| コード | ビルド | テスト | 運用 |
|---|---|---|---|
| ソフトウェア開発が始まります。これには、IDE（統合ソフトウェア開発環境）でのシステムの設計、コードの作成とエラーのレビューが含まれます。 | ビルド・フェーズでは、計画フェーズで文書化した要件に従ってソフトウェアをビルドします。 | テスト・チームがソフトウェアを評価し、必要な要件を満たしているかどうかを判断します。 | ソフトウェアを本番環境にデプロイし、監視します。 |
|
|
|||
|
|
|
|
|
|
|
|
||
|
|
|||
開発パイプライン内でセキュリティ・テストを自動化
開発チームはイノベーションを推進するために複雑なシステムと多様なツールに依存していますが、セキュリティ・チームはこれに後れを取るわけにも、テストしていないソフトウェアを本番環境に移行させるわけにもいきません。DevOpsワークフロー、AI生成コード、クラウドネイティブなデプロイが標準になるにつれ、AppSecチームは開発速度を落とさずにセキュリティ標準を適用する方法を見つける必要があります。
ブラック・ダックのDevSecOpsソリューションなら、ソフトウェアのリリース期限を脅かし、開発者に余計な負荷を掛けることなく、ソフトウェア開発ライフ・サイクル（SLDC）全体にわたってCI/CDパイプライン内で自動化されたセキュリティ・ゲートを確立できます。
開発者向け
生産性を向上
速やかにコードを作成したり生成しながら、AppSecチームが後で修正フラグを立てるような問題を修正します。IDE（VS Code、IntelliJなど）、DevOpsプラットフォーム（GitHub、GitLabなど）、問題管理ツール（Jiraなど）から、優先度の高いリスクの詳細、修正ガイダンス、セキュア・コーディングのトレーニングを利用できます。
DevSecOpsチーム向け
セキュリティを自動化
SDLCのあらゆる段階でCI/CDパイプライン内にAppSecテストを組み込むことで、迅速かつ大規模に問題を見つけて修正できます。リスクの可視性をチーム全体に拡大し、リスク許容ポリシーに基づいて自動化されたセキュリティ・ゲートを確立し、下流の問題を最小限に抑え、修正にかかる時間とコストを削減します。
企業向け
AppSec ROIを最大化
サービスとして利用できるスケーラブルなセキュリティ・テスト・プラットフォームにより、AppSecをコスト・センターからビジネスの推進力へと変えることで、先行投資とインフラストラクチャ保守作業の手間が不要になるため、AppSecへの投資の価値実現までの期間を短縮し、総所有コストを削減します。
ブラック・ダックのDevSecOpsソリューションで、セキュリティをインテリジェントにDevOpsに組み込む
DevOpsのためのAppSecテストを簡素化して拡張
AIコーディングと同じペースでAppSecを推進
Black Duck Polaris™ Platformはクラウドベースの統合AppSecテスト・ソリューションで、DevSecOpsのニーズに合わせて最適化されています。セキュリティ・ポリシーとセキュリティ対策を一元化し、SAST、SCA、DASTテストの管理を容易にし、プロジェクトとレポジトリを速やかにオンボーディングすることにより、わずか数分でコード・スキャンを開始できます。
CI/CDパイプライン内でセキュリティ・テストを自動化
リスク検出を加速し、セキュリティ・ゲートを確立
SDLC全体を通じてCI/CDパイプライン内でAppSecテストを自動化することで、タイムリーなリスク検出と迅速な修正を実現します。開発者が高い生産性を維持しながら非常にセキュアなアプリケーションを構築できるように支援し、ワークフローを変更することなく、修正のための明確な優先順位とガイダンスを開発者に直接提供します。一般的なIDE（VS Code、IntelliJ、Eclipseなど）、主要DevOpsツール（GitHub、GitLab、Azure DevOpsなど）、強力なCLIを介した汎用CIサポート用のすぐに使えるプラグインにお任せください。
機能とセキュリティを同時にテスト
CI/CDパイプライン内で実行時セキュリティ・テストを自動化
IASTにより、機能テストをセキュリティ・テストに変換して、webアプリケーションのインタラクション（API呼び出し、機密データ・フローなど）をバックグラウンドで監視することができます。手動または自動化された既存の機能テストと並行してテストし、実行時に現れる問題を自動的に検証することで誤検知を排除します。また、開発者の負荷を増やすことなくコンプライアンス標準（PCI DSS、GDPRなど）をサポートできるよう支援します。
書いたコードをすぐにセキュアに
作成者が開発者でもAIでも、ソース段階で問題を修正
ワークフローを遅延させることなく修正までの時間を最小限に抑え、開発者のセキュリティ基準を引き上げます。市場をリードするSASTとSCAエンジンに基づくIDEベースの「セキュリティ・スペルチェッカー」により、開発者がより良いコードを作成し、よりセキュアなサードパーティ・コンポーネントを選択できるように支援します。セキュアなコードが開発者とAIコード生成ツールにとってのデフォルト出力となるようにし、好みのIDE（VS Code、IntelliJ、Eclipseなど）内で明確なリスク・サマリーと修正ガイダンスを提供します。
