動的型付け言語の弱点をカバー
Pythonコードの脆弱性を検知する「AppSec」
動的型付け言語（動的言語）の場合、変数に値が代入されるまで型が決定されないため、静的テストでは十分な検証ができない。動的言語の一つであるPythonもこの問題を抱えている。
Contrast Securityは、自己防衛型ソフトウェアをテーマとする企業だ。自己防衛型ソフトウェアとは、AIによる予測機能によってインフラの各層の自律性を高めるソフトウェアを指す。
同社は現在、Webアプリケーション開発に広く利用されているオープンソースプロブラミング言語Pythonに注目している。
多くの読者がご存じのように、Pythonは組み込みのデータ構造体とシンプルな構文を備える動的言語で、迅速なアプリケーション開発に適している。Netflixの動画ストリーミング配信サービス（全世界1億世帯以上）やInstagramのサポートに使われ、NASA（米航空宇宙局）では宇宙探査を支援している。
ただし、Pythonの開発者はセキュリティについて一定の課題を抱えている。
「従来のセキュリティツールでは、企業規模のPythonアプリケーションの脆弱（ぜいじゃく）性を正確に特定できない。特定できたとしても、ソフトウェア開発ライフサイクルのかなり後半になる。それでは、早い段階で脆弱性を見つけるよりもはるかにコストが高くなる」と、Contrast Securityはプレス発表で述べている。
問題の本質
問題の本質は、PythonがJavaやCのような静的言語ではなく動的言語である点にある。
動的と静的の切り分けは、主に変数の割り当て方に基づく。静的言語は変数に型が割り当てられる。だが動的言語では、変数の型はアプリケーションの実行時まで決まらない。
その結果、アプリケーションのセキュリティを正確かつ効果的に確保するにはPythonコードの実行時に評価する必要がある。実行時の評価は、SAST（Static Application Security Test）ツールやDAST（Dynamic Application Security Test）ツールのような従来型のテストでは不可能だ。
Contrast Securityは次のように述べている。「動的言語には最新のセキュリティツールが必要だ。当社の『AppSec』がPythonベースのWebアプリケーションに適しているのはまさにこのためだ。AppSecは、データの流れを通じて実行中のアプリケーションをテストすることで、脆弱性の特定と修復の検証を自動化する。（SASTやDASTのように）個別のコード行を分析するのではなく、アプリケーションの全ルートを可視化する」
Contrast Securityの製品には次のような機能がある。一つは、運用前に実行するIAST（Interactive Application Security Test）だ。実行中のコードからデータを収集して、カスタムコードとライブラリ双方の脆弱性を検出する。もう一つは、ライブラリを解析するSCA（Software Composition Analysis）。これは潜在的に脆弱なサードパーティーコンポーネントとオープンソースコンポーネントを特定する。
運用環境で実行するRASP（Runtime Application Self-Protection）も含まれている。リクエスト入力を検証してアプリケーション内部（カスタムコードとライブラリの両方）の脆弱性が悪用されるのを防ぐ。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly日本語版
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[ファインディ株式会社] AI利用率だけでは説明できない成果 開発組織の競争力を生む「開発資本」とは？ -
製品資料
[ニュータニックス・ジャパン合同会社] AI活用を成功へ導く、シンプルで費用対効果に優れたクラウド基盤とは？ -
製品資料
[ニュータニックス・ジャパン合同会社] マネージドKubernetesには限界も――メリットをフル活用する新たな選択肢とは？ -
技術文書・技術解説
[ニュータニックス・ジャパン合同会社] 決断の日が迫る「vSphere 8」サポート終了問題 考慮すべきリスクと選択肢は？ -
製品資料
[サイバーソリューションズ株式会社] メール誤送信対策のルールが肥大化 苦しむ情シスはどうすれば救われるのか？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「アップグレードできないJava」をどう守る IBMとRed HatがAIで400件超修正
-
2
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
3
「恥を知るべきだ」 AIデータセンター反対運動を招いた事業者の秘密主義
-
4
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
5
パッチなしで「今すぐサーバを落とせ」 Kiteworks異例警告の波紋
-
6
私も“AIエージェント開発者”に？ 裾野を広げる「Agent Bricks」とは
-
7
パスワードはなぜ死んだか 情シスが今すぐ始めるパスキー移行の現実解
-
8
Copilot導入で陥る“目的化”の落とし穴 定着の鍵は「作り込まない」こと
-
9
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
10
リモート入社時研修が労使双方に与える苦悩 大量退職を避けるには？
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
4
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
「IT史に名を残すシステム障害」8選
-
8
Linux初心者でも知らないとまずい「RHEL」「SLES」の違いとは？
-
9
東大教授と考える、AI時代の「データ主権」「信頼性」「ガバナンス」の在り方
-
10
マンガで学ぶXDR／MDRのメリット、中小企業のセキュリティ強化になぜ有効か？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー