概要
- 非常に低い誤検知率（false positive rate）で、質の高い推奨を提示する Mend を活用しています。
- 対策にむけた詳細なアドバイスによって、Microsoftのエンジニアは自分たちが利用するパッケージを迅速にアップグレードできます。
- Microsoft社が対象としたいエコシステムに合わせてスケールできています。
Microsoftが抱えていた課題
Microsoftの開発者は非常に多くのオープンソースソフトウェアを利用しています。80,000を超える異なるオープンソースパッケージが、Microsoftのコードベース全体で1,100万回を超えて使用されています。Microsoftの85,000人の開発者がオープンソースソフトウェアを安心して利用できるようにするため、Microsoftの開発者が使用するすべてのツールを選定し管理しているMicrosoftのOne Engineering Systemチーム（以下、1ES）が、最良のオープンソースソフトウェアセキュリティツールを見つけ出すという任務を与えられました。同チームが求めたのは、極めて正確で、使いやすく、脆弱なオープンソースパッケージをどう修正すればよいかについて実行に移せる具体的な推奨を提示するツールでした。
Microsoftが解決策としてMend.ioを選んだ理由
Microsoftの1ESチームでエンジニアリング担当ディレクターを務めるMagnus HedlundはMendについて以下のように述べています。
1. 高い精度
誤検知は、そのツールに対する開発者の信用を容易に無くします。誤検知を出せば、開発者はそのツールを無視するようになり、二度と使おうとしなくなります。Microsoftは、非常に低い誤検知率で、質の高い推奨（提案）の提示をMendに頼っています。
2. 使いやすさ
私たちはMendの脆弱性（vulnerability）検出を開発者のワークフローに直接統合しています。開発者が何もしなくても、我々のチームは自動的に脆弱性をスキャンし、開発者自身の脆弱なコードを通知します。
3. 優れた修復の助言
脆弱性を特定し、開発者に問題があることを伝えるのは有用ですが、その問題をどう修正すればよいかを伝えなければ、開発者はその問題を改善できません。修復に関する推奨がなければ、誰も何も対処できないアラートを一定数発することに意味はありません。Mendが提供する詳細な修復の助言によって、Microsoftのエンジニアは自分たちが利用するパッケージを、脆弱性のより少ないバージョンへ迅速にアップグレードできます。
Microsoftは、非常に低い誤検知率で、質の高い推奨（提案）の提示をMendに頼っています―Magnus Hedlund、 1ESチーム、エンジニアリング担当ディレクター
Mend.ioを使ってみて
Bryan Sullivan（Microsoftの1ESセキュリティツールグループのマネージャー）：Mendは、潜在的にリスクを伴う、または安全でないオープンソースをどこで使っているのかを特定し、それが可能な限り早期に対処されるようにする上で、不可欠な役割を果たしています。私たちは、優れた修復の手引きをMendに頼っています。修復の手引きは、開発者が毎回、一度目で問題を正しく修正できるよう支援する上で、極めて重要です。
Poonam Gupta（Microsoftの1ESチームのディレクター）：「Mendと取り組んできたことは、正しい判断でした。適切な推奨がそろっていると、私たちはより安心してセキュリティを確保できていると感じます。Mendは当社のニーズに合わせてスケールできています。当社がカバーしたいエコシステムにも対応できる規模までスケールできています。全体として、素晴らしい判断でした。」