OSS狙いのサプライチェーン攻撃に対処 脅威インテリジェンス共有プラットフォーム「Siren」発表：セキュリティニュースアラート

OpenSSFはOSSプロジェクト向けの脅威インテリジェンス共有プラットフォーム「Siren」を発表した。Sirenはサイバー攻撃に関連する情報を共有し、OSSの脆弱性に対する迅速な対応を可能にする。

[後藤大地，有限会社オングス]

　Open Source Security Foundation（OpenSSF）は2024年5月20日（現地時間）、オープンソースソフトウェア（OSS）プロジェクト向けの脅威インテリジェンス共有プラットフォーム「Siren」を発表した。

　Sirenは、最近のサイバー攻撃に関連する戦術や技術、手順（TTPs）やセキュリティ侵害インジケーターなどの情報を共有し、OSSのセキュリティ強化を目指す取り組みだ。

OSSを狙ったサプライチェーン攻撃に対抗　Sirenの中身とは？

　Webサーバからモバイルアプリまでの多くがOSSで支えられている。しかし、その広範な普及によって、これらの脆弱（ぜいじゃく）性を狙った攻撃者の標的にもなってしまっている。コミュニティーはメーリングリストなどで脆弱性の情報を共有しているが、より広範なユーザーへの情報伝達手段が不足している。その不足を補うためのオープンソースリソースがSirenだとされている。

　Sirenの主な機能は以下の通りだ。

• オープンソースの脅威インテリジェンス：　積極的に悪用されているセキュリティ脆弱性や脅威についてコミュニティーと共有する
• リアルタイムのアップデート：　リストメンバーは、各自のプロジェクトに関連する可能性のある新たな脅威に関する通知を電子メールで受け取り、リスクを軽減するための迅速な行動が可能になる
• TLP:CLEAR：　効果的で制限のない透明なコミュニケーションを促進するため、情報の共有と取り扱いに関する明確なガイドラインに従う
• コミュニティー主導：　メンテナーが協力して情報データベースを充実させることで、責任の共有と集団防衛の文化を育む

　SirenによってOSSコミュニティーおよびセキュリティ専門家の知識の活用、プロジェクトのサイバーセキュリティ防御の強化、悪意ある活動への認識の共有など期待されている。Sirenは一般公開されており、誰でも参加できるようになっている。OpenSSFは開発者やメンテナー、セキュリティ愛好家を問わず、参加を呼びかけている。