4. 3
   © Hitachi, Ltd. 2023. All rights reserved.
   • 自己紹介
   1. はじめに
   ✓ 山本 穂奈美（やまもと ほなみ）
   ✓ 2019年 株式会社日立製作所入社
   ✓ 情報セキュリティ、金融システム、児童福祉システムの研究に従事
   

   View Slide

5. 4
   © Hitachi, Ltd. 2023. All rights reserved.
   2. SBOM
   

   View Slide

6. 5
   © Hitachi, Ltd. 2023. All rights reserved.
   • An SBOM Primer: From Licenses to Security, Know
   What’s I Your Code, or Someone Else’s!
   2. SBOM
   Jeff Shapiro, The Linux Foundation & Gary O’Neall, Source Auditor
   ✓ SBOM(Software Bill of Materials：
   ソフトウェア部品表)とは何か？なぜ必
   要か？いつ作成しどう使うか？を説明
   する入門のような講演
   ✓ 標準フォーマットの紹介
   ✓ SBOMの最小限の記載要素の説明
   ✓ SBOMの生成ツールの紹介
   ✓ SBOMの今後
   

   View Slide

7. 6
   © Hitachi, Ltd. 2023. All rights reserved.
   • SBOMとは？
   2. SBOM
   ✓ SBOM(Software Bill of Materials：ソフトウェア部品表)
   – ソフトウェアを構成するコンポーネントに関する詳細とサプライチェーン関係
   を記載した記録
   – 脆弱性やリスクを可視化
   – 2021年の米国大統領令「国家のサイバーセキュリティの向上に関する大
   統領令」により、ソフトウェア・サプライチェーン・セキュリティの強化への対応
   策の一つとしてSBOMを挙げ、SBOMが含むべき最低限の要素を規定
   – ソフトウェア構成分析（SCA）ツールで、PSIRT(Product Security
   Incident Response Team)の延長線上で脆弱性管理する事例が増
   えている
   

   View Slide

8. 7
   © Hitachi, Ltd. 2023. All rights reserved.
   • SBOMの標準フォーマットの紹介
   2. SBOM
   ✓ Linux Foundationのプロジェクトで、ISO標準
   – ライセンスとセキュリティのユースケースをサポート
   – File formats: Tag/Value, JSON, JSON-LD,
   YAML, RDF/XML, XLS
   ✓ OWASPによるフォーマット
   – セキュリティのユースケースに特化
   – File formats: JSON, XML, Protocol Buffers
   (binary)
   ✓ ソフトウェアの識別に焦点を当てたNIST基準
   – File formats: XML
   

   View Slide

9. 8
   © Hitachi, Ltd. 2023. All rights reserved.
   • SBOMの最小限の記載要素の説明
   2. SBOM
   Data Field 詳細
   Supplier Name コンポーネントを作成、定義、および識別するエンティティ
   の名前
   Component Name 元のサプライヤーによって定義されソフトウェアのユニットに
   割り当てられた名前
   Version of the component 前のバージョンからの変更を記載する
   Other Unique Identifiers コンポーネントを識別または関連するデータベースの検索
   キーとして機能するその他の識別子
   Dependency Relationship ソフトウェア に含まれる上流コンポーネントの関係
   Author of SBOM Data SBOM データを作成するエンティティの名前
   Timestamp アセンブリ日時
   Source: NTIA https://www.ntia.doc.gov/sites/default/files/publications/sbom_minimum_elements_report_0.pdf
   

   View Slide

10. 9
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOM生成ツールの紹介
    2. SBOM
    ✓ SBOMは、ソフトウェアライフサイクル
    中で複数の方法で作成される
    – ソフトウェア構成分析 (SCA) ツール
    – ソースコードリポジトリのスキャン
    – ビルドツールを使用したコンポーネントと依
    存関係の追跡
    – ビルド後に依存関係を再帰的にスキャン
    ✓ いつSBOMを生成、更新するか
    – 開発および構築フェーズ中
    – 発売前（サプライヤーによる）
    – リリース後 (消費者またはサードパーティ
    の監査人による)
    ✓ ツール
    – Maven Plugin
    – Gradle Plugin
    – Syft, Syft GitHub Action
    – SBOM Generator GitHub Action
    

    View Slide

11. 10
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOMの今後
    2. SBOM
    ✓ SBOM for Software
    – Build and usage metadata.
    ✓ SBOM for AI
    – Learning data, model info, privacy info, domain.
    ✓ SBOM for Data
    – Size of dataset, noise, known biases, confidentiality, availability.
    ✓ SBOM for SaaS
    – CISA service transparency.
    

    View Slide

12. 11
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    2. SBOM
    Taylor (DeployHub)
    ✓ DevOps パイプラインを強化する新し
    いオープンソース セキュリティ ツールを
    紹介する講演
    ✓ DevOps パイプラインにおける5つの
    フェーズでのセキュリティツールの検討
    ✓ The OpenSSF、CD. Foundation、
    CNCF、GitHub、Microsoftのツール
    の紹介
    

    View Slide

13. 12
    © Hitachi, Ltd. 2023. All rights reserved.
    • Phase 1 – Code and Pre Build
    • Phase 2 – Build
    • Phase 3 – Post Build SBOM
    • Phase 4 – Publish
    • Phase 5 – ScoreCard Security Audit
    2. SBOM
    ✓ SBOMツールとして
    – Docker BuildX
    – Syft
    – Microsoft SBOM tool
    – OpenSSF SPDX
    

