脆弱性スキャナ痴耻濒蝉で始めるセキュリティ対策
?Download as PPTX, PDF?
7 likes?9,388 views
［秋葉原］第2回ゼロから始めるセキュリティ入門 勉強会(https://weeyble-security.connpass.com/event/48205/)のLT資料です。
![5
脆弱性報告件数の推移
抜粋）JPCERT CC.
ソフトウェア等の脆弱性関連情報の
取扱いに関する届出状況[2016年第3
四半期（7月～9月）]
https://www.jpcert.or.jp/press/2016/vul
nREPORT_2016q3.pdf
1日あたり４.２件もの脆弱性が報告されている。
抜粋）JPCERT CC.
ソフトウェア等の脆弱性関連情報の取
扱いに関する届出状況[2016年第3四半
期（7月～9月）]
https://www.jpcert.or.jp/press/2016/vuln
REPORT_2016q3.pdf](https://image.slidesharecdn.com/vuls-170215043004/85/Vuls-5-320.jpg)
脆弱性スキャナ痴耻濒蝉で始めるセキュリティ対策
- 2. 自己紹介 ? 牛田 隆之（Ushida Takayuki） ? フューチャーアーキテクト株式会社 – Technology Innovation Group – セキュリティーソリューション担当 – 前職ではインフラ運用?監視系 ? 脆弱性スキャナVulsのビューアVulsRepoを開発 ? Twitter／Qiita／GitHub – usiusi360 2
- 6. 6 脆弱性対応は、時間との戦い！！ 発見?対処が遅れるほど、外 部から脆弱性を突かれるリス クが高くなる ? 脆弱性情報が公開されたということは、攻撃者にとっても脆弱性を突くた めのヒントが公開されたってこと。 ? 脆弱性が公開されたあと、それを標的にしたアタックが急増する。 ? 実际には公表される前のゼロデイもあって怖い。
- 7. 7 脆弱性情報を毎日ウォッチしつづけるのはツライ ? CVE等の脆弱性情報は追加だけではない！ 過去の情報も頻繁に更新されている。 ? 更新された内容に重大な内容(脆弱性レベル?対象)が含ま れていても、話題になるのは一部だけ。 ? 全てのアップデートについて毎回、自システムのインストー ル構成と照らし合わせて影響があるか一つずつ確認する のはタイヘン！チェック漏れがあったら一大事！！
- 12. 12 脆弱性診断 Webアプリケー ション サーバソフトウ ェア OS ネットワーク Webアプリケーション 脆弱性スキャナー ソフトウェア脆弱性 スキャナ ネットワーク 脆弱性スキャナー ネットワーク ポートスキャナー セキュリティ設定 監査ツール Rapid7、Nessus、OpenVAS Nmap OpenVAS、OpenSCAP、 Lynis OpenVAS、OpenSCAP OWASP dependency-check OpenVAS、OWASP ZAP、 Rapid7、Nessus、 Nikto
- 15. 15 特徴 ? オープンソース（GPLｖ３） ? エージェントレス (管理サーバにモジュール配置するのみ) スキャン対象にはSSH接続のみ。非破壊で安全にスキャン。 AWSへの事前申請不要。 ? セットアップ、初期設定が非常に簡単 ? ディストリビューションパッケージ及びパッケージ以外のソフ トウェアの脆弱性も検知可能（要CPE登録） ? オンプレ、クラウドの両方に対応 ? 幅広いLinuxディストリビューションに対応 (AmazonLinux、CentOS、Ubuntu、RHEL、FreeBSD、???) ? Dockerコンテナ対応（SSH不要） ? 日本語でレポート可能 ? 豊富なレポート手段（Slack, e-mail, TUI, WebUI …）
- 17. 17 メディア紹介 IPAのWeb記事 （ MyJVN事例紹介） ThinkIT 参照URL: <https://thinkit.co.jp/article/10092> 参照URL: <http://jvndb.jvn.jp/apis/>
- 23. 23 VulsRepo VulsRepoでVulsの結果をピボットテーブルのように色々な角度か ら集計できる。またグラフ化することもできる。 Vulsのレポート表示（Web－ VulsRepo）
- 27. 27 Vuls構成パターン
- 31. 31 他のツールとの比較
- 32. 32 VulsとOpenVAS、AWS Inspecterの比較 Vuls OpenVAS AWS Inspecter コスト OSS OSS 従量課金 対象OS Amazon Linux、CentOS、Debian、 FreeBSD、Redhat、Ubuntu CentOS、Debian、Fedora、 RedHat、Windows AmazonLinux、Ubuntu(14.04LTS ～)、 Redhat（7.2） CentOS（7.2） Windows Server 2008 R2、2012 チェック 内容 .pkg、.rpmに含まれたCVE CPEを指定したもののCVE .pkg、.rpmに含まれたCVE NVTs(Network Vulnerablility Tests）※検査用シグネチャに基 づいたスキャン 一般的な脆弱性と曝露 CISオペレーションシステムのセ キュリティ設定ベンチマーク セキュリティのベストプラクティス レポート Web、CUI、text、JSON、Mail、 slack、CSV Web、HTML、CSV、PDF Web、CSV ログイン 権限 一般ユーザでのログイン権限＋ sudo権限 Root権限を持つユーザでのログ イン権限 エージェントを起動 導入の 容易さ ◎ △ ◎ クラウド 環境で の使用 申請不要 申請必要 申請不要
- 33. 33 VulsとOpenVAS、AWS Inspecterの比較 ? Qiita：Vuls?OpenVAS?Amazon Inspectorを徹底比較 – Vulsはスキャンスピード、検知精度に優れている結果になった！
- 34. 34 Vuls 参考情報 ? GitHub https://github.com/future-architect/vuls/blob/master/README.ja.md ※日本語マニュアルがあります。 ? コミュニティSlack https://vuls-github.slack.com/messages/vulsjp/ ? 勉強会（vuls-jp） #1 2016/9/26開催 100名ほど参加 http://vuls-jp.connpass.com/ ? Qiita：脆弱性スキャナVuls 関連リンク集 http://qiita.com/usiusi360/items/aeb3cd3630badfacdb4e 検索
- 35. 35 まとめ 脆弱性検知は自動チェックツールを使って運用を楽に！ 有償サポート、導入サポート、カスタマイズはご相談ください ? フューチャーアーキテクト株式会社 担当：牛田（ウシダ）まで ? mailto: gr-tig-ta-security@future.co.jp ? 脆弱性対策の第一歩はシステムに潜在する脆弱性を可視化すること です。 ? 脆弱性検知は一回行って終わりではありません。継続的に実施するこ とが必要です。 OSSなので無料で使えます！ ? 検知機能だけでなく、可視化ツールも含めて全ての機能がOSSだけで 構成できます。 ? 規模や運用条件に合わせて柔軟に構成できます。
- 36. 36