目覚めて 2017 年のロシアの大規模な NotPetya マルウェア攻撃やクレムリンの 2020 年の SolarWinds サイバースパイ キャンペーンのような憂慮すべき事件が発生したため、世界中の組織がソフトウェア サプライ チェーンのセキュリティを処理しようと躍起になっています。 一般に、特にオープンソース ソフトウェアの場合、より強力な防御は、全体を構成するすべての小さな部分を列挙し、それらが本来あるべき姿であることを検証することに重点を置いて、実際に実行しているソフトウェアを知ることにかかっています。 そうすれば、ソフトウェアの家宝を箱に詰めて棚に保管すると、ライブマイクや悪魔の卵でいっぱいのタッパーウェアが箱の中に何年も置かれていないことがわかります.
すべての地下室とガレージにあるすべてのボックスの中身のマニフェストを生成するシステムを作成するのは大変な作業ですが、セキュリティ会社 Chainguard の新しいツールは、今日のほぼすべてのデジタル サービスの根底にあるソフトウェア「コンテナー」に対してまさにそれを行うことを目的としています。
木曜日はチェーンガード ローンチ Wolfi と呼ばれる Linux ディストリビューションは、今日のデジタル システムがクラウドで実際にどのように構築されるかに特化して設計されています。 ほとんどの消費者は、有名なオープン ソース オペレーティング システムである Linux を自分のパソコンで使用していません。 (知っていたとしても、Linux の修正バージョン上に構築された Android の場合のように、必ずしもそれを知っているとは限りません。) しかし、オープンソースのオペレーティング システムは、世界中のサーバーやクラウド インフラストラクチャで広く使用されています。その理由の 1 つは、このような柔軟な方法で展開できることです。 リリースするアイスクリームのフレーバーを選択するしかない Microsoft や Apple のオペレーティング システムとは異なり、Linux のオープンな性質により、開発者はさまざまな欲求や特定のニーズに合わせて、「ディストリビューション」と呼ばれるあらゆる種類のフレーバーを作成できます。 しかし、他の Linux ディストリビューションを含め、オープンソース ソフトウェアに何年も取り組んできた Chainguard の開発者は、重要なフレーバーが欠けていると感じていました。
Chainguard のプリンシパル エンジニアである Ariadne Conill 氏は、次のように述べています。 「ディストリビューションが異なれば、含まれるソフトウェアも異なります。それらは厳選されたソフトウェアのコレクションです。 最初からすべてが適切な Linux ディストリビューションから始めることは、ソフトウェア開発者が独自のものを適切に作成する上で大きな利点となります。」
ソフトウェア コンテナは、輸送用コンテナから建てられた家のようなものだと考えてください。 生活に必要なものはすべてそこにありますが、コンテナハウスを手に取って、必要な場所に移動できます。 オペレーティング システムが、コンテナ ハウス内の電化製品、電気配線、配管、およびその他のインフラストラクチャのようなものである場合、コンテナ ハウス内のすべてのセキュリティを確保するために、Wolfi が事前に調査および事前にアイテム化しているものです。 Wolfi は、開発者がコンテナー内のソフトウェアを安全な方法で構築および追加するのに役立つ Chainguard の他のツールとスムーズに連携するように設計されています。 言い換えれば、家具や個人の所有物を検証して、コンテナの家のインデックスに追加するのは簡単です。 そうすれば、家に侵入された場合に、何がどのように発生したかを簡単に特定できます。 また、家を海外に発送する場合は、税関を示す詳細なマニフェストがあります。
Chainguard のソフトウェア エンジニア、Adolfo Garcia 氏は次のように述べています。 「ソフトウェアについては、ビルド時に情報を収集する能力がなければ、そこにあるものについて多くのことを見逃してしまうでしょう。」