    View Slide

14. 13
    © Hitachi, Ltd. 2023. All rights reserved.
    3. SLSA
    

    View Slide

15. 14
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Conformance
    3. SLSA
    Kris Kooi (Google), Joshua Mulliken (Red Hat)
    ✓ SLSA Frameworkの概要とSLSA
    v1.0のカバー範囲と効果を説明する
    講演
    ✓ SLSA Frameworkの概要
    ✓ SLSA v1.0のBuild Level1-3の説明
    ✓ SLSA Certified badgeの取り方
    

    View Slide

16. 15
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Frameworkの概要
    3. SLSA
    ✓ ソフトウェアサプライチェーン
    をモデル化
    ✓ Source/Dependency/Bui
    ldにおける脅威を挙げる
    ✓ SLSA v1.0ではBuildの脅
    威を軽減しようとしている
    

    View Slide

17. 16
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Frameworkの概要
    3. SLSA
    SLSA v1.0
    

    View Slide

18. 17
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0のBuild Level1-3の説明
    3. SLSA
    ✓ Build L0 - No guarantees
    ✓ Build L1 - Provenance exists (document intent)
    ：Producerによるビルドプロセスのポリシーの作成
    ✓ Build L2 - Hosted build platform (someone else builds)
    ：Producerによるビルドプロセスのポリシーの作成 ＋ プラットフォーム上
    の第二者によるビルド
    ✓ Build L3 - Hardened builds (someone else builds in a hardened
    environment)
    ：Producerによるビルドプロセスのポリシーの作成 ＋ プラットフォーム上
    で偽造不能で独立した環境によるビルド
    

    View Slide

19. 18
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Certified badgeの取り方
    3. SLSA
    ✓ Tier 1: 自己証明による取得
    （SLSAのアンケートへの回答）
    ✓ Tier 2: サードパーティーの監査によ
    る取得
    （監査手順とレポートを公開する）
    

    View Slide

20. 19
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA with Us: The Dance of AppSec
    3. SLSA
    Michael Lieberman (Kusari)
    ✓ SLSA v1.0の概要説明とデモンスト
    レーションのある講演
    ✓ SLSA v1.0 Build Level1-3におけ
    る基準の説明
    ✓ SLSA v1.0のデモンストレーション
    ✓ SLSAの今後の展望
    

    View Slide

21. 20
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0の概要
    3. SLSA
    ✓ SLSAは、サプライチェーンセキュリティフレームワークである
    – Build、Source、Dependenciesのトラックがある
    – サプライチェーンにおいてビルドが重要で、一般的にProvenance（来歴）が欠落し
    ていることが多いためビルドトラックから着手
    – Provenance（来歴）のフォーマット： in-toto format (JSON)
    ✓ SLSAでできないこと
    – マルウェアの防止（検知しやすくするのみ）
    – 包括的なルールではない（詳しくはOpenSSFのS2C2Fを）
    ✓ SLSA v0.1との違い
    – Level 4として二人によるレビューを定義
    – SLSA v1.0ではLevel 4は対象外としている
    

    View Slide

22. 21
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0 Build Level1-3における基準の説明
    3. SLSA
    アクター1:
    Producer
    アクター2:
    Build
    platform
    

    View Slide

23. 22
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0 Build Level1-3における基準の説明
    3. SLSA
    ✓ Provenance generation（来歴の生成）
    ー Exists （存在する）
    ー Authentic （本物である）
    ー Unforgeable （偽造不可能）
    ✓ Isolation strength （分離強度）
    ー Hosted （ホスト型）
    ー Isolated （分離型）
    詳細：SLSA • Producing artifacts
    

    View Slide

24. 23
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0のデモンストレーション
    3. SLSA
    ✓ SLSA3 Node.js builder for GitHub Actions
    – SLSA • Bringing Improved Supply Chain Security to the Node.js Ecosystem
    – Node.js · mlieberman85/actions-test@90d57fb · GitHub
    – @mlieberman85/actions-test - npm (npmjs.com)
    ✓ デモ内容
    – ビルドの実行
    – SLSA Build L3準拠の来歴を生成
    – パッケージとともにnpmレジストリに公開
    – Provenance（来歴）の検証
    

    View Slide

25. 24
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSAの今後の展望
    3. SLSA
    ✓ 新しいトラックの開発
    ー Source
    ー Dependencies
    ー Build System
    ✓ SLSA Build level4
    ー Coming soon
    ー 一緒に定義していきたい
    ✓ プログラムへのSLSAの適合
    ー SLSA公式マークの取得
    ✓ ツール
    ー the SLSA tooling SIGでの検討
    

    View Slide

26. 25
    © Hitachi, Ltd. 2023. All rights reserved.
    番外編
    

    View Slide

27. 26
    © Hitachi, Ltd. 2023. All rights reserved.
    • Creative, Inclusive and Sustainable Cybersecurity-
    Getting it Done with DEI –
    DEI（Diversity, Equity & Inclusion）の取り組み
    Christine Abernathy, f5; Amanda Brock,
    OpenUK; Anova Hou, University of British
    Columbia; Eddie Knight, Sonatype &
    Moderated by Sal Kimmich, EscherCloud
    • Women & Non-Binary in Open Source Lunch
    (Open to Women & Non-Binary Attendees)
    

    View Slide

28. View Slide

29. 28
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)
    

    View Slide

30. 29
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)
    

    View Slide

31. 30
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)
    

    View Slide

32. 31
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)
    

    View Slide

33. 32
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)
    

    View Slide