ストーリー

SCAの仕組み

SCAが解析する対象

SCA の解析範囲:

直接依存（Direct Dependencies）
├── package.json に記載されているライブラリ
├── requirements.txt に記載されているライブラリ
└── pom.xml に記載されているライブラリ

推移的依存（Transitive Dependencies）
├── 直接依存ライブラリが依存しているライブラリ
├── そのまた依存ライブラリ（深いネスト）
└── package-lock.json / yarn.lock に記録

コンテナイメージの依存
├── ベースイメージの OS パッケージ
├── ランタイムのバージョン
└── 追加インストールされたパッケージ

IaC（Infrastructure as Code）の依存
├── Terraform モジュール
├── Helm チャート
└── CloudFormation テンプレート

脆弱性データベース

CVSSスコアリング

主要なSCAツール

Trivyによるスキャン例

# ファイルシステムスキャン（package-lock.json等を解析）
trivy fs --severity HIGH,CRITICAL --exit-code 1 .

# コンテナイメージスキャン
trivy image --severity HIGH,CRITICAL myapp:latest

# IaCスキャン（Terraform, Kubernetes等）
trivy config --severity HIGH,CRITICAL ./terraform/

# SBOM生成
trivy fs --format cyclonedx --output sbom.json .

# GitHub Actions での SCA 統合例
name: SCA Scan

on: [pull_request]

jobs:
  sca:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Trivy Filesystem Scan
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: 'fs'
          scan-ref: '.'
          severity: 'HIGH,CRITICAL'
          exit-code: '1'
          format: 'sarif'
          output: 'trivy-results.sarif'

      - name: Upload SARIF to GitHub Security
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: 'trivy-results.sarif'

SBOM（Software Bill of Materials）

SBOMとは

SBOMはソフトウェアに含まれるすべてのコンポーネント（ライブラリ、ランタイム、OSパッケージ等）のリストです。食品の原材料表示のソフトウェア版と考えてください。

SBOMの活用シーン

新しい脆弱性が公開された場合のフロー:

従来:
  [CVE公開] → 「うちのシステムに影響ある？」
  → 各チームに確認依頼
  → 1週間かけて影響範囲を調査
  → やっと対応開始

SBOM活用:
  [CVE公開] → SBOMで即座に検索
  → 影響を受けるシステム/バージョンを数分で特定
  → 優先順位を付けて即座に対応開始

CycloneDX SBOM の例

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "express",
      "version": "4.18.2",
      "purl": "pkg:npm/express@4.18.2",
      "licenses": [{"license": {"id": "MIT"}}]
    },
    {
      "type": "library",
      "name": "jsonwebtoken",
      "version": "9.0.2",
      "purl": "pkg:npm/jsonwebtoken@9.0.2",
      "licenses": [{"license": {"id": "MIT"}}]
    }
  ]
}

サプライチェーンセキュリティの強化策

SLSA（Supply-chain Levels for Software Artifacts）

実践的な対策一覧

まとめ

チェックリスト

• SCAの解析対象（直接依存・推移的依存）を理解した
• CVSSスコアによる脆弱性の優先順位付けを理解した
• SBOMの概念と活用方法を説明できる
• サプライチェーンセキュリティの強化策を把握した

次のステップへ

次は「CI/CDパイプラインへの統合」を学びます。SAST、DAST、SCAを一つのパイプラインに統合する方法を身につけましょう。

推定読了時間: 30分