依存性スキャンと SCA

依存性スキャンとは

現代のアプリは、コードの大半が 自前ではなく外部のライブラリ（OSS） でできています。Web フレームワーク、JSON パーサ、暗号ライブラリ……これらを npm install などで取り込んで動かします。便利な反面、取り込んだライブラリに既知の脆弱性があれば、それはそのまま自分のアプリの穴 になります。

依存性スキャン（SCA：Software Composition Analysis、ソフトウェア構成分析）は、アプリが使っている外部ライブラリを洗い出し、既知の脆弱性が含まれていないかを自動で検査する 手法です。脆弱性は CVE（共通脆弱性識別子）という番号で公開・管理されており、SCA ツールはこの脆弱性データベースと照合して「どのライブラリのどの版が危険か」を教えてくれます。

自分の書いたコードの欠陥を探す SAST（静的解析） とは対象が違います。SCA が見るのは 「借り物（依存ライブラリ）」側のリスク です。

推移的依存：見えない依存に注意

依存性スキャンが必要な最大の理由が 推移的依存（transitive dependency） です。あなたが直接指定したライブラリ（直接依存）は、さらに別のライブラリに依存しています。その依存もまた別に依存し……と連鎖します。

myapp
└─ web-framework      ← 直接依存（自分で入れた）
   └─ http-parser     ← 推移的依存（間接的に入った）
      └─ utils-lib     ← さらにその先（自分は意識すらしていない）

問題は、脆弱性は“自分が意識していない奥の依存”に潜むことが多い 点です。直接入れたライブラリは把握していても、その何階層も下にある utils-lib の脆弱性までは、人手では追えません。依存性スキャンは、この 見えない依存の木全体 を機械的にたどって検査します。

SBOM：ソフトウェアの部品表

依存性スキャンの前提となるのが 「そもそも何を使っているのか」を正確に把握すること です。これを文書化したものが SBOM（Software Bill of Materials、ソフトウェア部品表） です。

SBOM は、製造業の「部品表」になぞらえた概念で、そのソフトウェアに含まれる全コンポーネント（名前・バージョン・ライセンス等）の一覧 です。直接依存も推移的依存も、すべて列挙します。

SBOM が答えること	例
何が含まれているか	使用ライブラリと各バージョンの一覧
脆弱性の影響範囲	「あの危険な版を含む製品はどれか」を即座に特定
ライセンスの把握	各依存のライセンス（法務・コンプライアンス用途）

SBOM の価値が際立つのは 新たな脆弱性が公表されたとき です。「あのライブラリの 1.2.x に重大な穴」と発表された瞬間、SBOM があれば「自社のどの製品・どのリリースが該当するか」を即座に洗い出せます。SBOM がないと、全プロジェクトを手で調べ回ることになります。標準フォーマットとして SPDX や CycloneDX が使われます。

CI への組み込み：シフトレフト

依存性スキャンは、一度きりの監査ではなく、開発の流れに常時組み込む ことで効果を発揮します。問題をできるだけ 早い段階（左側） で捕まえる考え方を シフトレフト と呼びます。

組み込みどころは複数あります。

• CI パイプライン：ビルドのたびに依存をスキャンし、危険な依存が見つかればビルドを失敗させる（/devops/ci-cd/）。本番に届く前の関所。
• プルリクエスト時：新しい依存を追加した PR で自動チェックし、危険なら取り込み前に警告する。
• リポジトリの常時監視：すでにマージ済みのコードについても、新しい脆弱性が後から公表される たびに通知する（コード自体は変わらなくても、危険度は変わる）。
• アーティファクトレジストリ：登録されたコンテナイメージをスキャンする（/devops/artifact-registry/）。

運用のコツ：ノイズと優先度

依存性スキャンを始めると、たいてい 大量の警告 に直面します。すべてを一律に「即対応」にすると、開発が止まり、警告に慣れて無視するようになります（アラート疲れ）。優先度づけが重要です。

• 深刻度（severity）で絞る：Critical / High を優先し、Low は計画的に。脆弱性には深刻度スコア（CVSS）が付く。
• 到達可能性を見る：その脆弱な関数を 実際に呼んでいるか。ライブラリに穴があっても使っていない機能なら、リスクは相対的に低い。賢いツールはこれを判定する。
• 直せるかで判断：多くは「より新しい版に上げる」だけで解消する。修正版が出ているものから着手する。

まとめ

• 依存性スキャン（SCA）は 利用OSSの既知脆弱性（CVE）を自動検出 する手法。借り物のライブラリ側のリスクを見る。
• 特に危ないのは 推移的依存（奥の見えない依存）。SBOM で依存ツリー全体を棚卸しし、影響範囲を即特定できるようにする。
• CI/PR/レジストリに組み込み、シフトレフトで早期に止める。コード不変でも後から危険になるため 継続監視 が要。
• 運用は 深刻度・到達可能性・修正可能性 で優先度づけ。一気に上げず段階的に、CI で守りながら対応する。