SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール

岸本, 理央; 神田, 哲也; 眞鍋, 雄貴; 井上, 克郎; 肥後, 芳樹

SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール

岸本, 理央; 神田, 哲也; 眞鍋, 雄貴他

電子情報通信学会技術研究報告. 信学技報, 2023, 123(123), 43-48

Number of Access:105（2025-04-28 13:55 Counts）

Identifier to cite or link to this item: https://hdl.handle.net/11094/93134

Link to primary information

File	Format	Terms of use	Size	Views	Date.Available	Description	information
itr123_123_43	pdf	None	419 KB	74	2023.11.15

Item Information

Output File Export EndNote Basic Export Mendeley

Title	SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール
Title	A tool for vulnerability assessment and checksum verification using SPDX documents
Creator	CreatorName 岸本, 理央
	NRID 1000090780726 1000090780726 researchmap permalink t-kanda t-kanda Scopus Author ID 55853578000 55853578000 CreatorName 神田, 哲也
	NRID 1000020625339 1000020625339 CreatorName 眞鍋, 雄貴
	Scopus Author ID 7601540520 7601540520 NRID 1000020168438 1000020168438 CreatorName 井上, 克郎
	NRID 1000070452414 1000070452414 ORCID 0000-0002-8278-8975 0000-0002-8278-8975 researchmap permalink yoshiki.higo yoshiki.higo Scopus Author ID 7004831134 7004831134 CreatorName 肥後, 芳樹
Subject	SBOM
	SPDX
	脆弱性
Description	岸本, 理央, 神田, 哲也, 眞鍋, 雄貴, 他. SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール. 電子情報通信学会技術研究報告 123(123), 43 (2023)
Abstract	近年のソフトウェア開発ではライブラリが広く利用されている．しかし，その管理は十分ではなく，ライブラリに脆弱性が発見された場合の対応の遅れなどが問題となっている．これらの問題を解決するためにソフトウェア部品表（Software Bill of Materials，SBOM）の利用が推奨されているが，その活用を支援するツールは不足している．そこで，本研究では，SBOM の主要な記述形式の 1 つである SPDX 形式で作成された SBOM を用いたソフトウェアの適切な管理を，既存のツールを組み合わせて行う場合に比べてより省力化することを目的として，SPDX ドキュメントの管理を支援するツール「Osmy」を作成した．Osmy によって，ソフトウェアの脆弱性診断およびチェックサム検証によるソフトウェアの破損・改ざん検知を自動的かつ定期的に行うことができる．また，Osmy によって SPDX ドキュメントの管理が省力化されることを確認し，Osmy が定期実行にあたって十分な速度で動作することも確認した．
Abstract	Libraries are widely used in recent software development, but their management is insufficient, and there are problems such as delays in responding when vulnerabilities are discovered in the libraries. To solve these problems, the use of software bill of materials (SBOM) is recommended. However, there is a lack of tools to support its use. Therefore, in this study, we developed a tool called “Osmy” to support the management of SBOM created in the SPDX format, one of the major formats of SBOM, with the aim of making the appropriate management of software using SPDX documents more labor-saving than using existing tools. Osmy can automatically and periodically perform software vulnerability assessment and software corruption/falsification detection through checksum verification. We have confirmed that Osmy is fast enough to run on a regular basis, and that it reduces the amount of work required to manage SPDX documents.
Conference Information	Conference Name SIGSE/KBSE/SS 2023年7月合同研究会 Conference Sponsor 電子情報通信学会知能ソフトウェア工学研究会/電子情報通信学会ソフトウェアサイエンス研究会/情報処理学会ソフトウェア工学研究会 Conference Date July 20th to July 22nd, 2023 Conference Venue 北海道自治労会館 5Fホール/オンライン Conference Place Hokkaido Conference Country Japan
Publisher	電子情報通信学会
Source Title	電子情報通信学会技術研究報告. 信学技報
Source Title	IEICE technical report
Volume (Issue)	123(123)
Page	43-48
Date of Issued	2023-07-13
Language	Japanese
Handle URL	https://hdl.handle.net/11094/93134
PISSN	09135685
eISSN	24326380
Relation.isIdenticalTo	URI https://ken.ieice.org/ken/paper/20230721LCV8/
Access Rights	open access
CopyRight	Copyright©2023 IEICE
oaire:version	Version of Record
Category	会議発表論文 Conference Paper

