SaaS版のリリース情報

脆弱性に対するロールベースのアクセス制御の新しいアクション： ロールベースのアクセス制御(RBAC)に、脆弱性のステータス変更、脆弱性の深刻度の変更、脆弱性の削除のための新しいアクションが追加されました。これらのアクションにより、脆弱性を変更できるユーザをより詳細に管理できます。(AS-3)

「アプリケーションの編集」アクションでは、脆弱性の変更や脆弱性の削除といった操作が行えなくなりました。RBACの既存の組み込みロールには、これらの脆弱性に特化した新しいアクションが含まれるようになっています。

既存のお客様：これまで「アプリケーションの編集」アクションが含まれている組み込みロールやカスタムロールに対しては、今回新設した脆弱性関連のアクションがそれらのロールに自動的に追加されています。必要に応じて、カスタムロールを編集し、脆弱性専用のアクションを削除できます。

エージェントオペレータ：エージェントオペレータは、ボリュームにマウントされたシークレットをサポートするようになりました。ボリュームマウントされたシークレットを使用するようにエージェントオペレータを設定すると、エージェント接続ごとに新しいシークレットが作成されます。(AO-71)

エージェントオペレータは引き続き環境変数ベースのシークレットをサポートしますが、シークレットの挿入にはボリュームをデフォルトとして使用することを推奨します。

Contrast AI SmartFixを発表：Contrast AI SmartFixにより、開発者は脆弱性の修正に費やす時間と労力を大幅に削減し、機能の開発により集中できるようになります。Contrast独自のランタイムコンテキスト(完全なデータフロー、スタックトレース、HTTPリクエストなど)とAIを活用することで、Contrast Assessで検出された重大かつ高リスクの脆弱性に対しする修正をSmartFixが自動生成します。SmartFixは、お客様の組織で承認され、自己管理されているLLMと連携してコードを解析します。そして、提案された修正を含むプルリクエストをGitHub内に作成します。このプルリクエストには、オプションでソリューションを検証するためのセキュリティに関する単体テストも含まれます。(TS-39059)

フレックスエージェントを発表：フレックスエージェントを使用すると、特定の言語を指定しなくても、1つのパッケージから複数のエージェントをインストールして設定できます。新いエージェントを導入するには、「新規登録」より多言語インストールのウィザードを使用するのが最も簡単な方法です。また、Contrastフレックスエージェントを使用して、導入済みのエージェントをアップグレードすることもできます。フレックスエージェントのリリースノートはこちらをご覧下さい。(CFA-215)

ロール管理の改善：ユーザアクセスグループに表示されるロールを改善しました。これにより、ユーザアクセスグループ内で割り当てられている特定のロールの確認が簡単になります。(PROD-3303)

ContrastのNorthstarリリースを発表：Contrastの新しいユーザエクスペリエンスは、開発、セキュリティ、運用の各部門を統合する業界初のプラットフォームで、ワークフローを強化できます。これは、迅速な脅威検知に不可欠であり、開発から本番環境まで、攻撃や重大な脆弱性のリアルタイムの状況、そしてそれらの相互関係を把握することができます。

このプラットフォームの中核となるのが、「Contrastグラフ」で、これにより最も高度な機能が実現されます。このグラフは、組織のアプリケーションとAPI環境のリアルタイムのデジタルツインを作成します。そして、実際の攻撃経路を関連付け、実行時の挙動を相関させ、脆弱性、脅威、資産間のつながりを明らかにします。このような詳細で動的なコンテキストにより、従来のツールにつきものの推測作業がなくなります。正確かつ自動化された優先順位付けと修正が可能になるため、各部門は実際のリスクに集中し、自信を持って対応できるようになります。

これには、次の新機能が含まれます：

Contrast Northstarは現在、SaaS版のお客様のみが利用可能で、英語でのみの提供となっています。

デプロイメントハブを発表：デプロイメントハブは、導入初日からすぐにプラットフォームを稼働させるための管理コンソールです。部門間でタスクを割り当てて管理し、デプロイメントハブ内から動画やドキュメントを参照しながら、進捗状況を管理できます。ステップバイステップのガイダンスにより、複雑な環境でも迅速かつ確実な設定が可能です。(PROD-3062)

R2DBCコネクタを使用するJava アプリケーションのセキュリティリスク：本リリースではJava エージェントの機能を強化し、Spring-data、H2、MariaDB、PostgreSQL、MySQL、Oracle、MS SQL Server(R2DBCコネクタ経由)を使用するJavaアプリケーションにおけるSQLインジェクションの脆弱性やその他のセキュリティリスクを検出・報告できようになりました。以前は、この構成をサポートしておらず、検知漏れが発生していました。今回の改善により、報告された問題に対処し、全体的な保護を向上させることで、ユーザはアプリケーションのセキュリティを確保することができます。(RFE-342、JAVA-8984)

