SDLC全体のオープンソースリスクを検出、優先順位付け、修復

はい。Xray は Artifactory と同様に、JFrog Platform の中核コンポーネントです。このシームレスな統合により、Xray は Artifactory と連携し、両製品の間で豊富なメタデータを共有します。その結果、セキュリティ上の問題を深く把握できるだけでなく、影響範囲全体を理解し、より効果的なリスク評価と修復が可能になります。

SaaS（クラウド）またはセルフホストのサブスクリプションが Pro X、Enterprise X、または Enterprise+ の場合、Xray が含まれています。

Xray は Docker、Maven、PyPI、npm、NuGet など、25 種類以上のパッケージタイプと技術に対応しています。Artifactory と同様に汎用性が高く、これらを一箇所で保管できます。さらに、ビルド、コンテナ、保管済みアーティファクトをスキャンし、オープンソースの依存関係に起因するセキュリティリスクと脆弱性を特定できます。

はい。Xray はイメージのすべてのレイヤーを再帰的に深くスキャンし、各レイヤー内のすべてのコンポーネントを特定します。これにより、使用中の依存関係を網羅的に把握できます。さらに、既存のポリシー条件に違反するコンポーネントも検出でき、コンプライアンスとセキュリティを確保できます。

はい。Xray は、イメージとビルド済みアーティファクトが Artifactory にアップロードされる際にスキャンできます。さらに、ビルドプロセスのメタデータ（ビルド情報）を取得し、詳細な分析のために JFrog Platform へ公開できます。ビルド情報を直接スキャンすることで、特定のビルドに含まれるすべての依存関係を把握し、セキュリティリスクの評価とコンプライアンスの確保に役立ちます。

Xray のシフトレフトのアプローチは、開発者が日常的に使う主要な IDE とシームレスに統合されます。VS Code、IntelliJ、Visual Studio、PyCharm などのプラグインにより、開発環境の中でセキュリティ脆弱性とコンプライアンス上の問題を早期に検出できます。

はい。Xray は複数のポリシーに完全対応しており、多くのお客様がリポジトリ全体でセキュリティとコンプライアンスを徹底するためにこの機能を利用しています。ポリシーは複数のリポジトリに適用でき、重要な資産を幅広くカバーします。事前にポリシーを設定しておくと、Xray は問題が発生した時点で能動的に検出し、強調表示します。

はい。Artifactory が GitHub、Jenkins、Azure などの CI サーバーとシームレスに統合されるように、Xray も CI/CD パイプラインに組み込めます。パイプラインのスクリプトに Xray スキャンをステップとして追加すれば、開発サイクルの早い段階でセキュリティ脆弱性とコンプライアンス上の問題を自動的に検出できます。

はい。更新は自動で行われ、通常は 1 日 1 回です。ただしセキュリティインシデントが発生した場合は更新を早め、必要に応じてより高い頻度で配信します。インシデントに関する知見が増えるにつれ、最新の脅威インテリジェンスをリアルタイムで提供し、新たなリスクへ効果的に対応できるようにします。

はい。JFrog Xray は高可用性を備えており、SCA スキャンが確実に実行されます。これはパイプラインを止めず、ソフトウェアの安全性を保つために不可欠です。JFrog の SaaS として利用する場合、Xray は業界をリードする 99.99% の稼働率 SLA で提供されます。JFrog Platform を自社で運用する場合は、Xray を高可用性クラスタとしてデプロイできます。