FutureVuls Blog

  • Home

SSVC v2.1徹底解説：脆弱性対応フレームワークの変更点と進化

脆弱性対応の優先度を決定するフレームワーク「SSVC（Stakeholder-Specific Vulnerability Categorization）」の最新版であるv2.1が2023年7月にリリースされました。このバージョンでは、判断基準がシンプル化されるとともに、リスク評価の精度が向上しています。FutureVulsもv2.1に対応し、設定の簡便化と運用効率の向上を実現しました。本記事では、v2.1の主な変更点と、それが組織のリスク評価やFutureVulsの運用にどのような影響を与えるかを詳しく解説します。

内部と外部をつなぐ脆弱性管理｜FutureVulsでASM・Nmap・Nessusなどの診断結果を活用する方法

FutureVulsが提供する新機能で、Qualys、Nessus、Nmapなどの外部スキャン結果を簡単に取り込むことが可能になりました。APIを活用してインポート作業を自動化することで、脆弱性管理の効率を大幅に向上させる方法を紹介します。

OSS脆弱性管理の課題と解決策｜スライド・全文ログ付き解説 | SSVC,KEV,EPSS,VEXを用いた最新のリスク評価法（CSS2024招待講演）

CSS2024（コンピュータセキュリティシンポジウム2024）にてFutureVulsが招待講演を行いました。本セッションでは、OSS脆弱性スキャナVulsを通じて見えてきた脆弱性管理の課題と解決策、VEXやReachabilityを用いたノイズ削除手法、SSVCやKEV,EPSSなどを活用した最新のリスク評価手法について解説しました。スライドと全文ログも公開していますので、ぜひご覧ください。

情報セキュリティワークショップin越後湯沢2024 | FutureVulsの最新機能とPSIRT向けソリューションを紹介

FutureVulsは、2024年10月10・11日に開催された情報セキュリティワークショップin越後湯沢にシルバースポンサーとして参加しました。スポンサー講演では、外部スキャン結果のインポート機能や製造業向けの新しいPSIRT機能を紹介し、来場者に最新の脆弱性管理ソリューションを提案しました。セキュリティ強化に向けた当社の取り組みが、皆様の業務効率化にお役立ていただけることを願っています。

Security Days Fall 2024東京 | ランサムウェア対策と脆弱性管理の最新ソリューションを紹介

FutureVulsは、2024年10月22日から25日まで開催されたSecurity Days Fall 2024東京にプラチナスポンサーとして参加し、ブース出展と講演を行いました。講演では、最新のランサムウェア対策と脆弱性管理手法について具体的な解決策を紹介し、展示ブースではSSVCを用いたトリアージやSBOM対応など、現場での課題解決に向けた多彩なソリューションを提案しました。

Vuls祭り#10 | 脆弱性管理の最前線 〜リスク評価からSSVC、VEX、AIまで〜を開催しました

Vuls祭りの運営を務めました、平井です！ 2024年8月20日(火)に第10回目となるVuls祭りを開催いたしました。 今回は「脆弱性管理の最前線 〜リスク評価からSSVC、VEX、AIまで〜」をテーマに、実に140名以上の方にお申込みいただき、オフラインイベントならではの熱い交流と知見の共有が行われました！ 本記事ではVuls祭り#10の内容をまとめていこうと思います！

Vulsまつり#10 | 「残業？来週でOK?」金曜午後の脆弱性対応判断に使えるSSVCのデモ

Vulsまつり#10では、脆弱性管理の最新技術をテーマに、多くの参加者が集まりました。その中でも注目を集めたのが、SSVC（Stakeholder-Specific Vulnerability Categorization）を使ったデモです。この記事では、そのデモをもとに、金曜日の午後にも効率的に脆弱性対応判断を行うための方法をご紹介します。

regreSSHion (CVE-2024-6387) の脆弱性で見る FutureVuls での脆弱性管理

本ブログでは、最新のOpenSSHの脆弱性（CVE-2024-6387）に対する効果的な対応方法について解説します。特に、脆弱性管理ツールFutureVulsを使用することで、どのように迅速かつ効率的に脆弱性を検知し対応できるかを詳しく説明します。

ジョーシストーーク「脆弱性祭り〜脆弱性の全体像と付き合い方〜」に参加しました

皆様、初めまして。FutureVulsの平井です。 今回はジョーシス株式会社様、株式会社クラウドネイティブ様が共催するセキュリティイベント「ジョーシストーーク」に参加してきました。 個々のセッションやQAセッションの概要、そこから得た学びをまとめたのでぜひご一読ください。

SSVC DeepDive | 「ジョーシストーーク 脆弱性祭り～脆弱性の全体像と付き合い方～」

2024年7月8日に開催された「ジョーシストーーク 脆弱性祭り～脆弱性の全体像と付き合い方～」のセッション「SSVC DeepDive」の内容です。https://cloudnative.co.jp/event/josystalk202406 パッチの適用順序は、CVSSの高い脆弱性から。これでは実際の運用は回せません。SSVCは、攻撃者目線を取り入れた脆弱性評価フレームワークで、米国政府でも採用されています。本セッションでは、SSVCを活用することで、どのように脆弱性管理が改善されるのかを徹底解説します。CVSSだけでは不十分な方に必見の内容です。