Resource Type	conference paper
Local Type	Conference Paper
DCMI Type	Text
DCTERMS.bibliographicCitation	電子情報通信学会技術研究報告. 信学技報. 2023, 123(123), p. 43-48
DC.title	SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール
DC.title	A tool for vulnerability assessment and checksum verification using SPDX documents
DC.creator	岸本, 理央
	神田, 哲也
	眞鍋, 雄貴
	井上, 克郎
	肥後, 芳樹
DC.publisher	電子情報通信学会
DC.language' scheme='DCTERMS.RFC1766	Japanese
DC.type' scheme='DCTERMS.DCMIType	Text
DCTERMS.issued' scheme='DCTERMS.W3CDTF	2023-07-13
DC.relation' scheme='DCTERMS.URI	https://ken.ieice.org/ken/paper/20230721LCV8/
DC.subject	SBOM
	SPDX
	脆弱性
DC.description	岸本, 理央, 神田, 哲也, 眞鍋, 雄貴, 他. SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール. 電子情報通信学会技術研究報告 123(123), 43 (2023)
DCTERMS.abstract	近年のソフトウェア開発ではライブラリが広く利用されている．しかし，その管理は十分ではなく，ライブラリに脆弱性が発見された場合の対応の遅れなどが問題となっている．これらの問題を解決するためにソフトウェア部品表（Software Bill of Materials，SBOM）の利用が推奨されているが，その活用を支援するツールは不足している．そこで，本研究では，SBOM の主要な記述形式の 1 つである SPDX 形式で作成された SBOM を用いたソフトウェアの適切な管理を，既存のツールを組み合わせて行う場合に比べてより省力化することを目的として，SPDX ドキュメントの管理を支援するツール「Osmy」を作成した．Osmy によって，ソフトウェアの脆弱性診断およびチェックサム検証によるソフトウェアの破損・改ざん検知を自動的かつ定期的に行うことができる．また，Osmy によって SPDX ドキュメントの管理が省力化されることを確認し，Osmy が定期実行にあたって十分な速度で動作することも確認した．
DCTERMS.abstract	Libraries are widely used in recent software development, but their management is insufficient, and there are problems such as delays in responding when vulnerabilities are discovered in the libraries. To solve these problems, the use of software bill of materials (SBOM) is recommended. However, there is a lack of tools to support its use. Therefore, in this study, we developed a tool called “Osmy” to support the management of SBOM created in the SPDX format, one of the major formats of SBOM, with the aim of making the appropriate management of software using SPDX documents more labor-saving than using existing tools. Osmy can automatically and periodically perform software vulnerability assessment and software corruption/falsification detection through checksum verification. We have confirmed that Osmy is fast enough to run on a regular basis, and that it reduces the amount of work required to manage SPDX documents.
DC.rights	Copyright©2023 IEICE
DC.format	93134
citation_title	SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール
citation_author	岸本, 理央
	神田, 哲也
	眞鍋, 雄貴
	井上, 克郎
	肥後, 芳樹
citation_publisher	電子情報通信学会
citation_language	Japanese
citation_date	2023-07-13
citation_journal_title	電子情報通信学会技術研究報告. 信学技報
citation_volume	123
citation_issue	123
citation_firstpage	43
citation_lastpage	48
citation_public_url	https://hdl.handle.net/11094/93134
citation_abstract_html_url	https://ken.ieice.org/ken/paper/20230721LCV8/

SPDXドキュメントを用いた脆弱性診断とチェックサム検証を行うツール

Link to primary information

Item Information

Show details