Code Sight Standard Edition：開発チームのニーズに合わせてアプリケーションセキュリティを最適化

Code Sight Standard Editionのご紹介

これらの問題に対応して、シノプシスはCode Sight™を開発し、Code Sight Standard Edition（SE）の提供開始を発表する運びとなりました。Code Sight SEは、継続的インテグレーション（CI）のビルドとテストのワークフローに組み込まれているCoverity®やBlack Duck®などのアプリケーション・セキュリティ・テスト（AST）ツールとは独立して動作する、Code Sight IDEプラグインのスタンドアロン・バージョンです。Code Sight SEは、統合型のRapid Scan StaticとRapid Scan SCAを使用してIDE内でソースコードとオープンソースの依存関係を解析する、高速で手軽なアプリケーション・セキュリティ解析ツールです。セキュリティの専門家でなくても、Code Sight SEのわかりやすい説明、重大度データ、修正ガイダンスを利用することで、欠陥や不具合を速やかに修正できます。Code Sight SEはサイズの大きいファイルや大規模なプロジェクトでもセキュリティ解析スキャンを瞬時に完了するように最適化されているので、システムへの影響を最小限に抑えることができます。また、一元管理の静的アプリケーション・セキュリティ・テスト（SAST）やソフトウェア・コンポジション解析（SCA）ソリューションをデプロイして使いたいと思わないかもしれませんが、Code Sight SEをCoverityやBlack Duck（および他のベンダー製ツール）などのツールと組み合わせて使用することで、IDEから離れることなく、一元的な解析による高い効果を得ることができます。

ソースコードのセキュリティ上の欠陥を発見

開発者は、使いやすく、集中力を削ぐような誤検知を発生させず、問題を速やかに修正するためのガイダンスを提供する静的解析ツールを必要としています。Code Sight SEの統合型Rapid Scan Static解析ツールは、このすべての要件を満たし、開発作業中にソースコードとIaCファイルを自動的にスキャンおよび解析します。Code Sight SEは、IaCソースコードテンプレートと構成ファイルのセキュリティの脆弱性、APIの安全性の問題、およびハードコーディングされたシークレットをチェックします。

Code Sight SEで問題が検出されると、識別しやすいように直接エディタ・ウィンドウで強調表示されます。強調表示されたコード行にカーソルを合わせると、問題の説明や修正ガイダンスなどの詳細情報が表示されます。Code Sight SEでは、IDE（統合開発環境）内で速やかに修正するための詳細なガイダンスが提供され、また、多くの問題を自動的に修正できます。

図1：Code Sight SEの統合型Rapid Scan Static解析ツールによって検出されたSASTの問題は、エディタウィンドウで強調表示されます。

オープンソースの依存関係に潜む脆弱性を特定

Code Sight SEは、開発者が作成したコードをスキャンするとともに、頻繁にスキャンを実行してオープンソースの直接的および推移的な依存関係に潜む脆弱性を特定できる高速なソフトウェア・コンポジション解析エンジンであるRapid Scan SCAを備えています。スキャンを実行すると、IDEで脆弱性の説明とID（CVE/Black Duck Security Advisory）が直接表示されます。CVSSスコアに基づく重大度情報にもアクセスできるため、問題にすばやく優先順位を付けることができます。また、Rapid Scan SCAは、Rapid Scan Staticと同様に、開発者が次に利用可能な脆弱性のない、または低リスクのコンポーネントを選択するために役立つ修正ガイダンスを提供します。

図3：Code Sight SEの統合型Rapid Scan SCAの結果は、エディターウィンドウで強調表示されます。

図4：脆弱性の説明とID（CVE/Black Duck Security Advisory）はIDEで直接表示できます。

SASTとSCAをIDEに組み込むことで、Code Sight SEは比類のない高機能を実現します。現実問題として、あなたが開発者なら、ソフトウェアを確実にセキュアでバグのない状態にしたいはずです。セキュリティの脆弱性がコードにあるのか、オープンソースの依存関係にあるのかは問題ではありません。いずれにせよ修正する必要があります。コードの解析とオープンソースの確認にそれぞれ別のツールを使用するのは面倒です。Code Sight SEを使用すると、アプリケーションのコードベース全体のセキュリティの問題に総合的に対処できます。

Code Sight SEは、Java、JavaScript、TypeScriptをサポートするVisual Studio Code IDE内で使用できます。Mavenやnpmなどのパッケージ管理ツール、およびAWS CloudFormation、ELK、Helm、Kubernetes、TerraformなどのIaCプラットフォームとファイル形式がサポートされています。サポートされるファイル形式には、HCL（Terraform）、HTML、JSON、JSX、プロパティ、TOML、TSX、Vue、XML、YAMLなどがあります。Coverity SASTまたはBlack Duck SCAのCode Sight IDEプラグインを使用すると、さらに多くの言語とIDEがサポートされます。