AWS Security Hub Extended、サプライチェーンセキュリティが 10 番目のカテゴリに仲間入り！

やっほー、しぃちゃんだよ！今日は AWS Security Hub まわりから、開発者のみんなが日々お世話になっているオープンソースライブラリに関わる、うれしいニュースが届いたよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、AWS Security Hub Extended に「サプライチェーンセキュリティ」が第 10 のセキュリティカテゴリとして追加されたよ。新しいキュレーティッドパートナーは Chainguard と Socket の 2 社なの。

これによって、アプリケーションに組み込む前の段階で、悪意のある依存関係を検出してブロックできるようになったんだって。他の Extended カテゴリと同じように、有効化はシンプルで、料金も従量課金のまま使えるよ。

なぜ重要なの？

開発者はいまや当たり前のようにオープンソースライブラリを大規模に使っているよね。でもその分、取り込むパッケージが本当に信頼できるものなのか、悪意のあるコードが紛れ込んでいないかを、セキュリティチームが確認しきれないという悩みがあったの。

サプライチェーン攻撃、つまり正規のパッケージやライブラリを装って悪意のあるコードを送り込む手口は、開発の入り口にあたる依存関係の段階で対策しないと防ぎにくいという特徴があるよ。だからこそ、ビルドに組み込まれる前に依存関係をチェックできる仕組みが求められていたの。

これで何が変わるの？

セキュリティチームは、Chainguard や Socket の検出結果を Security Hub Extended から直接活用できるようになるよ。他のカテゴリと同じ流れで有効化できて、支払いも AWS の請求に一本化されるから、新しいベンダーとの契約や個別の請求管理といった手間が増えないの。

Security Hub Extended は、エンドポイント・アイデンティティ・メール・ネットワーク・データ・ブラウザ・クラウド・AI・セキュリティオペレーションといった領域を、パートナーソリューションの組み合わせでカバーするプランだよ。そこにサプライチェーンという領域が加わったことで、セキュリティチームが見るべき範囲がより広くカバーされるようになったんだね。

深く潜ってみよう

技術的なポイントをまとめておくね。

• 新カテゴリ: サプライチェーンセキュリティ(Security Hub Extended の 10 番目のカテゴリ)
• 新パートナー: Chainguard、Socket
• パートナー総数: このカテゴリ追加を含めて、Extended プラン全体で計 23 個のキュレーティッドパートナーソリューション
• 検出結果の形式: 全パートナーの検出結果は Open Cybersecurity Schema Framework(OCSF)で出力され、AWS Security Hub に自動集約される
• 料金・契約: 他の Extended カテゴリと同様、従量課金制で長期契約は不要。すべて単一の AWS 請求書にまとまる
• 提供状況: Security Hub が利用可能なすべての AWS 商用リージョンで本日から利用可能

Security Hub Extended は今後もカテゴリやパートナーを増やしていく方針みたいだから、次はどんな領域が来るのか気になるところだね。

まとめ

• AWS Security Hub Extended に「サプライチェーンセキュリティ」が第 10 のカテゴリとして追加
• 新パートナーは Chainguard と Socket
• 悪意のあるオープンソース依存関係を、アプリケーションに組み込む前に検出・ブロックできる
• 検出結果は OCSF で統一され、Security Hub に自動集約される
• パートナー総数は計 23 個、支払いは単一請求・従量課金・長期契約なしのまま
• 商用リージョンで本日から利用可能

オープンソース依存関係の管理に頭を悩ませているセキュリティチームや、Security Hub をすでに使っているエンジニアに刺さるアップデートだよ！