セキュリティに対応できる開発者を育成
迅速な問題修正で、コミットごとに発生するリスクを低減
セキュリティ・チームと開発チームの間にクローズド・ループ戦略を確立し、問題が開発者のデスクトップにあるうちに排除し、CI/CDパイプラインでのセキュリティ・テストで見つかった問題を迅速に修正します。検出された問題に関連する短い対話型のガイダンスのモジュールを規定し、優れた開発者が、すでに取り組んでいる作業のコンテキストに基づいたセキュリティ・トレーニングを利用できるようにします。
DevOps にセキュリティを組み込む方法をご紹介します
よくある質問
オンプレミスやホスト型のセキュリティ・テスト・ツールを使用する方が良いでしょうか？
DevSecOps向けにAppSecソリューションをデプロイする方法を決定する際、最も良いのはセキュリティ組織とエンジニアリング / 運用チームの両方のニーズを考慮することです。多くの場合、オンプレミスやハイブリッド・デプロイが必要になるのは、特定のビジネス部門やチームに限られます。PolarisなどのSaaSベースのセキュリティ・テストは、最適化することでDevOpsとCI/CDパイプラインに合わせて拡張し、DevSecOpsコストを最小化することができます。ハードウェア導入もソフトウェア更新も不要で、チーム・サイズやスキャン頻度に制限はありません。柔軟に増減可能なキャパシティと、プロジェクト / スキャン・タイプをまたがる同時スキャンを活用しながら、組織全体で迅速にユーザーとアプリケーションのオンボーディングを実行できます。
ブラック・ダックの自動化できるセキュリティ・テストはどれですか？
ブラック・ダックは、SAST、SCA、インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）、DASTに対応する自動化ソリューションを提供しています。これらのソリューションはCI/CDパイプライン内で統合して自動化し、事前定義したポリシーとワークフロー・トリガーに基づいて設定できます。Polaris Platformでは、アプリケーション、プロジェクト、スケジュール、パイプライン・イベントに基づいて、パイプライン内の最善の段階で最も適切な解析エンジンを柔軟に実行できます。
開発速度やDevOps速度を落とすことなくセキュリティ・ゲートを確立する方法を教えてください。
「重要なのは、開発チームが下流に投入するすべてのアプリケーションとコンテナのセキュリティ・リスク態勢をセキュリティ・チームが常に把握し、管理できるようにすることです。DevOpsワークフローを妨げない方法でこれを実現するため、ブラック・ダックのAppSecテスト向けDevSecOpsソリューションはSDLC全体を通じてCI/CDパイプライン内で統合されています。スキャン・イベントをトリガーし、ポリシーに基づく優先順位付けとトリアージを自動化し、修正を加速することで、より効率的で効果的なDevSecOpsを実現し、脆弱性バックログを解消します。SCMとCIツール（GitHub、GitLab、Azure DevOpsなど）に接続し、独自開発コード、オープンソース、サードパーティの依存関係のスキャンをスケジュール設定やトリガーによって実行し、セキュリティ・ポリシー違反に対応する自動化アクション（ビルドのブロック、プル・リクエストへのコメント追加、問題管理ワークフローの開始など）を設定できます。
開発者がIDEから脆弱性スキャンを実行できるようにする方法を教えてください。
CCode Sightでは、ソースコードとオープンソース・コンポーネントのセキュリティ・テストを開発者の好みのIDE（VS Code、Visual Studio、IntelliJ、Eclipseなど）に直接統合できます。Code Sightが「セキュリティのスペルチェッカー」の役割を果たすため、開発者はツールの切り替えやワークフローの中断なしでセキュリティの不具合を発見し、修正することができます。Code Sightはパッケージ・レベルとコード行レベルで詳しい修正提案を提供し、修正から当て推量を取り除いて開発者のセキュリティ・スキルセットを高めます。また、開発者はCode Sightをその他のブラック・ダックのソリューション（Polarisなど）に接続して、CI/CDパイプライン・ベースのスキャンで検出し優先順位付けされた問題をレビューすることができます。
AI生成コードを扱うDevSecOpsプログラムを構築するための最善策を教えてください。
AI生成コードに関連するセキュリティとライセンスの課題は、基本的に開発者によって持ち込まれる課題と同じです。これに備えるためには、事前に重要なセキュリティ手順を自動化してから、セキュリティ・テスト・ポリシーを定義し、さまざまなSDLC段階とCI/CDパイプライン内で適切なテスト・タイプを統合します。次に、DevOpsセキュリティ自動化テンプレート（Black Duck Security Scan GitHub Action、GitLabテンプレート、Azure DevOps拡張機能など）を使用して修正プル・リクエストを自動化し、問題管理ワークフローとIDEに明確な修正ガイダンスを提供することで、開発者が迅速に問題を修正できるようにします。これらの手順が、AIコード生成に要求されるスピードで必要なAppSec機能を自動化し、拡張するのに役立ちます。