Upgrade to Pro — share decks privately, control downloads, hide ads and more …

OpenSSF Day / OSS NAにおけるSBOM、SLSAの動向

OpenSSF Day / OSS NAにおけるSBOM、SLSAの動向

日立製作所 研究開発グループ サービスシステムイノベーションセンタ デジタルエコノミー研究部 山本穂奈美氏
2023年6月2日開催 第2回 OSSセキュリティMeetup 講演資料

Linux Foundation Japan
PRO

June 05, 2023
Tweet

More Decks by Linux Foundation Japan

Other Decks in Technology

Transcript

  1. © Hitachi, Ltd. 2023. All rights reserved.
    OpenSSF Day / OSS NAにおける
    SBOM、SLSAの動向
    2023/06/02
    日立製作所 研究開発グループ
    サービスシステムイノベーションセンタ
    デジタルエコノミー研究部
    山本穂奈美・下沢拓
    ※本資料は、2023/05/10-12にて開催された
    OpenSSF DayおよびOSS NAにおけるセッショ
    ン内容をもとに作成したものです。
    出典:Open Source Summit North America | Linux Foundation Events、
    Open Source Summit North America | Linux Foundation Events

    View Slide

  2. 1
    © Hitachi, Ltd. 2023. All rights reserved.
    1. はじめに
    2. SBOM
    - An SBOM Primer: From Licenses to Security,
    Know What’s I Your Code, or Someone Else’s!
    3. SLSA
    - SLSA Conformance
    - SLSA with Us: The Dance of AppSec
    Contents

    View Slide

  3. 2
    © Hitachi, Ltd. 2023. All rights reserved.
    • Open SSF Day/OSS NAへの参加目的
    HITACHIは、今年からOpenSSFのメンバーに加入し、ソフトウェア・サ
    プライチェーン・セキュリティに注力しています。
    • 本日は、「SBOM」、「SLSA」といったキーワードをもとに、ソフトウェア・サ
    プライチェーン・セキュリティの動向をご説明させていただければ幸いです。
    1. はじめに

    View Slide

  4. 3
    © Hitachi, Ltd. 2023. All rights reserved.
    • 自己紹介
    1. はじめに
    ✓ 山本 穂奈美(やまもと ほなみ)
    ✓ 2019年 株式会社日立製作所入社
    ✓ 情報セキュリティ、金融システム、児童福祉システムの研究に従事

    View Slide

  5. 4
    © Hitachi, Ltd. 2023. All rights reserved.
    2. SBOM

    View Slide

  6. 5
    © Hitachi, Ltd. 2023. All rights reserved.
    • An SBOM Primer: From Licenses to Security, Know
    What’s I Your Code, or Someone Else’s!
    2. SBOM
    Jeff Shapiro, The Linux Foundation & Gary O’Neall, Source Auditor
    ✓ SBOM(Software Bill of Materials:
    ソフトウェア部品表)とは何か?なぜ必
    要か?いつ作成しどう使うか?を説明
    する入門のような講演
    ✓ 標準フォーマットの紹介
    ✓ SBOMの最小限の記載要素の説明
    ✓ SBOMの生成ツールの紹介
    ✓ SBOMの今後

    View Slide

  7. 6
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOMとは?
    2. SBOM
    ✓ SBOM(Software Bill of Materials:ソフトウェア部品表)
    – ソフトウェアを構成するコンポーネントに関する詳細とサプライチェーン関係
    を記載した記録
    – 脆弱性やリスクを可視化
    – 2021年の米国大統領令「国家のサイバーセキュリティの向上に関する大
    統領令」により、ソフトウェア・サプライチェーン・セキュリティの強化への対応
    策の一つとしてSBOMを挙げ、SBOMが含むべき最低限の要素を規定
    – ソフトウェア構成分析(SCA)ツールで、PSIRT(Product Security
    Incident Response Team)の延長線上で脆弱性管理する事例が増
    えている

    View Slide

  8. 7
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOMの標準フォーマットの紹介
    2. SBOM
    ✓ Linux Foundationのプロジェクトで、ISO標準
    – ライセンスとセキュリティのユースケースをサポート
    – File formats: Tag/Value, JSON, JSON-LD,
    YAML, RDF/XML, XLS
    ✓ OWASPによるフォーマット
    – セキュリティのユースケースに特化
    – File formats: JSON, XML, Protocol Buffers
    (binary)
    ✓ ソフトウェアの識別に焦点を当てたNIST基準
    – File formats: XML

    View Slide

  9. 8
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOMの最小限の記載要素の説明
    2. SBOM
    Data Field 詳細
    Supplier Name コンポーネントを作成、定義、および識別するエンティティ
    の名前
    Component Name 元のサプライヤーによって定義されソフトウェアのユニットに
    割り当てられた名前
    Version of the component 前のバージョンからの変更を記載する
    Other Unique Identifiers コンポーネントを識別または関連するデータベースの検索
    キーとして機能するその他の識別子
    Dependency Relationship ソフトウェア に含まれる上流コンポーネントの関係
    Author of SBOM Data SBOM データを作成するエンティティの名前
    Timestamp アセンブリ日時
    Source: NTIA https://www.ntia.doc.gov/sites/default/files/publications/sbom_minimum_elements_report_0.pdf

    View Slide

  10. 9
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOM生成ツールの紹介
    2. SBOM
    ✓ SBOMは、ソフトウェアライフサイクル
    中で複数の方法で作成される
    – ソフトウェア構成分析 (SCA) ツール
    – ソースコードリポジトリのスキャン
    – ビルドツールを使用したコンポーネントと依
    存関係の追跡
    – ビルド後に依存関係を再帰的にスキャン
    ✓ いつSBOMを生成、更新するか
    – 開発および構築フェーズ中
    – 発売前(サプライヤーによる)
    – リリース後 (消費者またはサードパーティ
    の監査人による)
    ✓ ツール
    – Maven Plugin
    – Gradle Plugin
    – Syft, Syft GitHub Action
    – SBOM Generator GitHub Action

    View Slide

  11. 10
    © Hitachi, Ltd. 2023. All rights reserved.
    • SBOMの今後
    2. SBOM
    ✓ SBOM for Software
    – Build and usage metadata.
    ✓ SBOM for AI
    – Learning data, model info, privacy info, domain.
    ✓ SBOM for Data
    – Size of dataset, noise, known biases, confidentiality, availability.
    ✓ SBOM for SaaS
    – CISA service transparency.

    View Slide

  12. 11
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    2. SBOM
    Taylor (DeployHub)
    ✓ DevOps パイプラインを強化する新し
    いオープンソース セキュリティ ツールを
    紹介する講演
    ✓ DevOps パイプラインにおける5つの
    フェーズでのセキュリティツールの検討
    ✓ The OpenSSF、CD. Foundation、
    CNCF、GitHub、Microsoftのツール
    の紹介

    View Slide

  13. 12
    © Hitachi, Ltd. 2023. All rights reserved.
    • Phase 1 – Code and Pre Build
    • Phase 2 – Build
    • Phase 3 – Post Build SBOM
    • Phase 4 – Publish
    • Phase 5 – ScoreCard Security Audit
    2. SBOM
    ✓ SBOMツールとして
    – Docker BuildX
    – Syft
    – Microsoft SBOM tool
    – OpenSSF SPDX

    View Slide

  14. 13
    © Hitachi, Ltd. 2023. All rights reserved.
    3. SLSA

    View Slide

  15. 14
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Conformance
    3. SLSA
    Kris Kooi (Google), Joshua Mulliken (Red Hat)
    ✓ SLSA Frameworkの概要とSLSA
    v1.0のカバー範囲と効果を説明する
    講演
    ✓ SLSA Frameworkの概要
    ✓ SLSA v1.0のBuild Level1-3の説明
    ✓ SLSA Certified badgeの取り方

    View Slide

  16. 15
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Frameworkの概要
    3. SLSA
    ✓ ソフトウェアサプライチェーン
    をモデル化
    ✓ Source/Dependency/Bui
    ldにおける脅威を挙げる
    ✓ SLSA v1.0ではBuildの脅
    威を軽減しようとしている

    View Slide

  17. 16
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Frameworkの概要
    3. SLSA
    SLSA v1.0

    View Slide

  18. 17
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0のBuild Level1-3の説明
    3. SLSA
    ✓ Build L0 - No guarantees
    ✓ Build L1 - Provenance exists (document intent)
    :Producerによるビルドプロセスのポリシーの作成
    ✓ Build L2 - Hosted build platform (someone else builds)
    :Producerによるビルドプロセスのポリシーの作成 + プラットフォーム上
    の第二者によるビルド
    ✓ Build L3 - Hardened builds (someone else builds in a hardened
    environment)
    :Producerによるビルドプロセスのポリシーの作成 + プラットフォーム上
    で偽造不能で独立した環境によるビルド