CNAフォールバックによるCVEスコアリングの強化：NVD(脆弱性情報データベース)スコアが利用できない場合に、CNA(CVE番号採番機関)スコアを使用するフォールバックメカニズムを導入することにより、CVEスコアリングを向上させました。ユーザは、脆弱性の深刻度情報をタイムリーに得られ、情報に基づいた対応の決定を確実に行うことができるようになります。NVDスコアが利用可能になり次第、一貫性を保つために自動的にCNA値は上書きされます。(PROD-3469、RFE-329)

最低限のルートカバレッジポリシーの設定：ユーザはルートカバレッジの割合に関するポリシーを設定し、最低限のカバレッジポリシーが適用されるアプリケーションを設定できるようになりました。ルートカバレッジがしきい値を下回ると、Contrastから開発者向けのバグチケットが作成され、ユーザがルートカバレッジを改善できるようになります。(AS-6)

ルート カバレッジのダウンロード機能の改善：本リリースでは、ルート カバレッジのダウンロード処理を非同期にすることで、処理を改善しました。以前は、大規模なダウンロードを行うと、メモリの問題により504エラー(Gateway Timeout)が発生する可能性がありました。今回のリリースにより、大規模なアプリケーションであっても中断されることなくルートカバレッジを効率的にダウンロードできるようになりました。明確なフィードバックと進行状況の追跡により、よりスムーズなエクスペリエンスを実現します。(AS-4)

Contrast AI SmartFix：SmartFixにより、開発者は脆弱性の修正に費やす時間と労力を大幅に削減し、機能の開発により集中できるようになります。Contrast独自のランタイムコンテキスト(完全なデータフロー、スタックトレース、HTTPリクエストなど)とAIを活用することで、Contrast Assessで検出された重大かつ高リスクの脆弱性に対する修正をSmartFixが自動生成します。SmartFixは、お客様の組織で承認され、自己管理されているLLMと連携してコードを解析します。そして、提案された修正を含むプルリクエストをGitHub内に作成します。このプルリクエストには、オプションでソリューションを検証するためのセキュリティに関する単体テストも含まれます。

Contrast AI SmartFixは6月の限定リリース機能であり、一般提供されるまではリクエストがあればご利用頂けます。

SARIF出力とGitHub Advanced Security：本リリースでは、SARIFファイル生成の問題に対処し、基になるデータが不完全な場合でも、GitHub Advanced Security(GHAS)へのアップロードが正常に行われるようになりました。以前は、情報が不足していると、アップロードプロセス中にエラーが発生していました。今回のリリースによって、より堅牢なSARIFファイルが生成され、GHASとの互換性と使い勝手が向上しました。(SCA-1867)

ライブラリタブの権限：「ライブラリ」タブの静的ライブラリのフィルタでユーザ権限が正しく適用されていなかった問題を修正しました。以前は、ユーザが割り当てられたアクセス権に関係なく、全ての静的SCAプロジェクトが誤って表示されてしまうことがありました。この修正により、静的ライブラリのフィルタに権限が適切に適用され、ユーザは許可されたプロジェクトのみを閲覧できるようになりました。(SCA-1994)

.NETプロジェクトに対するCLI：.NETプロジェクトに対して検査を実行する際に、--legacyフラグの指定が不要になりました。これにより、検査結果はアプリケーションタブではなくプロジェクトタブに表示されるようになります。(RFE-247)

アプリケーションの負荷調整アルゴリズムの向上：Contrastでコードを戦略的に解析する方法を調整できるようにするために、負荷調整アルゴリズムを強化しました。これらの設定は、サーバの設定でAssessが有効になっている場合に使用できます。この設定を使用して、アプリケーションの負荷レベルを選択できます。サーバに設定されている環境に応じて、アプリケーションの負荷の割合とパフォーマンスへの影響のバランスをとることができます。(AS-8)

日付範囲オプションの改善：ATTR(修復までの平均復時間)グラフで使用可能な日付範囲オプションをいくつか追加しました。(AS-7)

データのマスキングが、概要、詳細、リクエストタブの全ての部分で正しく行われるように不具合を修正しました。以前は、これらの一部でのみマスクされ、別のタブに切り替えるとマスクされていない値が表示される不具合がありました。(PHP-1207)

既存のContrastのお客様は、引き続きContrastに接続することでCLIを利用できます。アカウントの認証情報を使用して認証が必要な場合があります。認証については、こちらのドキュメントに従って下さい。

Contrastをご利用でないお客様は、Contrastの全機能を体験できるTry Contrastをお試し頂くか、info@contrastsecurity.comにて営業担当者までお問い合わせ下さい。

