Vulsã¾ã¤ã‚Š#10 | 「残æ¥ï¼Ÿæ¥é€±ã§OK?ã€é‡‘曜åˆå¾Œã®è„†å¼±æ€§å¯¾å¿œåˆ¤æ–ã«ä½¿ãˆã‚‹SSVCã®ãƒ‡ãƒ¢ | Vuls Blog
2024å¹´8月20æ—¥ã«é–‹å‚¬ã•ã‚ŒãŸã€ŒVulsç¥ã‚Š#10 | 脆弱性管ç†ã®æœ€å‰ç·šã€œãƒªã‚¹ã‚¯è©•ä¾¡ã‹ã‚‰SSVCã€VEXã€AIã¾ã§ã€œã€ã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ã€Œã€Œæ®‹æ¥ï¼Ÿ æ¥é€±ã§OK?ã€é‡‘曜åˆå¾Œã®è„†å¼±æ€§å¯¾å¿œåˆ¤æ–ã«ä½¿ãˆã‚‹SSVCã®ãƒ‡ãƒ¢ ã€ã®è¦ç‚¹ã‚’書ãèµ·ã“ãŸè¨˜äº‹ã§ã™ã€‚ YouTubeアーカイブã¯ã“ã¡ã‚‰ã§ã™ã€‚ ä¼šå ´ã¸ã®è³ªå• 先日IPAã®ä¸æ ¸äººæ育æˆãƒ—ãƒã‚°ãƒ©ãƒ å’æ¥ãƒ—ãƒã‚¸ã‚§ã‚¯ãƒˆã‹ã‚‰ã€ã€Œè„†å¼±æ€§å¯¾å¿œã«ãŠã‘るリスク評価手法ã®ã¾ã¨ã‚ã€ã¨ã„ã†è³‡æ–™ãŒå…¬é–‹ã•ã‚Œã¾ã—ãŸã€‚ã“ã®è³‡æ–™ã¯æœ¬æ—¥ç´¹ä»‹ã™ã‚‹SSVCã‚„EPSS, KEVãªã©ãŒæ—¥æœ¬èªžã§ã‚ã‹ã‚Šã‚„ã™ã説明ã•ã‚Œã¦ãŠã‚Šã€ã¾ãŸãƒˆãƒªã‚¢ãƒ¼ã‚¸ã«ã¤ã„ã¦ã„ãã¤ã‹ã®æ–¹æ³•ãŒè¨˜è¼‰ã•ã‚Œã¦ã„ã‚‹ã®ã§ä¸€èªã‚’ãŠã™ã™ã‚ã—ã¾ã™ãŒã€ã“ã®ä¸ã§ã“ã®å›³ã®é€šã‚Š60社ã¸ã®ä¼æ¥ã«ã‚¢ãƒ³ã‚±ãƒ¼ãƒˆã‚’å–ã£ã¦ã„ã¾ã™ã€‚ æ„外ã«ãŠã‚‚ã£ãŸã®ãŒã€CVSSã®ç’°å¢ƒè©•ä¾¡åŸºæº–ã‚’60社ä¸15社も使ã£ã¦ã„る点ã§ã™ã€‚ç§ã¯2016å¹´ã«Vulsを開発ã—ã¦ä»¥é™è„†å¼±æ€§ç®¡ç†ã‚’テーマã«æ´»å‹•
脆弱性対応ã«ãŠã‘るリスク評価手法ã®ã¾ã¨ã‚ | デジタル人æã®è‚²æˆ | IPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
背景 本プãƒã‚¸ã‚§ã‚¯ãƒˆã¯ã€ICSCoE7期生ã«ãŠã„ã¦ã€å®Ÿæ¥å‹™ã§è„†å¼±æ€§å¯¾å¿œã‚’è¡Œã†éš›ã«ã€æ—¥ã€…公表ã•ã‚Œã‚‹å…¨ã¦ã®è„†å¼±æ€§ã«å¯¾å¿œã—ãã‚Œãªã„ã¨ã„ã†å•é¡Œã‚„ã€CVSS（Common Vulnerability Scoring System）基本値ã®ã‚¹ã‚³ã‚¢ã‚’脆弱性ã®å¯¾å¿œå„ªå…ˆåº¦ã‚’決ã‚ã‚‹ãŸã‚ã«åˆ©ç”¨ã™ã‚‹ã«ã¯ä¸å分ã§ã‚ã‚‹ã¨è€ƒãˆã€ã“れを解決ã™ã¹ãç«‹ã¡ä¸Šã’られãŸã€‚CVSS基本値ãŒè„†å¼±æ€§ãã®ã‚‚ã®ã®æ·±åˆ»åº¦ã‚’評価ã™ã‚‹ç‚¹ã§ã¯æœ‰ç”¨ã§ã‚ã‚‹ã‚‚ã®ã®ã€è„†å¼±æ€§ã®æ‚ªç”¨çŠ¶æ³ã‚„ユーザã®ç’°å¢ƒæƒ…å ±ã‚’è€ƒæ…®ã—ã¦ã„ãªã„ãŸã‚ã€è„†å¼±æ€§å¯¾å¿œã®å„ªå…ˆåº¦ã‚’決定ã™ã‚‹ãŸã‚ã«ã€å˜ä½“ã§ä½¿ç”¨ã™ã‚‹ã®ã¯é©åˆ‡ã§ã¯ãªã„ã¨è€ƒãˆãŸã€‚ã¾ãŸã€CVSSã‚„EPSS（Exploit Prediction Scoring System）ãªã©ã®ãƒªã‚¹ã‚¯è©•ä¾¡å€¤ã‚’脆弱性対応ã®å„ªå…ˆåº¦ä»˜ã‘ã«ä½¿ç”¨ã™ã‚‹å ´åˆã€é©åˆ‡ãªé–¾å€¤ã‚’è¨å®šã™ã‚‹å¿…è¦ãŒã‚ã‚‹ã¨åˆ¤æ–ã—ãŸã€‚ã“れらをè¸ã¾ãˆã¦ã€è©•ä¾¡å€¤ã®å¦¥å½“性や効率的ãªé‹ç”¨æ–¹æ³•ãŒãªã„ã‹ã¨ã„ã†ç‚¹ã«ã¤
SSVC DeepDive | 「ジョーシストーーク 脆弱性ç¥ã‚Šï½žè„†å¼±æ€§ã®å…¨ä½“åƒã¨ä»˜ãåˆã„方～〠| Vuls Blog
2024å¹´7月8æ—¥ã«é–‹å‚¬ã•ã‚ŒãŸã€Œã‚¸ãƒ§ãƒ¼ã‚·ã‚¹ãƒˆãƒ¼ãƒ¼ã‚¯ 脆弱性ç¥ã‚Šï½žè„†å¼±æ€§ã®å…¨ä½“åƒã¨ä»˜ãåˆã„方～ã€ã®ã‚»ãƒƒã‚·ãƒ§ãƒ³ã€ŒSSVC DeepDiveã€ã®å†…容ã§ã™ã€‚ パッãƒã®é©ç”¨é †åºã¯ã€CVSSã®é«˜ã„脆弱性ã‹ã‚‰ã€‚ã“ã‚Œã§ã¯å®Ÿéš›ã®é‹ç”¨ã¯å›žã›ã¾ã›ã‚“。SSVCã¯ã€æ”»æ’ƒè€…目線をå–り入れãŸè„†å¼±æ€§è©•ä¾¡ãƒ•ãƒ¬ãƒ¼ãƒ ワークã§ã€ç±³å›½æ”¿åºœã§ã‚‚採用ã•ã‚Œã¦ã„ã¾ã™ã€‚本セッションã§ã¯ã€SSVCを活用ã™ã‚‹ã“ã¨ã§ã€ã©ã®ã‚ˆã†ã«è„†å¼±æ€§ç®¡ç†ãŒæ”¹å–„ã•ã‚Œã‚‹ã®ã‹ã‚’徹底解説ã—ã¾ã™ã€‚CVSSã ã‘ã§ã¯ä¸å分ãªæ–¹ã«å¿…見ã®å†…容ã§ã™ã€‚ Xã§ã®ã‚¸ãƒ§ãƒ¼ã‚·ã‚¹ãªèª°ã‹ã®ã¤ã¶ã‚„ã（抜粋）ランサムウェアã®ãƒ‹ãƒ¥ãƒ¼ã‚¹ã§é¨’ãŒã‚Œã¦ã„ã‚‹ä¸ã€X（旧Twitter）ã«ã¦ã“ã‚“ãªç™ºè¨€ã‚’ç›®ã«ã—ã¾ã—ãŸã€‚今回å‚åŠ ã•ã‚Œã¦ã„るジョーシスã®çš†ã•ã‚“ã‚‚ãŠå†…情ãªæ‚©ã¿ã‚’抱ãˆã¦ã„ã‚‹ã¨æ€ã„ã”紹介ã—ã¾ã™ã€‚ Xã§ã®ã‚¸ãƒ§ãƒ¼ã‚·ã‚¹ãªèª°ã‹ã®ã¤ã¶ã‚„ãã¾ã¨ã‚ã‚‹ã¨ã€ã“ã‚“ãªå†…容ã«ãªã‚‹ã¨æ€ã„ã¾ã™ã€‚ ï¼ˆä¼šå ´ã®æƒ…シスã®æ–¹ã€é ·ã方多数） 公開ã•ã‚Œã‚‹
SSVC Supplier Treeã®æ¦‚è¦ã¨è‡ªå‹•åŒ– | è£½é€ æ¥ã«ãŠã‘る脆弱性管ç†ã®èª²é¡Œã¨å¯¾å¿œæ–¹æ³• | Vuls Blog
