SBOMまたはLockfileを使用したスキャンの作成

このガイドでは、アプリケーションのスキャン結果を向上させるために、Software Bill of Materials（SBOM）またはLockfileをアップロードする手順について説明します。 SBOMは、アプリケーションで使用されているすべてのコンポーネントの詳細なリストです。SBOMを使用してスキャンを実行することで、依存関係の検出範囲が拡張されます。

---

スキャンを作成する手順

1. 「New Scan」をクリックする

まず、上部バーの New Scan アイコンをクリックします。

2. アセットタイプを選択する

スキャン対象に応じて Android App または iOS App を選択します。サポートされている形式は .apk、.aab、および .ipa です。

3. アプリケーションファイルをアップロードする

所定のエリアにアプリケーションファイルをドラッグ＆ドロップするか、エリアをクリックしてファイルを選択します。

4. 「Continue」をクリックする

Continue ボタンをクリックして次に進みます。続く Extra Context ステップはオプションです。スキップするには、もう一度 Continue をクリックします。

5. スキャンプロファイルを選択する

以下のスキャンプロファイルのいずれかを選択し、Continue をクリックします：

• Fast Scan：構成の問題、古い依存関係、シークレット、脆弱なコーディングパターンなどの静的チェックのみを実行します。
• Full Scan：静的チェック、動的チェック、およびバックエンドの脆弱性チェックを実行します。
• Privacy Scan：機微なデータの露出や誤構成を含むプライバシーリスクを特定します。
• Mobile Deep Agentic Scan：複雑な論理的欠陥やエクスプロイト検証のためのAIを活用したペネトレーションテストを実行します。
• Mobile Single Vulnerability Assessment：対象を絞った検証により、悪用可能な脆弱性を検証・確認します。
• Mobile Shielding Scan：難読化、改ざん防止、デバッグ防止、およびroot検出の保護機能を評価します。

6. SBOMまたはLockfileをアップロードする

SBOM Files ステップで、アップロードエリアにSBOMまたはロックファイルをドラッグ＆ドロップするか、エリアをクリックしてファイルを選択します。サポートされているファイルは、アップロードエリアの上に表示されています。

7. オプションのステップを設定する

以降のステップはオプションです。プロファイルに応じて、Test Credentials、Advanced Settings、Prompts、Custom Checks、および Tags が含まれます。

注意： カスタムスキャンエージェント機能はお客様のアカウントで有効になっていない場合があります。スキャンを強化するためのカスタムエージェントの有効化に関する詳細については、サポートまでお問い合わせください。

8. スキャンを開始する

右側の概要パネルで Start scan をクリックします。Fast Scanは約20分で完了します。

9. スキャンを確認する

Scan created というメッセージでスキャンの作成が確認できます。後でスキャンを開き直すには、トップバーの Scans アイコンをクリックし、一覧から選択します。

---

10. Android用のgradle lockfileを生成する

プロジェクト内に gradle.lockfile ファイルが存在するか確認してください。存在しない場合は、以下の手順に従って生成します。

• build.gradle.kts または build.gradle ファイルに以下を追加します：

  dependencyLocking {
      lockAllConfigurations()
  }
  

11. Flutterのロックファイルを生成する

プロジェクト内に pubspec.lock ファイルが存在するか確認してください。存在しない場合は、flutter pub get を実行して生成できます。

12. Android、iOS、またはFlutter用のSBOMを生成する

アプリケーションのすべてのコンポーネントのリスト化を簡素化するSBOM生成ツールが多数提供されています。 ここでは、Syft を使用してAndroid、iOS、またはFlutterアプリケーションのSBOMを生成します。

プロジェクトのルートディレクトリで syft . -o {file_format} を入力します（例：）：

syft . -o spdx

サポートされているSBOM/Lockfile

• SPDX
• CycloneDX
• gradle.lockfile
• pubspec.lock
• buildscript-gradle.lockfile
• pnpm-lock.yaml
• package-lock.json
• packages.lock.json
• pom.xml
• Gemfile.lock
• yarn.lock
• Cargo.lock
• composer.lock
• conan.lock
• mix.lock
• go.mod
• requirements.txt
• Pipfile.lock
• poetry.lock