    View Slide

  19. 18
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA Certified badgeの取り方
    3. SLSA
    ✓ Tier 1: 自己証明による取得
    (SLSAのアンケートへの回答)
    ✓ Tier 2: サードパーティーの監査によ
    る取得
    (監査手順とレポートを公開する)

    View Slide

  20. 19
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA with Us: The Dance of AppSec
    3. SLSA
    Michael Lieberman (Kusari)
    ✓ SLSA v1.0の概要説明とデモンスト
    レーションのある講演
    ✓ SLSA v1.0 Build Level1-3におけ
    る基準の説明
    ✓ SLSA v1.0のデモンストレーション
    ✓ SLSAの今後の展望

    View Slide

  21. 20
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0の概要
    3. SLSA
    ✓ SLSAは、サプライチェーンセキュリティフレームワークである
    – Build、Source、Dependenciesのトラックがある
    – サプライチェーンにおいてビルドが重要で、一般的にProvenance(来歴)が欠落し
    ていることが多いためビルドトラックから着手
    – Provenance(来歴)のフォーマット: in-toto format (JSON)
    ✓ SLSAでできないこと
    – マルウェアの防止(検知しやすくするのみ)
    – 包括的なルールではない(詳しくはOpenSSFのS2C2Fを)
    ✓ SLSA v0.1との違い
    – Level 4として二人によるレビューを定義
    – SLSA v1.0ではLevel 4は対象外としている

    View Slide

  22. 21
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0 Build Level1-3における基準の説明
    3. SLSA
    アクター1:
    Producer
    アクター2:
    Build
    platform

    View Slide

  23. 22
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0 Build Level1-3における基準の説明
    3. SLSA
    ✓ Provenance generation(来歴の生成)
    ー Exists (存在する)
    ー Authentic (本物である)
    ー Unforgeable (偽造不可能)
    ✓ Isolation strength (分離強度)
    ー Hosted (ホスト型)
    ー Isolated (分離型)
    詳細:SLSA • Producing artifacts

    View Slide

  24. 23
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSA v1.0のデモンストレーション
    3. SLSA
    ✓ SLSA3 Node.js builder for GitHub Actions
    – SLSA • Bringing Improved Supply Chain Security to the Node.js Ecosystem
    – Node.js · mlieberman85/actions-test@90d57fb · GitHub
    – @mlieberman85/actions-test - npm (npmjs.com)
    ✓ デモ内容
    – ビルドの実行
    – SLSA Build L3準拠の来歴を生成
    – パッケージとともにnpmレジストリに公開
    – Provenance(来歴)の検証

    View Slide

  25. 24
    © Hitachi, Ltd. 2023. All rights reserved.
    • SLSAの今後の展望
    3. SLSA
    ✓ 新しいトラックの開発
    ー Source
    ー Dependencies
    ー Build System
    ✓ SLSA Build level4
    ー Coming soon
    ー 一緒に定義していきたい
    ✓ プログラムへのSLSAの適合
    ー SLSA公式マークの取得
    ✓ ツール
    ー the SLSA tooling SIGでの検討

    View Slide

  26. 25
    © Hitachi, Ltd. 2023. All rights reserved.
    番外編

    View Slide

  27. 26
    © Hitachi, Ltd. 2023. All rights reserved.
    • Creative, Inclusive and Sustainable Cybersecurity-
    Getting it Done with DEI –
    DEI(Diversity, Equity & Inclusion)の取り組み
    Christine Abernathy, f5; Amanda Brock,
    OpenUK; Anova Hou, University of British
    Columbia; Eddie Knight, Sonatype &
    Moderated by Sal Kimmich, EscherCloud
    • Women & Non-Binary in Open Source Lunch
    (Open to Women & Non-Binary Attendees)

    View Slide

  28. View Slide

  29. 28
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)

    View Slide

  30. 29
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)

    View Slide

  31. 30
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)

    View Slide

  32. 31
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)

    View Slide

  33. 32
    © Hitachi, Ltd. 2023. All rights reserved.
    • It's Time to Harden the DevOps Pipeline with New
    Open-Source Security Tooling
    補足資料
    Taylor (DeployHub)

    View Slide