2024å¹´7月12æ—¥ã«é–‹å‚¬ã•ã‚ŒãŸã€Œè£½é€ æ¥ã«ãŠã‘る脆弱性管ç†ã®èª²é¡Œã¨å¯¾å¿œæ–¹æ³•@大阪ã€ã‚»ãƒŸãƒŠãƒ¼ã®ã€ŒSSVC Supplier Treeã®æ¦‚è¦ã¨è‡ªå‹•åŒ–ã€ã‚»ãƒƒã‚·ãƒ§ãƒ³ã®ã‚¹ãƒ©ã‚¤ãƒ‰ã§ã™ã€‚ 米国CISAãŒæŽ¨å¥¨ã™ã‚‹è„†å¼±æ€§ç®¡ç†ã®å„ªå…ˆé †ä½ä»˜ã‘手法ã§ã‚ã‚‹SSVC（Stakeholder-Specific Vulnerability Categorization）ã®æ¦‚è¦ã‚’説明ã—ã€PSIRT用ã®æ±ºå®šæœ¨ã§ã‚ã‚‹Supplier Treeを紹介ã—ã¾ã™ã€‚SSVCã¯è„†å¼±æ€§ã‚’リスクベースã§å„ªå…ˆåº¦ä»˜ã‘ã™ã‚‹ãƒ•ãƒ¬ãƒ¼ãƒ ワークã§ã™ãŒã€ãã®ã¾ã¾çµ„ç¹”ã«é©ç”¨ã™ã‚‹ã¨äººçš„工数ã¨å°‚門知è˜ãŒå¿…è¦ã§ã™ã€‚講演者ã¯SSVCã®å°Žå…¥ã«ã¯è‡ªå‹•åŒ–ãŒè‚è¦ã§ã‚ã‚‹ã¨è€ƒãˆã€è‡ªå‹•åŒ–ã®æ–¹æ³•ã‚’模索ã—ã¦ã„ã¾ã™ã€‚本セッションã§ã¯ã€SSVC Supplier Treeを用ã„ã¦è£½é€ æ¥ã®PSIRTã®è„†å¼±æ€§ãƒˆãƒªã‚¢ãƒ¼ã‚¸ã‚’自動化ã™ã‚‹æ–¹æ³•ã‚’探求ã—ã¾ã™ã€‚具体的ã«ã¯ã€Supplier Treeã®å„De
CVE_Prioritizerã¨SploitScanã§è€ƒãˆã‚‹ã€KEV Catalog/EPSS/CVSS/SSVC | Vuls Blog
CVE_Prioritizerã¨SploitScanã§è€ƒãˆã‚‹ã€KEV Catalog/EPSS/CVSS/SSVC 概è¦EPSSã‚„KEV Catalogを有用ã«ä½¿ã†ãƒ—ãƒã‚¸ã‚§ã‚¯ãƒˆãŒæœ€è¿‘出ã¦ãã¾ã—ãŸã€‚ ã“れらã«ã¤ã„ã¦å†…容を確èªã—ã€ã©ã®ã‚ˆã†ã«ä½¿ãˆã‚‹ã‹ã€åŒæ§˜ãªSSVCã¨ã©ã†é•ã†ã‹ã‚’見ã¦ã„ãã¾ã™ã€‚ CVE_Prioritizer https://github.com/TURROKS/CVE_Prioritizer SploitScan https://github.com/xaitax/SploitScan Exective Summary EPSS, KEVã®ãƒ‡ãƒ¼ã‚¿ç‰¹æ€§ã‚’考ãˆã‚‹å¿…è¦ãŒã‚ã‚‹ EPSSã¯æ©Ÿä¼šã®ã¿ã€KEVã¯æ©Ÿä¼šã¨è„†å¼±æ€§ã‚’示㙠当該プãƒã‚¸ã‚§ã‚¯ãƒˆã¯ä½¿ã„ã‚„ã™ãã€CVSSã®ã¿ã§åˆ¤æ–ã—ã¦ã„る組織ã¯ã€CVE_Prioritizerã‚’ã¾ãšã¯ä½¿ã£ã¦ã¿ã‚‹ã®ãŒè‰¯ã„ã‹ã‚‚ã—ã‚Œãªã„ 当該プãƒã‚¸ã‚§ã‚¯ãƒˆã¯ システム固
ãƒã‚°ãƒãƒ³ãƒˆå…¥é–€ (OSSç·¨) - blog of morioka12
