システム監視とセキュリティトリアージを1プラットフォームで――New Relicが新機能

New Relicが、新たにアプリケーション脆弱性管理機能を追加した。サーバレスアプリケーションのセキュリティリスク管理にも対応する。

[原田美穂，ITmedia]

　ITシステム基盤向けの「オブザーバビリティ」（可観測性）プラットフォーム「New Relic」が、新たにアプリケーション脆弱（ぜいじゃく）性管理の機能「New Relic Vulnerability Management」を追加した。

　New RelicはIT基盤全体の稼働状況のテレメトリ情報やシステム構成の情報を一手に集約して可視化するツールだ。従来、ハードウェアやネットワークトラフィック、OSやアプリケーションパフォーマンスの情報などは個別の部門が個別のツールを使って監視してきたが、これらの情報を集約して全体を見る仕組みになっている。

New Relicの提供機能概要（出典：New Relic説明資料）

トヨタ、MUFG、イオンらが導入、システムオブザーバビリティの利点は何か

　国内でも大手企業を中心に、製造、流通、金融、ITサービスなどの業界で採用が進む。トヨタ自動車や三菱UFJ銀行の他、イオングループ、三越伊勢丹のサービス基盤、FIFAワールドカップカタール大会をインターネット配信したAbemaの配信基盤にも導入されている。

New Relic社長　小西 真一朗氏

　New Relic社長の小西 真一朗氏は「設立から3年に当たる2022年に顧客は5000社を超えた。それから1年でユーザー企業は15000社まで拡大した。オブザーバビリティの浸透が進めば設立5年で5万社の顧客獲得という目標の実現可能性も見えてきた」と、今後さらにニーズは拡大すると見込む。同社製品と連携する「テクノロジーエコシステムパートナー」は500社を越えた。その背景には「攻めのIT」を急ぐために「守りのIT」の本格的な整備に取り組む企業の思惑がある。

　「ITシステムは従来、ノンコア業務の支援が中心だったが、いまやコア業務のデジタル化が主戦場。過去ITシステムはビジネスを補助する位置付けにすぎなかったが、今はシステムがビジネスそのものになりつつある。そのシステムを観測制御するオブザーバビリティは経営の視点からも必須だが、企業に重要なのは顧客接点の向上など収益に結び付く施策だ。運用にコストを投下できないからこそ、効率化が進みSaaSを含む複雑な環境になりつつある。少ない人員で安全かつ確実にこれらを運用するには全体の観測は従来以上に重要になる」（小西氏）

New Relicの採用企業例（出典：New Relic説明資料）

サーバレスアプリケーションのランタイム脆弱性も観測可能に

New Relic　CTO　松本大樹氏

　今回発表した新機能New Relic Vulnerability Managementは、同社が買収したK2 Cyber Securityの機能の一部をNew Relicに統合したものだ。New RelicのAPMエージェントを使って他の情報と同様、ニアリアルタイムにアプリケーションの構成情報を収集して監視する。このデータをNISTの脆弱性情報を突合してリスクをスコアリングする。

　製品発表の会見において、同社CTO（最高技術責任者）の松本大樹氏は「アプリケーション脆弱性管理は、既存のソリューションで対応する企業が多いが、詳細を聞くと、脆弱性管理のうちでもOSやミドルウェアの管理が中心であり、アプリケーションが使うライブラリ類の脆弱性は観測出来ていないことが多い。New Relic Vulnerability Managementはアプリケーション脆弱性もカバーする」と、利点を説明した。

　K2 Cyber Securityが提供する機能のうち、まずは、OSを持たないサーバレスアプリケーションを対象にランタイムを監視する「Runtime Application Self-Protection」（RASP）と、限定プレビューとして公開される本番環境にデプロイする前に脆弱性を検出するテスト機能「Interactive Application Security Test」（IAST）の2つを追加。さらにリスク情報の自動トリアージやサードパーティ製品からのテレメトリ情報の外部データソースをAPI経由で統合、SlackやWebhookを使ったアラート通知などの機能も新たに追加した。

K2 Cyber Securityが提供する機能群。このうち囲みにある2機能が統合された（出典：New Relic説明資料）

セキュリティトリアージの例（出典：New Relic説明資料）

　New Relic Vulnerability Managementは、現在利用するサードバーティ製脆弱性管理製品と組み併せながら、運用をNewRelicに統合することも可能だ。観測データが膨大になるため、New Relic Vulnerability Managementを利用するには、大容量データを扱える「Data Plus」プランの契約が必要になる。