Cloudbase株式会社は、セキュリティプラットフォーム「Cloudbase」において「Cloudbase Sensor」の機能を拡張し、.NET（NuGet）パッケージのスキャンに対応したと発表した。

今回の機能拡張により、オンプレミス環境などで稼働する.NETアプリケーションで利用されているオープンソースソフトウェア（OSS）パッケージを自動的に検出し、ソフトウェア部品表であるSBOM（Software Bill of Materials）として可視化できるようになった。収集したパッケージ情報をもとに、該当するパッケージに関連する脆弱性も同プラットフォーム上で確認可能となる。

.NETプロジェクトのマニフェストファイルを自動解析

今回のアップデートでは、Cloudbase Sensorが対象システム上に存在する.NETプロジェクトのマニフェストファイルを自動的に検出・解析し、NuGetパッケージの情報を収集する。ASP.NET CoreをはじめとするNuGetベースの.NETアプリケーションで利用されているOSSパッケージを検出し、Cloudbase上でSBOMとして確認できる。

ファイルシステム上に存在する.NETプロジェクトが検出対象となり、同一ホスト上に複数の.NETアプリケーションが存在する場合も、プロジェクト（マニフェスト）単位で自動的にグルーピングされる仕組みとなっている。収集されたコンポーネント情報は、「ソフトウェア一覧」画面や各リソース詳細の「ソフトウェア」タブから確認できる。

対応ファイルと収集される情報

対応する主なマニフェストファイルは以下の通りである。

• .deps.json（.NET Coreのビルド出力に含まれる依存関係情報）
• packages.lock.json（NuGetのロックファイル）
• packages.config（従来形式のNuGetパッケージ定義）
• Directory.Packages.props / .packages.props（Central Package Managementで利用されるパッケージ定義）

また、スキャンによって収集される情報は以下の通りとなる。

• パッケージ名
• バージョン
• ライセンス情報
• パッケージの所在パス
• パッケージ間の依存関係 PURL（Package URL）

.NETは企業の業務システムやWebアプリケーションなどで広く利用されている一方、オンプレミス環境などでは複数のプロジェクトやパッケージが混在し、OSSのバージョンや依存関係を網羅的に把握し続けることが課題となっていた。

今回の対応により、オンプレミス環境等で稼働する.NETアプリケーションの構成をSBOMとして可視化し、関連する脆弱性とあわせて確認することで、どのシステムがどのOSSを使用し、どの脆弱性の影響を受ける可能性があるかを把握しやすくなる。これにより、クラウド環境だけでなくオンプレミス環境を含むシステム全体のソフトウェア資産と脆弱性を一元的に管理し、継続的なリスク管理につなげることができるとしている。

Cloudbase株式会社の概要

• 社名：Cloudbase株式会社
• 代表者：代表取締役CEO 岩佐晃也
• 設立：2019年11月
• 本社所在地：東京都港区三田3-2-8 THE PORTAL MITA 2F
• 事業内容：「Cloudbase」および「Cloudbase AI」の開発・提供

本記事はCloudbase株式会社の発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。