1. 始ã‚ã« ã“ã‚“ã«ã¡ã¯ã€morioka12 ã§ã™ã€‚ 本稿ã§ã¯ã€ãƒã‚°ãƒãƒ³ãƒˆã®å…¥é–€ã¨ã—ã¦ã€ä¸»ã« Web アプリケーション㮠OSS ã«ç„¦ç‚¹ã‚’ãŠãã€è„†å¼±æ€§ã®ç™ºè¦‹ãƒ»å ±å‘Šãƒ»CVE ID ã®å–å¾—ã«ã¤ã„ã¦ç´¹ä»‹ã—ã¾ã™ã€‚ 1. 始ã‚ã« å…è²¬äº‹é … 想定èªè€… ç†è€…ã®ãƒãƒƒã‚¯ã‚°ãƒ©ã‚¦ãƒ³ãƒ‰ 2. CVE ã¨ã¯ 3. 探ã™å¯¾è±¡ã®é¸ã³æ–¹ OSS Topic (Type) 特定ã®æ¡ä»¶ã§çµžã‚‹ ãƒã‚°ãƒã‚¦ãƒ³ãƒ†ã‚£ã® OSS 4. 脆弱性ã®æ¤œè¨¼æ–¹æ³• アプãƒãƒ¼ãƒæ–¹æ³• 5. 脆弱性ã®å ±å‘Šå…ˆ 6. å ±å‘Šæ›¸ã®æ›¸ãæ–¹ CVSS CWE 7. 脆弱性発見ã‹ã‚‰ CVE ID ã®å–å¾—ã¾ã§ã®æµã‚Œ 注æ„点 8. ãƒã‚°ãƒãƒ³ãƒˆå‰ã®ã‚¹ã‚ル準備 éŽåŽ»ã® CVE ID やレãƒãƒ¼ãƒˆ Web Security ã®å ´åˆ 9. ãã®ä»– ãã®å¾Œã®ãƒãƒ£ãƒ¬ãƒ³ã‚¸ ãƒã‚°ãƒã‚¦ãƒ³ãƒ†ã‚£å…¥é–€ ã‚»ã‚ュリティエンジニアを目指ã™å°±æ´»ç”Ÿã®æ–¹ã¸ OSS ã®é–‹ç™ºè€…ã®æ–¹ã¸ 10. 終ã‚ã‚Šã« å…è²¬äº‹é …
脆弱性対応ã«æœ‰ç”¨ãªSSVCã¨ã€é©ç”¨ã«ã¤ã„㦠| Vuls Blog
ã“ã‚“ã«ã¡ã¯ã€‚井上ã§ã™ã€‚ FutureVulsã¯ã€Œæ—¥ã€…æ›´æ–°ã•ã‚Œã‚‹è„†å¼±æ€§æƒ…å ±ã‚’è£œè¶³ã—ã€ã‚ˆã‚ŠåŠ¹æžœçš„ãªé‹ç”¨ãƒ»ç®¡ç†ã‚’サãƒãƒ¼ãƒˆã™ã‚‹ã€ã‚µãƒ¼ãƒ“スã§ã™ãŒã€‚ 2022/9/13リリースã«ã¦é‹ç”¨éƒ¨åˆ†ã§æœ‰ç”¨ãªSSVC(Stakeholder-Specific Vulnerability Categorization)をサãƒãƒ¼ãƒˆã—ã¾ã—ãŸã€‚ 本稿ã§ã¯ã€è„†å¼±æ€§å¯¾å¿œã®ç¾çŠ¶ã‹ã‚‰SSVCã®èª¬æ˜Žã€SSVCã®é©ç”¨ä¾‹ã‚’説明ã—ã¾ã™ã€‚ 目次 脆弱性対応ã®ç¾çŠ¶ å•é¡Œç‚¹ ã©ã†ã—ãŸã‚‰ã‚ˆã„ã®ã‹ SSVCã¨ã¯ æ¦‚è¦ ã©ã®ã‚ˆã†ãªåˆ©ç‚¹ãŒã‚ã‚‹ã®ã‹ SSVCã‚’é©ç”¨ã™ã‚‹ 従æ¥ã®åˆ¤æ– SSVCã§ã®åˆ¤æ– ã¾ã¨ã‚ 脆弱性対応ã®ç¾çŠ¶è„†å¼±æ€§ã‚’検知ã—ãŸå¾Œã«ã©ã®ã‚ˆã†ã«åˆ¤æ–/対応ã™ã‚‹ã®ã‹ã€ã¯æ‚©ã¿ã©ã“ã‚ã®å¤šã„å•é¡Œã§ã™ã€‚ 一般的ã«ã¯ä»¥ä¸‹ã‚’考慮ã—ã¦å¯¾å¿œã‚’検討ã—ã¦ã„ã¾ã™ã€‚ 脆弱性自体ã®å±é™ºåº¦ 自システムã¸ã®å½±éŸ¿åº¦ 対ç–難易度 未対ç–ã§ã®ãƒªã‚¹ã‚¯ ãã®ç‚ºã€ä¸Šè¨˜ã‚’判æ–ã™ã‚‹åŸºæº–を組織ã§
CVSSã¨ãã®é™ç•Œ | ドクセル