新しいロゴへの変更：Contrastのログインページ、ログアウトページ、エラーページ、Contrast Webインターフェイスのバナーのロゴを更新しました。

最初の検出タイムスタンプによるルートカバレッジ追跡の強化：アプリケーションのルートカバレッジタブに最初の検出列を追加しました。Contrastで特定のルートが最初に検出された日時を特定できるようになりました。(PROD-3457)

SARIF出力の改善： Contrast Assess(IAST)とSCAの情報でエクスポートできるSARIFファイルの形式と内容を改善しました。この改善によって、VSCode連携やGitHub Issuesとの互換性が向上しました。(SCA-1953)

Contrastのセキュリティオブザーバビリティの改善：オブザーバビリティ画面のデータ表示とパフォーマンスを改善しました。(ADR-193)

メンテナンス時間後にJiraの接続が中断する問題を修正しました。(PROD-3513)

既存のContrastのお客様は、引き続きContrastに接続することでCLIを利用できます。アカウントの認証情報を使用して認証が必要な場合があります。認証については、こちらのドキュメントに従って下さい。

Contrastをご利用でないお客様は、Contrastの全機能を体験できるTry Contrastをお試し頂くか、info@contrastsecurity.comにて営業担当者までお問い合わせ下さい。

ADRによるインシデント管理：ADRの新機能および改善された機能

オペレータフレームワークの最新化：.NET 8と完全に互換性を持つようエージェントオペレータを更新しました。最新の .NETフレームワークを活用することで、古いテクノロジに関連する潜在的なセキュリティの脆弱性が最小限に抑えられます。(PROD-3333)

複数のユーザエージェントキーによる堅牢なエージェント認証：アプリケーション内の複数のユーザやチームに対するユーザキーのサポートを追加しました。これにより、組織の管理者は、より的確で範囲を限定したキーを作成し、アクセス制御を強化することができます。さらに、キーローテーションのプロセスが改善され、アプリケーションのダウンタイムがなくなります。(PROD-3155)

最初の検出のタイムスタンプによるサーバ監視の強化：Contrast Webインターフェイスのサーバタブに最初の検出列を追加しました。サーバが登録された時間を特定し、異常を迅速に検出できるようにしました。(PROD-3458)

サーバからのSBOM生成・CycloneDX/SPDX形式の更新 SBOMエクスポートでは、CycloneDXの形式をバージョン1.4から1.6に更新し、SPDX 3.0のサポートを追加しました。また、サーバーレベルとアプリケーションレベルでSBOMを生成する機能を追加しました。(PROD-3356)

Contrastオブザーバビリテにおける詳細なセキュリティ制御の報告：(この機能はJava アプリケーションでのみサポート)アプリケーションの動作をより完全に把握するために、処理の種類に新たにセキュリティ制御を追加しました。この変更により、セキュリティ制御によって実行された処理が、観測(observe)モードの他の処理と一貫した形式で報告されるようになりました。各セキュリティ制御の処理には、次の属性が含まれます。

Helmチャートのデプロイの改善：セキュリティとデプロイの一貫性を強化するために、名前空間管理のベストプラクティスに準拠するようHelmチャートを更新しました。既存の指定された名前空間へのデプロイを推奨し、サポートするようになりました。(RFE-222)

脆弱性タブ内のフィルタリングオプションの拡張：<en>でのProtectルール列で脆弱性をフィルタリングする機能を追加しました。これにより、Contrast ADRで監視モードやブロックモードの脆弱性、または対象外の脆弱性をすばやく確認できます。(PROD-3359)

攻撃イベントデータのエクスポート機能：問題のトリアージをサポートするために、 攻撃イベントデータをエクスポートする機能を新たに追加しました。これにより、攻撃イベントデータをダウンロードして、考えられる問題を特定し、必要に応じてデータを共有することができます。(ADR-90)

既存のContrastのお客様は、引き続きContrastに接続することでCLIを利用できます。アカウントの認証情報を使用して認証が必要な場合があります。認証については、こちらのドキュメントに従って下さい。

Contrastをご利用でないお客様は、Contrastの全機能を体験できるTry Contrastをお試し頂くか、info@contrastsecurity.comにて営業担当者までお問い合わせ下さい。

CVEの詳細：CVEの詳細情報の画面を改善して、より使いやすくしました。CVEが組織に与える影響を迅速に把握できるようにしました。「Contrastでの最初の検出」によって、影響を受ける期間に関する洞察が得られます。「組織への影響」には、影響を受けるアプリケーションとサーバが表示されます。 「深刻度」、「CVSSスコア」、「EPSS」などの主要な指標は、リスクの全範囲を理解し、対策の優先順位付けに役立ちます。(PROD-2972)

