ソフトウェアサプライチェーンへの危険なコンポーネントの侵入を阻止

従来のSCAは脆弱性データベースに依存しているため、未知のパッケージや未成熟なパッケージが組織内に侵入する前にブロックすることはできません。そのため、未検証のパッケージがダウンロードされた瞬間に、開発者のワークステーションが攻撃にさらされることになります。Curationは、取り込み時に未成熟ポリシーを適用することでこれを防止し、侵害発生後に対処するのではなく、入口で新たな脆弱性を阻止します。

大統領令14028とEUサイバーレジリエンス法の双方が、オープンソースコンポーネントの検証を統合後ではなく統合前に行うことを求めています。 Curationはコンポーネントがリクエストされた瞬間にポリシーを適用し、すべてのリクエスト、ブロック、承認を自動的に記録します。 その改ざん不可能な記録こそが、両方のフレームワークが要求する文書化されたエビデンスであり、開発者がすでに行っている作業の副産物として生成されます。

CurationはAIアセットを第一級のコンポーネントとして扱い、パッケージと同様に、Hugging FaceやNVIDIA NIMのモデルに対しても同じポリシー適用を実施します。すべてのモデルは環境に導入される前にポリシーに照らして評価され、Hugging Faceモデルの97.1％およびCatalog内の1,800万以上のコンポーネントにわたる検証済みのインテリジェンスが活用されます。

開発者、CIパイプライン、またはAIエージェントがパッケージを要求すると、JFrog Curationは、ファイルをダウンロードしてスキャンする代わりに、数百万のパッケージに関するあらかじめ用意された記録であるJFrog Catalogと照合します。パッケージが悪意のあるもの、脆弱なもの、またはライセンスやパッケージの公開からの経過期間などに関するポリシーに違反している場合、Curationがブロックします。各ファイルをダウンロードする代わりにJFrog Catalogをチェックするため、パイプラインが一度に数百のパッケージを解決している場合でも遅延は発生しません。リスクのあるパッケージが開発者に届くことはありません。

JFrogのセキュリティリサーチチームは、データの不正流出、依存関係の混同（Dependency Confusion）、タイポスクワッティングなどの悪意のある挙動にフラグを立てる自動スキャナーを実行し、CVEが登録される前に悪意度スコアを算出します。JFrog Catalogは、各コンポーネントのメタデータ、挙動、出所を継続的に分析するため、Curationは公開データベースに先駆けて、JFrog独自のインテリジェンスに基づいて脅威をブロックできます。

通常、開発者が気づくことはありません。Curationが準拠バージョンを提供し、ビルドが続行されます。存在しない場合、開発者はワークフローから適用免除を申請できます。チケットは不要で、即座に承認されるか、ポリシーに従って承認者にルーティングされます。適用免除には有効期限を設定できるため、アクセスが恒久的な例外になることはありません。

はい、キャッシュされたパッケージにポリシーを適用する設定が有効になっている場合です。Curationのデフォルトでは、リクエストの時点でリスクのあるパッケージを阻止しますが、ダウンロード時には安全だったパッケージが後から悪意のあるパッケージとして検出されることがあります。この設定を有効にすると、Curationはキャッシュされたパッケージに現在のポリシーを適用し、セキュリティ態勢が変化したパッケージをブロックします。