IDCFクラウドFacebookTwitterLinePocketこんにちは。Slackチームに参加している井上です。参加しています(まだ白帯ですね)。trending総合で一時的に1位になったこともある、話題の脆弱性スキャナ「Vuls」について、ご紹介の機会をいただきました。Dojoの縁もあり、IDCFに提供いただきました。ありがとうございます!そのご縁もあり、こちらに寄稿させていただくことになりました。実機での操作やコードは今回はありませんが、しばらくお付き合いいただければ幸いです。そもそもVulsって何?脆弱性スキャナに分類されるプログラムです。表記上は、”Vuls”(大文字始まり)が本プロジェクトの名前で、”vuls”(すべて小文字)はプログラムを示しています。細かいことなので、あまり気にしなくても良いと思います。同様なものとして、OpenVASがあげられます。https://github.com/future-architect/vuls/VulsでスキャンしたデータをWEBで見ることが出来る、VulsRepoというものもあります。https://github.com/usiusi360/vulsrepo/Vulsの優れた点は以下の通りです。エージェントレスSSH(鍵認証)を利用して通信します。アップデートの必要性だけではなく、影響度が分かるアプリケーションなどの兼ね合いでアップデートが難しいサーバーの場合、現在のバージョンではどのような脆弱性が残っているのか、影響度はどのくらいであるのかなどの情報をもとに、アップデートを検討します。この判断の補助が出来ます。概要Vulsは、サーバーに導入されているパッケージやプログラムをチェックし、NVD/JVNの脆弱性情報と突き合せることで脅威度を「目に見える形」で示すことが出来る、OSSのソフトウェアです。IDの概要や影響度情報を得ます。JSONファイルとして保存します。http://www.slideshare.net/jpcert_securecoding/ss-66412794保存されたJSONファイルを、WEBブラウザで見ることが出来ます。スキャンタイミング毎の結果の比較や、ピボットテーブルのように表示しての分析などが可能です。WEBアクセスで、現在の脆弱性残存状況が分かる(画面はヒートマップ表示)インストール詳細はGitHubサイトのREADME.ja.mdをご覧ください。1Vulsを導入します・Go言語で書かれているため、Goを入れます・Vulsを使うユーザを作り、sshなどの設定を行います・VulsをGitHubから落として、インストールします2Vulsのスキャン結果を見る・VulsRepoを入れます・httpdなどのwebサービスを用意します・VulsRepoをダウンロードし、DocumentRoot配下など、コンテンツディレクトリに配置します3おわりVulsはスキャン用ユーザ配下に配置できるため、もしも不要になった場合やお試しで使った後は、ユーザのhomeディレクトリを削除することで、きれいさっぱり消去することが出来ます。導入や削除は難しく無いため、気軽に試すことが出来ると思います。Vol.1」が開催されました。vuls-jp.connpass.com当初は50名規模想定でしたが早々に参加枠が埋まったため、最終的には100名まで規模を拡大して実施しました。想定よりも多くの方に興味を持っていただいていたようでした。ダイジェストをお伝えさせていただきます。(各発表で利用されたスライドは、Vuls祭りのページから閲覧可能です。)どのような雰囲気だったか個人的には「Vulsを使っている方が来る」と思っていたのですが、大半の方が「まだVulsは利用していないが、興味がある」という感じでした。各セッションを見ると、他のサービスと連携させるとどうなるのか、どうやったら使いやすくできるのか、そもそもセキュリティ面でどうなのか、という内容でした。これから使い始める人にとって、Vuls単体ではなく、周辺の既存サービスと連携をさせる点で、有用な内容だったように思えます。セッションサマリ各セッションについて、すごく簡単にまとめました。興味のある方は、Vuls祭りのサイトから資料をご確認ください。基調講演:Vuls概要、これまでとこれからの話2016/04/01にVulsを公開したところ、ドイツやスロバキアなどでも話題になった。iPediaは...・JVNに掲載される情報のほか、米国NISTが運営するNVD及び国内ベンダーからの情報を収集している・データの蓄積と検索機能を重視。contributorになろう!Vulsのドキュメント作成プロジェクトがそろそろはじまります!まとめ今後、IDCFクラウド用のコミュニティテンプレートをリリース予定です。Vulsでスキャンすることで、実環境上の脆弱性状況の把握が簡単になるはずです。楽が出来るところは楽をして、休みを取ったり、他に注力しなければいけないところに力を割けるようになればいいな、と思っています。(1)こんにちは、藤城(@tafujish)です。触ってみた初めまして、こんにちは。事業推進本部SE部の掛田(@skakeda)...2021-04-08IDCFクラウドのマネージドKubernetesサービスはじめますこんにちは、藤城(@tafujish)です。CDNサービスにイベントログ機能が追加されましたクラウド推進部のCDN開発チームです。Inc.▲はてなブログをはじめよう!blog-idcfさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。