こんにちは！日々、見えないサイバー空間の裏側で、システムの「急所」を突こうとする攻撃者と知恵比べをしている、最高セキュリティ責任者の私です。
最近は「コンテナ（Dockerなど）」を使って、どこでも同じように動く便利なアプリを作るのが当たり前になりましたよね。でも、その便利さの裏側に、実は「何が入っているかわからないブラックボックス」という大きな落とし穴が潜んでいることをご存知でしょうか？
今回は、そのブラックボックスを「見える化」して、泥棒（攻撃者）に侵入される前に家の鍵を閉め直すための最強ツール「SBOM（エスボム）」について、新人の皆さんにも分かりやすく丁寧に紐解いていこうと思います。
—
1. コンテナは「中身が見えない引っ越し段ボール」？
コンテナをイメージしてみてください。それは、アプリケーションを動かすために必要な道具がすべて詰まった「引っ越し段ボール」のようなものです。
「OSという大きな箱の中に、必要なライブラリ（部品）を詰め込んで、最後に自分のプログラムを入れる」
一見、整理整頓されているように見えますが、実はここが盲点なんです。あなたが使っているそのライブラリ、実は「そのライブラリがさらに依存している、別の小さなライブラリ」が山ほど含まれています。
もし、その中の一つに「合鍵が簡単に作れてしまう古い鍵（脆弱性）」が紛れ込んでいたらどうでしょう？泥棒は、あなたが作った立派な正面玄関（アプリ）ではなく、その小さなライブラリの隙間を突いて、家の中に土足で上がり込んできます。
これが、近年のサイバー攻撃で最も恐れられている「サプライチェーン攻撃」の正体です。
—
2. SBOM（ソフトウェア部品構成表）は「成分表示ラベル」
そこで登場するのが SBOM (Software Bill of Materials) です。
これは、食品の裏側に貼ってある「成分表示ラベル」をイメージしてください。「小麦粉、砂糖、卵……」と書かれているのと同じように、コンテナの中に「どのOSのどのバージョンが入っていて、どのライブラリがどのバージョンで動いているか」をすべてリスト化したものです。
なぜSBOMが必要なの？
泥棒は日々、新しい「ピッキング手法（CVE：共通脆弱性識別子）」を編み出します。
「ライブラリAのバージョン1.2には、実は裏口があるぞ！」というニュースが流れたとき、SBOMがあれば、自分の家の段ボールの中に「ライブラリAの1.2」が入っているかどうかを、一瞬で検索できるようになるんです。
—
3. CI/CDパイプラインという「自動検問所」で作る防犯体制
「毎回手作業でチェックするのは大変そう……」と思いましたよね？その通りです！
だからこそ、私たちはCI/CD（開発から公開までの自動化の流れ）の中に、このSBOMを使った「自動検問所」を設置します。
1. 開発者がコードを書く
2. 自動でコンテナイメージが作られる
3. 【検問所】SBOMを作成し、脆弱性データベース（指名手配犯リスト）と照合する
4. 問題があれば「不合格！」として公開をストップする
この流れを作っておけば、うっかり危険な鍵を使い続ける心配がなくなります。
—
4. 【実践】SBOMを作って脆弱性をスキャンしてみよう
では、具体的にどうやるのか、世界中で愛されているスキャンツール Trivy（トリビー）を使った例を見てみましょう。
まずは、わざと少し古いライブラリを入れた「危ない Dockerfile」を用意します。
サンプル：ちょっと危ない Dockerfile
# ベースとなるOS（あえて少し古いものを選んだとします）
FROM python:3.9-slim
# 作業ディレクトリの設定
WORKDIR /app
# 脆弱性が報告されている古いライブラリをインストールしてみる例
# ※実際の開発では必ず最新版を使いましょう！
RUN pip install "requests==2.20.0"
# アプリのコピー
COPY . .
CMD ["python", "main.py"]次に、このイメージをスキャンして「SBOM」を出力し、脆弱性を見つけるコマンドを GitHub Actions などの設定ファイル（YAML）形式で見てみましょう。
実用的なスキャン設定例（GitHub Actions）
name: Container Security Scan
on: [push] # コードがプッシュされたら自動で動かします
jobs:
scan:
runs-on: ubuntu-latest
steps:
- name: コードをチェックアウト
uses: actions/checkout@v3
- name: コンテナイメージをビルド
run: docker build -t my-app:${{ github.sha }} .
- name: TrivyでSBOMを作成し、脆弱性をチェック
uses: aquasecurity/trivy-action@master
with:
image-ref: 'my-app:${{ github.sha }}'
format: 'table' # 読みやすいテーブル形式で表示
exit-code: '1' # 深刻な脆弱性(CRITICAL)があれば、わざとエラーにして止める
ignore-unfixed: true # まだ修正方法が見つかっていないものは除外（現場の知恵です）
severity: 'CRITICAL,HIGH' # 非常に危険なものだけをピックアップこの設定をしておけば、もし requests==2.20.0 に深刻なバグ（泥棒が入れる穴）が見つかっていた場合、デプロイされる前に「ちょっと待った！」とシステムが教えてくれます。
—
5. ホワイトハッカーからのアドバイス：盲点は「一度きり」の確認
ここで、現場を知る私から皆さんに一番伝えたい「泥臭い知恵」があります。
それは、「一度スキャンしてOKだったからといって、一生安全なわけではない」ということです。
今日の時点では「安全な鍵」だと思われていても、明日には新しいピッキング手法が見つかるかもしれません。だからこそ、SBOMは一度作って終わりではなく、「定期的に、最新の指名手配リスト（脆弱性DB）と照らし合わせる」ことが重要です。
家を建てたときだけ鍵を確認するのではなく、毎日寝る前に「最近、近所で変な噂はないかな？」と確認するような感覚ですね。
—
まとめ：一歩ずつ、安心なシステムへ
コンテナセキュリティやSBOMと聞くと難しそうですが、結局のところは「中身をちゃんと把握して、悪いやつらが狙っている隙がないかを確認する」という、ごく当たり前の防犯対策なんです。
1. 中身を可視化する（SBOMの作成）
2. 自動でチェックする（CI/CDへの組み込み）
3. 継続的に見守る（継続的なスキャン）
この3ステップを意識するだけで、あなたの作るシステムはぐっと強固になります。最初はツールの出力結果が多くて驚くかもしれませんが、大丈夫。一つずつ、優先度の高いもの（CRITICAL）から直していけばいいんです。
セキュリティは、完璧を目指すことよりも、昨日より少しだけ安全にすることを積み重ねるのが一番の近道ですよ。一緒に頑張っていきましょう！
コメント