Google、Goパッケージのセキュリティリスク可視化ツール「Capslock」を公開：脆弱性スキャンツールとの違いは？

Capslockを使用したセキュリティリスク可視化のイメージ（提供：Google）

　GOSSTは、Capslockをケイパビリティ分析ツールと位置付けており、従来の脆弱性管理ツールとの違いを、次のように述べている。

　「サプライチェーンセキュリティにおいて脆弱性管理ツールは重要だが、対象のパッケージや外部ライブラリが安全に使用できる依存関係かどうか全体像を把握するものではない。セキュリティポスチャーにケイパビリティ分析を追加することで、依存関係から予想される動作を特定し、潜在的な弱点や依存関係の使用に関する多くの情報に基づいた意思決定が可能になる」

　GOSSTによると、CapsLockをGoパッケージ向け脆弱性管理ツールと併用することで、以下のような取り組みが可能になるとした。

• 特権レベルのコード行を特定し、監査、コードレビュー、脆弱性パッチなどの優先順位を高める
• 依存関係の比較や、既存の依存関係が不適切になったことを確認し、代替パッケージを探す
• パッケージ内における望ましくない機能を可視化し、脆弱性やサプライチェーン攻撃のリスクを特定する
• パッケージバージョンまたは依存関係の変更で予期せぬ機能が追加されていないかどうかを監視する機能をCI/CD（継続的インテグレーション／継続的デリバリー）パイプラインに統合する
• ネットワークに起因する脆弱性アラートを受けた際に、ネットワークアクセス機能があるGoパッケージを確認するなど、調査範囲をフィルタリングする

　GOSSTは今後、Capslockの機能強化や他のプログラミング言語への拡張を目指していくとしている。