依存関係の管理

Dependency-Trackはソフトウェア内のコンポーネントの依存関係をチェックし、構成管理を容易にします。

• ソフトウェアのコンポーネントの使用状況を追跡します。
• 何がどこで影響を受けているかを素早く特定できます。
• 以下のようなコンポーネントをサポートします。

• アプリケーション
• ライブラリ
• オペレーティングシステム
• コンテナ
• ファームウェア
• ファイル
• ハードウェア
• サービス

脆弱性スキャン

ソフトウェアと依存関係にあるコンポーネントが脆弱性を持っていないかを確認するため、脆弱性情報を提供するデータベース（例：NVD）と連携し、脆弱性の有無をチェックします。もし脆弱性が発見されると通知やレポートが生成されます。
レポートで特定できるリスクとして以下のようなものがあります。

• 既知の脆弱性を持つコンポーネント
• 古くなったコンポーネント
• 変更されたコンポーネント
• ライセンスリスク

リスク管理

各コンポーネントで発見されたコンポーネントがソフトウェアにとってどの程度危険であるかを評価できます。これによりセキュリティ対応の優先順位を決め、適切な対策を講じることが可能です。

• エクスプロイト予測スコアリングシステム（EPSS）のサポートを組み込むことで、緩和策の優先順位付けに役立てられます
• コンポーネントのプライベート脆弱性データベースの維持に役立ちます
  
• グローバルおよびプロジェクトごとのポリシーをサポートする堅牢なポリシーエンジンが、以下のようなリスクを回避するのに役立ちます

• セキュリティリスクとポリシー違反
  
• ライセンスのリスクとポリシー違反
• 運用リスクとポリシー違反

• 以下のようなコンポーネント毎に組み込まれたリポジトリに対応します

• Cargo (Rust)
• Composer (PHP)
• Gems (Ruby)
• Hex (Erlang/Elixir)
• Maven (Java)
• NPM (JavaScript)
• NuGet (.NET)
• PyPI (Python)

• 標準化されたSPDXライセンスIDをサポートし、コンポーネントごとのライセンスの使用状況を追跡します
• 分析結果をトリアージするための包括的な監査ワークフローが含まれています

自動化と統合

他のシステムと統合することで開発の各ステージにおいて、依存関係のチェックを自動化できます。これにより、依存関係に関する問題を早期に発見し、対応できるようになります。

• Slack、Microsoft Teams、Mattermost、Webhooks、メール、Jiraをサポートする設定可能な通知
  
• APIファースト設計で構築されており、OpenAPI v3により他システムとの統合が容易
• Kenna Security、Fortify SSC、ThreadFix、DefectDojo のネイティブサポート

トリアージ

Dependency-Trackには監査履歴を追跡できるエンタープライズクラスの監査ワークフローエンジンが組み込まれており、脆弱性に対するトリアージ(優先順位付け)を助けます。

分析結果ステータス

サポートされる分析結果ステータスは以下です。

• EXPLOITABLE

悪用可能（または悪用される可能性が高い）です。

• IN_TRIAGE

影響を与えるかどうかを判断するための調査が進行中です。

• FALSE_POSITIVE

誤ったロジックまたはデータによって特定されました。

• NOT_AFFECTED

特定された脆弱性の影響は受けません。

• NOT_SET

分析が開始されていません。

• Dependency-Trackのデータソース

Dependency-Trackのデータソースには以下のようなものがあります。

脆弱性データベース

• NVD

NVD(National Vulnerability Database)は、米国国立標準技術研究所(NIST)が公開している脆弱性データベースです。Dependency-Trackにはミラーリング機能があります。

• GitHub Advisories

CVEとGitHubを含むセキュリティ脆弱性データベースです。

• Open Source Vulnerabilities

オープンソースプロジェクトの脆弱性データベースとトリアージインフラストラクチャです。

• VulnDB

Risk Based Securityが提供するサブスクリプションサービス。包括的かつ継続的に更新される脆弱性インテリジェンス ソースを提供します。

脆弱性スキャンツール

• Sonatype OSS Index

有効なパッケージURLを持つコンポーネントに対して、透過的で正確な結果を提供します。

• Snyk

オープンソースの依存関係、コンテナイメージ、Infrastructure as Code (IaC)構成のセキュリティ脆弱性をスキャンし、優先順位を付け、修正できるプラットフォームです。

• Trivy

Aqua Securityによる包括的で多用途のセキュリティスキャナーであり、最も人気のあるプログラミング言語、オペレーティングシステム、プラットフォームをサポートしています。