JFrog（ジェイフロッグ）は、Xrayに組み込まれた脅威インテリジェンスダッシュボードであるThreat Hubをリリース。サプライチェーンにおける新たなインシデントの発生をチームが把握してから、自社の脆弱性を正確に理解するまでの時間を短縮する。このツールは、npm、PyPI、Hugging Faceに悪意のあるパッケージが出現したり、共通脆弱性識別子（CVE）が急増したり、セキュリティーチームやDevSecOpsチームが対応に追われるような即時の内部アラートが発生するなど、頻繁かつ騒々しい情報開示という繰り返される問題への対応策として位置付けられている。
同社は、典型的な対応ワークフローは断片的で時間のかかるものだと説明した。アナリストは、入ってくるアドバイザリやソーシャルフィードを常に精査して信頼できるシグナルを探し出し、記述式レポートから影響を受けるパッケージ名とバージョン範囲を抽出し、推移的依存関係が深い脆弱なコンポーネントを追跡し、スキャナー、ビルドレコード、スプレッドシート間でデータを手動で関連付ける必要がある。JFrogは、このようなツールを横断する調査作業には数時間から数日かかる場合があり、その間に攻撃可能な期間は狭まっていくと警告した。
Threat Hubは、JFrog Security Researchの調査結果や関連する外部アドバイザリーなど、検証済みの投稿を統合したフィードとして特徴づけられており、毎日更新され、Xrayの概要画面からアクセスできる。各エントリーには、情報源、公開日、利用可能な場合はCVSSスコア、エコシステムタグ、影響を受けるパッケージとバージョンをグループ化した公開ラベルが表示されるとのことだ。同社は、JFrogによる実際の脆弱性評価と公開されているスコアが異なるケースを強調するために、深刻度不一致インジケーターが含まれていると述べている。
注目すべき機能の一つは、ワンクリックで組織を対象とした影響検索を開始する「Check Impact」アクションだ。生成されるレポートには、リポジトリーの場所、脆弱なコンポーネントのバージョン、スキャン日、ランタイムステータスなど、一致する全てのアーティファクトが一覧表示され、エクスポート、ポリシーの割り当て、または同一プラットフォーム内でのトリアージと修復への直接的な移行が可能になる。サポートされているCVEおよび悪意のあるパッケージの投稿については、パッケージ名の手動抽出や個別のクエリー結合は不要であると同社は述べている。
JFrogは、Threat Hubに情報を提供する調査ソースについて概説した。具体的には、npm、PyPI、Hugging Faceなどの公開レジストリーの継続的なスキャン、新規および更新されたパッケージの自動分析、疑わしい発見事項の詳細な調査、実世界の状況における悪用可能性に焦点を当てたCVE分析、そして発見されたマルウェアのレジストリー管理者への開示などである。同社は、このように厳選された情報によって、検証済みの実用的な調査結果を影響結果の横に表示することで、無秩序な情報フィードのノイズを低減できると示唆した。
この製品は、インシデントの範囲特定を短縮し、コンテキスト切り替えを減らし、悪用可能性のコンテキストに基づいて修復の優先順位付けを改善し、影響を受けるアーティファクトとスキャン日付の具体的なリストを提供することで、経営陣へのより正確な状況報告を可能にする手段として位置付けられている。JFrogは、特定の脅威を自社の環境に迅速にマッピングできるチームは、次の大規模なサプライチェーン攻撃が発生した際に、より適切に対応できる態勢を整えることができるとしている。
出典：JFrog
この製品の詳細については、JFrog製品ページをご覧ください。
