GitLab、2023年度第1四半期にリリースされた新機能を発表

NO BUDGET

2023-06-19 07:41

 DevSecOpsプラットフォームを提供するGitLabは、2023年度第1四半期(2023年2〜4月)にリリースされた「GitLab」の新機能を発表した。

 これらには「AIによる脆弱(ぜいじゃく)性緩和ガイダンス」「ライセンスポリシーの設定とソフトウェアライセンスのスキャンによるコンプライアンスの確保」「個人アクセストークン(PAT)の漏えい防止」などかある。

 GitLabの2023年グローバルDevSecOps調査レポート「Security Without Sacrifices(犠牲にしないセキュリティ)」によると、DevSecOpsプラットフォームを使用していないセキュリティ担当者は、修正を行える人を探すのに苦労しがちで、脆弱性の分析結果の理解にも苦しんでいることが分かった。

 これに対し、脆弱性緩和ガイダンスは特定のコードベースにあるコンテキスト内で脆弱性を修正する最善の方法を見つけやすくする。大規模言語モデルの説明能力を生かした「GitLab AI」によって脆弱性に関する助言を行うもので、初期テストでは、脆弱性修正措置の決定までの時間短縮が期待される結果を得た。

 コンプライアンスの確保では、新しい改良型のライセンスコンプライアンススキャナーとライセンス承認ポリシーをリリースした。新しいスキャナーは、適用するデュアルライセンスまたは複数のライセンスを含むパッケージからライセンス情報を抽出し、自動的に構文解析して500種類以上のライセンスを識別する。従来は20種類しか識別できなかったので大幅な増加となる。またライセンス承認ポリシーは、未承認のライセンスが使用されるリスクを最小限に抑え、手作業でのコンプライアンス確保に要する時間と労力を削減できる。

 個人アクセストークン(PAT)の漏えい防止では、開発者がPATをコードに誤ってコミットするリスクを軽減するために、パブリックGitLabリポジトリー内の漏えいしたPATを自動的に取り消すようにした。これによりGitLabユーザーやユーザー組織が認証情報の漏えいを防止し、本番アプリケーションへのリスクを軽減できる。最近のサイバー攻撃では、漏えいした個人アクセストークンがソースコードに含まれていたことが問題の原因として指摘されることがあるという。

 このほかにも、セキュリティ関連の新機能が発表された。

 「セキュリティポリシーの自動適用」では、適切な承認なしにセキュリティルールが迂回されることを防止する。さまざまなプロジェクトやコードコミットにセキュリティポリシーを手動適用すると、多大な時間が必要になるが、同機能により、セキュリティチームは、さまざまなチーム(QA、ビジネス、法務など)の複数の承認者による承認の義務付け、2段階承認プロセス、ポリシー対象外ライセンスの使用に関する例外の承認などのポリシールールを迅速に設定できる。設定したポリシーは、グループまたはサブグループレベルで複数の開発プロジェクトに適用でき、一元化された単一のルールセットを容易に維持できる。

 また「セキュリティテストでの誤検出の防止」では、「DAST API Analyzer」の精度を改善し、誤検出を推定78%削減した。「GitLab 2023グローバルDevSecOps調査」レポートによると、セキュリティ担当者の不満の上位3項目に過剰な誤検出が入っている。

 さらにGitLabでは、まもなくリリースする予定として「グループ/サブグループレベルの依存関係リスト」や「コンテナおよび依存関係の継続的スキャン」「コンプライアンスフレームワーク管理ツール」「SBOMの取り込み」などの機能もロードマップに掲げている。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. ビジネスアプリケーション

    改めて知っておきたい、生成AI活用が期待される業務と3つのリスク

  2. ビジネスアプリケーション

    Google が推奨する生成 AI のスタートアップガイド、 AI を活用して市場投入への時間を短縮

  3. セキュリティ

    「2024年版脅威ハンティングレポート」より—アジアでサイバー攻撃の標的になりやすい業界とは?

  4. セキュリティ

    まずは“交渉術”を磨くこと!情報セキュリティ担当者の使命を果たすための必須事項とは

  5. クラウドコンピューティング

    生成 AI リスクにも対応、調査から考察する Web ブラウザを主体としたゼロトラストセキュリティ

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]