é•·è°·å·é™½ä»‹(ã¯ã›ãŒã‚よã†ã™ã‘) ï½ ã‚»ã‚ュリティ・ã‚ャンプå”è°ä¼šä»£è¡¨ç†äº‹ ï½ ï¼ˆæ ªï¼‰ã‚»ã‚ュアスカイ・テクノãƒã‚¸ãƒ¼ å–ç· å½¹CTO ï½ åƒè‘‰å¤§å¦ éžå¸¸å‹¤è¬›å¸« ï½ OWASP Kansai ボードメンãƒãƒ¼ ï½ OWASP Japan ボードメンãƒãƒ¼ ï½ CODE BLUEカンファレンス レビューボードメ ンãƒãƒ¼ Webブラウザーã€Webアプリケーション㫠関ã™ã‚‹å¤šæ•°ã®è„†å¼±æ€§ã‚’発見。 Black Hat Japan 2008ã€éŸ“国POC 2008ã€2010ã€OWASP AppSec APAC 2014他講演や記事執ç†ã‚‚多数。 https://utf-8.jp/ Vulsç¥ã‚Š#8 #vulsjp https://utf-8.jp/
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
VulnCheck KEV - VulnCheck
GitHub - vuls-saas/SSVC
Prioritizing vulnerability response: A stakeholder-specific vulnerability categorization (version 2.0)
CVE database: A complete inventory of known vulnerabilities
GitHub - cisagov/vulnrichment: A repo to conduct vulnerability enrichment.
NVD - Search and Statistics
CVE Database - Security Vulnerabilities and Exploits | Vulners.com
Navigating the Cyber Threat Landscape with SOCRadar's Vulnerability Intelligence and CVERadar - SOCRadar® Cyber Intelligence Inc.
CVE Radar - SOCRadar LABS
脆弱性ãƒãƒ³ãƒ‰ãƒªãƒ³ã‚°ã¨è€ãˆã‚‹è¨è¨ˆ -Vulnerability Response-
GitHub - r3volved/CVEAggregate: Build a CVE library with aggregated CISA, EPSS and CVSS data
GitHub - TURROKS/CVE_Prioritizer: Streamline vulnerability patching with CVSS, EPSS, and CISA's Known Exploited Vulnerabilities. Prioritize actions based on real-time threat information, gain a competitive advantage, and stay informed about the latest tre
{{#tags}}- {{label}}
{{/tags}}