FutureVuls Blog
こんにちわ。井上です。
今回は、2023-02-23(金曜)に行われた「Vuls祭り」について書いてみます。
.png)
サイバーセキュリティ月間に合わせ、Vuls祭り#7を開催しました。
イベント全体設計として、「脆弱性スキャナVulsや、脆弱性対応についての知見を深める祭りです」としており、FutureVuls/Vuls自身はもちろんですが、それらを利用していない方にも有用なイベントになるように設計しました。
全体としては以下のような内容となりました。
各講演から、脆弱性対応に関連する部分で気になる話をまとめました。
少しでも興味が沸きましたら、youtubeをご覧ください(詳細欄で、必要なシーンに飛べます)。
今回は、SSVC自体のお話と、SSVCでの評価に移行したお話を頂きました。
CVSS BaseScoreを元にした対応判断から、SSVCを利用した判断に移行する過程のお話は、脆弱性対応が回せていない組織には有用な情報かもしれません。
CVSSベースの判断から SSVCベースの判断への移行は、FutureVulsが対応しており、ご利用いただけているようです。
CVSSベースでの脆弱性対応判断は、以前からお話しているように、なかなか運用負荷が高いのが現状です。
Windows OSに対するスキャンを進めています。
以前から商用版であるFutureVulsではWindows対応をしていましたが、今回はVulsもスキャンできるようになりました。
詳細は、後程このブログに寄稿されるはずです。
ネットワーク機器のファームウェア管理を楽にしようという事で、対応方法を検討しています。
現状、SNMPでネットワーク機器のファームウェアバージョンを取得する hogehuga/snmp2cpe というものがあり、これを発展的に使えないかを検討しています。
また、このプロジェクトの過程で、1.SNMPでのファームウェア等の情報の取り扱いが各社ばらばらである 2.ベンダのアドバイザリの記載も一部不安定である 事を確認しています。これらをどのように回避するかを模索中です。
将来的には、FutureVuls/Vulsにネットワーク機器のファームウェアを特定する方法を登録する事を想定しています。(現状、SNMPでCPE特定となる予定)
今回のVuls祭りは、Vulsの新機能開発に関連するものもありつつ、国としてのサイバーセキュリティ施策や脆弱性対応に関する話など、がありました。
今後も定期的に実施したいと思いますので、宜しくお願いします。