導入
近年のサイバー攻撃は、自社開発コードだけでなく、利用しているオープンソースソフトウェア（OSS）の脆弱性を突くケースが急増しています。これに対応するために重要視されているのが「SBOM（ソフトウェア部品表）」です。本記事では、SBOMの重要性と、それを実務で活用するための自動化の第一歩を解説します。なぜ今、SBOMが必要なのか。それは、自社がどのライブラリをどのバージョンで利用しているかを正確に把握しなければ、緊急の脆弱性（ゼロデイ攻撃など）が発生した際に、即座に影響範囲を特定できないからです。
基礎知識
SBOMとは、Software Bill of Materialsの略称で、ソフトウェアを構成するコンポーネント、ライブラリ、モジュールなどのリストを指します。いわば「ソフトウェアの原材料リスト」です。
欧州サイバーレジリエンス法（CRA）やPCI DSS v4.0などの最新の規制や基準では、このSBOMの管理が強く求められています。単なるリスト作成で終わらせず、脆弱性情報（CVE）と紐付けて継続的に監視する運用体制が、現代のセキュリティ担当者には不可欠です。
実装/解決策
SBOMを実務で運用する鍵は「自動化」です。開発者が手動でリストを作成するのは現実的ではありません。CI/CDパイプラインにSBOM生成ツールを組み込み、ビルドのたびに最新の構成情報を出力・検証するフローを構築します。
ここでは、広く普及しているツール「CycloneDX」のフォーマットを採用し、Python環境での依存ライブラリ一覧をJSON形式で出力する手法を紹介します。
サンプルプログラム
以下のスクリプトは、インストール済みのパッケージから依存関係を抽出し、簡易的なSBOM（JSON形式）を生成するサンプルです。
import pkg_resources
import json
from datetime import datetime
現在の環境のインストール済みパッケージからSBOMを生成する関数
def generate_sbom():
sbom = {
"bomFormat": "CycloneDX",
"specVersion": "1.4",
"metadata": {
"timestamp": datetime.utcnow().isoformat() + "Z"
},
"components": []
}
# インストール済みのパッケージを列挙
for dist in pkg_resources.working_set:
component = {
"name": dist.project_name,
"version": dist.version,
"purl": f"pkg:pypi/{dist.project_name}@{dist.version}"
}
sbom["components"].append(component)
return sbom
JSONファイルとして出力
if __name__ == "__main__":
data = generate_sbom()
with open("sbom.json", "w") as f:
# 見やすく整形して保存
json.dump(data, f, indent=4)
print("SBOMを生成しました: sbom.json")
応用・注意点
このコードで生成されるのは、あくまで「現在インストールされているもの」のリストです。実務では以下の点に注意してください。
1. 推移的依存関係の把握: ライブラリがさらに別のライブラリを呼んでいる場合（推移的依存関係）、それらも含めて可視化しなければ脆弱性は見抜けません。本番環境では Syft や Trivy といった専用ツールを活用し、SBOM生成と脆弱性スキャンを統合することをお勧めします。
2. 最新性の維持: SBOMは一度作って終わりではありません。リリースサイクルに合わせて自動的に更新される仕組み（CIツールでの実行など）を構築してください。
3. 運用の効率化: 膨大な脆弱性アラートに疲弊しないよう、yamoryのような脆弱性管理クラウドを活用し、優先順位付けを自動化する視点を持つことが、運用を長く続けるコツです。
コメント