Ostorlab for Bitriseを発表：CIでのモバイルセキュリティスキャン

OstorlabがBitriseと連携し、CIワークフローの一部として自動化されたモバイルアプリケーションのセキュリティスキャンを実行できるようになりました。これにより、脆弱性をより早く検出し、より自信を持ってリリースできます。

Bitrise SecretとシンプルなScriptステップだけで、パイプラインが生成するものと同じ成果物（たとえばAndroidの.APKやiOSの.IPA）をスキャンできます。

Bitriseにモバイルセキュリティスキャンを統合する理由

現代のモバイルチームは、ビルド、テスト、リリースの自動化にすでにBitriseを活用しています。しかし、セキュリティチェックがパイプラインの外にあると、実施が遅れがちになり（あるいは一貫性を欠き）、直前の遅延や避けられたはずのリスクを生みます。スキャンをCIに組み込むことで、フィードバックをライフサイクルのより早い段階に移せるため、問題の対処にかかるコストが低く、より速く対応できるうちに修正できます。

Ostorlab x Bitrise連携でできること

Bitrise連携を使えば、Bitriseユーザーがすでに慣れ親しんでいる方法、つまりSecrets + Scriptステップで、既存のワークフローにOstorlabのスキャンを追加できます。具体的には、この連携はOstorlab CLIを使い、ワークフロー中に生成されたビルド成果物（たとえばBitriseが公開する.APKのパス）に対してci-scan runを実行します。

ニーズに合わせてスキャンを柔軟に調整することもできます。

• パイプラインの実行にどの程度の深さを求めるかに応じて、fast、full、agentic deep scanといったスキャンプロファイルから選択できます。
• 連携ガイドでサポートされているさまざまな種類のモバイル成果物（たとえばandroid-apk、android-aab、ios-ipa）をスキャンできます。
• より高度なワークフロー向けに、テスト用認証情報、SBOM、UIプロンプトなど、任意の入力や自動化のフックを（ドキュメントに記載のとおり）指定できます。

仕組み

この連携は、簡単に導入できるよう設計されています。

1. Ostorlabポータル（API keysメニュー）でOstorlabのAPIキーを生成します。
2. スクリプトにハードコードされないよう、APIキーをBitrise Secretsに保存します。
3. BitriseのWorkflow Editorで、スキャンしたいワークフロー（たとえばメインのワークフロー）にScriptステップを追加します。
4. そのScriptステップで、Ostorlab CLIをインストールし、Bitriseが生成したビルド成果物のパス（たとえばAndroidの.APK）に対してostorlab ci-scan runを実行します。

具体的な出発点が必要な場合は、連携ガイドに、pipでOstorlabをインストールし、Secretと、Bitriseが公開する成果物のパスの変数（例：BITRISE_APK_PATH）を使ってスキャンコマンドを実行するScriptステップの例が掲載されています。

パイプラインに合わせてスキャンをカスタマイズする

リリースの構成やCIで実施したいチェックに応じて、連携ページに記載されているCLIフラグと環境変数を使ってスキャンコマンドを設定できます。これには、スキャンプロファイルの選択（fastかfullか）、スキャンする成果物の種類の選択（APK/AAB/IPA）、そして必要に応じた追加の入力（SBOMなど）やガイダンス（UIプロンプトなど）の指定が含まれます。

はじめに

連携を有効にし、具体的なセットアップ手順に従うには、OstorlabドキュメントのBitrise連携ガイドをご覧ください。
https://docs.ostorlab.co/integrations/bitrise/index.html