企業のオープンソース パッケージのセキュリティ保護を支援する Endor Labs が 7,000 万ドルを調達

開発者がオープンソースの依存関係を管理および保護するために使用できるプラットフォームを提供する Endor Labs は本日、Lightspeed Venture Partners が主導し、Coatue、Dell Technologies Capital、セクション 32、および多数のエンジェル投資家が参加して、7,000 万ドルのシリーズ A ラウンドを完了しました。

シリーズAとしてはかなり高額で、会社設立からわずか10か月後に行われた新たな資金調達により、エンドアの調達総額は9,500万ドルとなった。 共同創設者兼最高経営責任者（CEO）のVarun Badhwar氏は、これは同社の55人の従業員を拡大し、エンドアの既存の技術力を「深化」させながら、市場開拓の取り組みを拡大することに充てられると述べた。

「資金が逼迫し、投資家がより深いデューデリジェンスに多くの時間を費やしている中、我々は多額のシリーズAラウンドを調達できたことを誇りに思う」とBadhwar氏は電子メールインタビューでTechCrunchに語った。 「現在の経済情勢とパンデミックは、多くのセキュリティチームが今日置かれている状況と、Endor Labs が解決することを使命としている問題の要因となっています。」

Endor Labs は、以前 RedLock と Aporeto をそれぞれ立ち上げた Badhwar と Dimitri Stiliadis によって 2021 年に設立されました。 パロアルトネットワークスで開発者チームを管理する際、二人はエンジニアリングの生産性とソフトウェア サプライ チェーンのセキュリティのバランスをとるのに苦労したと語ります。

「開発者たちは定期的に社内チャットを行って、パッケージ内のオープンソース ソフトウェア コンポーネントのうち、他に影響を与えることなく更新しても安全なものはどれかを調べていました」とバドワル氏は述べました。 「そうでなければ、彼らは知る由もありませんでした。」

Badhwar 氏は、オープンソースはソフトウェア企業のビジネスの一部となっており、同時にセキュリティ上の脅威も増大していると指摘します。

GitHub の 2022 Octoverse レポートによると、アプリの 97% がオープンソース ソフトウェアを利用しており、企業の 90% が何らかの形でそれを適用または使用しています。 これはオープンソース エコシステムにとって励みとなる一方で、過去数年よりも多くの企業がオープンソース ソフトウェア コミュニティを設立していることが Octoverse レポートで明らかになりましたが、同時に組織を悪用にさらすことにもなっています。

現在、企業は何千ものオープン ソース パッケージを利用しており、これらのパッケージにはそれぞれ数十の「推移的」依存関係、つまり他のオープン ソース コードとの関係があります。 Endor の推定では、ほとんどの脆弱性 (その統計は割り引いて考えてください) の 95% が、これらの推移的な依存関係で見つかります。

シノプシスの調査によると、2019 年以降、オープンソース パッケージを使用する企業全体で高リスクの脆弱性が少なくとも 42% 増加しました。 この調査では、エドテック、自動車、モノのインターネット、その他の関連業界の企業の 1,700 以上のコードベースを監査した結果、コードベース内のオープンソース パッケージの 89% が 4 年以上古いことが判明しました。

注目を集めるハッキングは政策立案者に行動を促し、米国のオープンソース ソフトウェア保護法や大統領令 14028 などの法律制定につながりました。

「今日の現実は、最新のアプリケーションのコードの多くがオープンソース リポジトリに依存しているということです」とバドワー氏は言います。 「そのコードのほとんどは実際には開発者によって選択されたものではありません。 これらはコードベースに自動的に取り込まれる間接的な依存関係です。 その結果、開発者はアラートの調査、セキュリティ ツールの統合、優先順位の交渉に多くの時間を費やすことになります。 同時に、アプリセキュリティチームは開発者に巨額の『生産性税』を課さなければ仕事を遂行できません。」

そこで Endor は、オープンソース コード内の「到達可能な」リスクと「悪用可能な」リスクを表面化するプラットフォームとして立ち上げられた、とバドワール氏は言います。 その後、コードおよびソフトウェア開発パイプライン ガバナンス サービスに拡張され、堅牢なアプリ セキュリティ プログラムの構築に重点が置かれています。

Endor Labs のモニタリング ダッシュボード。画像クレジット:エンドア研究所

Endor を使用することで、企業は開発パイプラインのセキュリティ体制を監視し、開発者のコ​​ードへのアクセスを管理し、コードベースにハードコーディングされた秘密 (パスワードなど) を注意深く監視することができます。