強化されたサーバクリーンアップ：アクティブでないサーバに関連付けられた履歴ルートを削除するために、 強化されたサーバクリーンアップの機能を追加しました。これは、主に一時的なサーバを使用し、アプリケーションの特定の時点の検査として、Contrast Assessの結果を個別に管理しているお客様に最適です。継続的なアプリケーション検査を長期間実行するサーバの場合は、 ルートの有効期限ポリシーを設定することが引き続き推奨されるアプローチです。強化されたサーバクリーンアップの機能で、古くなったサーバ、ルート、脆弱性を同時にクリーンアップすることで、Contrast Assessの結果を管理するのに役立ちます。(PROD-3060)

フィンガープリントにより自動生成される任意のセッションメタデータ：Contrastでは、セッションメタデータが定義されていない場合でも、アプリケーションの一意のビルドを追跡して報告するようになりました。これにより、重要な情報を簡単に絞り込むことができ、必要な情報をすばやく見つけることができます。また、手動で設定する必要もありません。(PROD-1745)

この機能をサポートするエージェントの最小バージョンは次のとおりです。

サーバの詳細：サーバのライブラリタブで、ライブラリを選択して詳細を表示すると、アプリケーション一覧に、そのサーバで使用されているアプリケーションが表示されるようになりました。(PROD-3489)

特定のレコード名：IP拒否リストまたは仮想パッチの攻撃イベントが報告されると、一般的なIP拒否リストや仮想パッチラベルの代わりに、個々のIP拒否リストまたは仮想パッチのレコードの特定の名前が表示されるようになりました。(PROD-3547)

ロールのコピー：既存のロールをコピーして設定を変更し、新しいロールとして追加することができるようになりました。ロールのコピーは、同一または類似の設定を持つ複数のロールが必要な場合や、特定のロールをテンプレートとして使用する場合に便利です。なお、これはロールベースのアクセス制御ユーザ向けの機能です。(PROD-3276)

RBAC： RBAC(ロールベースのアクセス制御)を改善しました。(PROD-3206)

既存のContrastのお客様は、引き続きContrastに接続することでCLIを利用できます。アカウントの認証情報を使用して認証が必要な場合があります。認証については、こちらのドキュメントに従って下さい。

Contrastをご利用でないお客様は、Contrastの全機能を体験できるTry Contrastをお試し頂くか、info@contrastsecurity.comにて営業担当者までお問い合わせ下さい。

MS Teamsインテグレーション：Microsoftがこちらで共有しているように、2025年1月のWebhook URLの廃止後もお客様が引き続きMS Teamsを使用できるようにするために、Power Automateによるインテグレーションのサポートを追加しました。これはリクエストによって有効になります。変更に備えて、 インテグレーションのドキュメントの指示に従うことをお勧めします。完了したら、サポートに連絡してこのインテグレーションを有効にして下さい。なお、MS Teamsのインテグレーションを使用していて、1月31日までにこれらの変更を行わない場合、連携できなくなります。(PROD-3092)

Contrast AssessとADRのマッピング：Contrast AssessおよびAVMの結果をADR(アプリケーションにおける検知と対応)に関連付け、脆弱性に対応するADRルールがあるかを確認できます。 (PROD-2619)

新機能：Wizインテグレーション：Wizインテグレーションの追加により、ContrastからWizのデプロイ環境にアプリケーションに関するランタイムセキュリティ情報を送信できるようになりました。(PROD-2694)

AIによるガイダンス： Contrast AIは、AIガイダンスによって、検出された脆弱性の修正方法に関して、アプリケーションで使用されるフレームワークやライブラリに特化した追加情報を提供します。現在は米国のユーザのみが利用可能で、デフォルトでは無効になっています。これは、「組織の設定」で有効にできます。(PROD-3064)

Jiraのインテグレーション：Jiraインテグレーションの機能を強化しました。

RBAC：RBAC(ロールベースのアクセス制御)管理者は、ユーザの一覧およびプロパティからユーザを無効にできるようになりました。これにより、ユーザとユーザのエンドポイントは非アクティブになりますが、ユーザの記録は非アクティブステータスのままContrastに保持されます。(PROD-3194)

Contrast Assessの脆弱性の報告：監査ログの記録に、集計された脆弱性ダッシュボードからのレポートのダウンロードの詳細が含まれるようになりました。このレポートの利用をご希望の場合は、担当のアカウントマネージャーまでご連絡下さい。(PROD-3198)。

CLIのリソースグループコマンド：新しいリソースグループコマンド(Contrast CLIのAudit機能)によって、SCAプロジェクトを生成時に必要なリソースグループを指定できるようになりました。(PROD-3352)

ライブラリビューにおけるアプリケーション：「サーバ」セクションの「ライブラリ」タブを参照すると、アプリケーションの一覧にサーバ上のアプリケーションが明確に表示されるようになりました。(PROD-3489)