SSVC Supplier Treeの概要と自動化 | 製造業における脆弱性管理の課題と対応方法

米国CISAが推奨する脆弱性管理の優先順位付け手法であるSSVC（Stakeholder-Specific Vulnerability Categorization）の概要を説明し、PSIRT用の決定木であるSupplier Treeを紹介します。SSVCは脆弱性をリスクベースで優先度付けするフレームワークですが、そのまま組織に適用すると人的工数と専門知識が必要です。講演者はSSVCの導入には自動化が肝要であると考え、自動化の方法を模索しています。本セッションでは、SSVC Supplier Treeを用いて製造業のPSIRTの脆弱性トリアージを自動化する方法を探求します。具体的には、Supplier Treeの各Decision Pointを分解し、最近CISAから公開されたNVDを補完する脆弱性情報「Vulnrichment」などのデータソースとロジックを共有し、自動化のための現実的な実装方法を模索します。

インターネット露出サーバの自動特定とSSVC Exposure設定ガイド

脆弱性管理は企業のセキュリティ対策において重要な課題です。本記事では、効果的な脆弱性管理を実現するためのSSVC（Stakeholder-Specific Vulnerability Categorization）のExposure設定方法について解説します。FutureVulsを用いた実践的なアプローチやAmazon Inspectorを活用した自動調査手法も紹介します。

FutureVuls に登録する製品の CPE 名を、ちょっとだけ便利に検索する

みなさんは、製品の「CPE 名」をどのように検索されていますか？ 本ブログでは、go-cpe-dictionary と peco を用いてインタラクティブに CPE 名を検索する方法を紹介します。

Amazon Inspector と FutureVuls で実現する EC2 のエージェントレス脆弱性スキャン：ハンズオンガイド

AWS の EC2 インスタンスを Inspector のエージェントレススキャンで脆弱性スキャンし、結果を FutureVuls に取り込む方法をまとめました。EC2 上に SSM エージェントや Vuls スキャナをインストールすることなく脆弱性を検知できます。

SSVCにおける Human Impact 決定方法例

SSVC の DeployerTree における Human Impact について、SSVC ではどのように考えているのか、実際の運用ではどうするのが良いのか、をまとめました。

FutureVulsが「JAWS DAYS 2024」にGold企業サポーターとして協賛しました

FutureVulsは、2024年3月2日に池袋で開催された「JAWS DAYS 2024」にGold企業サポーターとして協賛しました。展示ブースではFutureVulsとAWS Inspectorの連携について説明し脆弱性の一元管理とリスク判断と運用者への対応指示まで自動化する方法を説明しました

サイバーセキュリティシンポジウム道後2024(SEC道後2024)にてFutureVulsのスポンサー出展と講演をおこないました

FutureVulsは、2024/3/8, 9に開催されたサイバーセキュリティシンポジウム道後のスポンサーとして、最先端の脆弱性管理ソリューションと革新的なSSVCトリアージ機能を紹介。企業プレゼン、展示ブースの体験、およびセキュリティ業界への貢献を詳述します。

CVE_PrioritizerとSploitScanで考える、KEV Catalog/EPSS/CVSS/SSVC

KEV CatalogやEPSSはどう活用するのが良いかという点で、うまく活用しているプロジェクトがあったのでご紹介します。SSVCとの違いも考察します。

脆弱性管理と組織組成: X.1060で考える、脆弱性管理の機能

2024-02-03に行われた「サイバーセキュリティ勉強会2024冬in塩尻」でお話しした内容の要約です。脆弱性管理は、組織のセキュリティ対応の中の1部分にすぎません。組織上どのような位置づけで、他の活動とどのような関連があるのかを、X.1060を使ってみていきます。

WindowsのSSHリモートスキャンでファイルサーバに置かれたCabファイルを利用する方法: 閉域網のWindowsの脆弱性管理を効率化

最新のセキュリティ管理手法を導入して、閉域網内のWindowsサーバの脆弱性を効率的に把握しませんか？この記事では、SSHを用いたリモートCabスキャンの設定方法を詳しく解説します。Cabファイルをファイルサーバ上の一箇所に集約し、複数のWindowsサーバに対してSSHで脆弱性スキャンを実行できます。閉域網におけるWindowsサーバの脆弱性管理の新しいアプローチをご紹介します。

Windows スキャンで検知した脆弱性には、解決済みのものがある？

FutureVuls の Windows スキャンでは、既に解決されている脆弱性が検知される場合があります。それはどのような条件で起こりうる現象か、その原因は何か、対応要否の判断方法および FutureVuls 上でどう管理するかについて紹介します。

Windows Server on EC2 に ssh で接続する

EC2 上で稼働する Windows Server に向けて、公開鍵認証により SSH で接続するまでの設定内容をブログ化しました。

FutureVulsとTrivyでAWS CodePipelineのCI/CDに脆弱性検知を組み込む

DevOpsの進化として、コンテナとCI/CDの融合、セキュリティ統合のDevSecOpsへの移行、FutureVulsとTrivyの連携を掘り下げました。

EPSS入門：脆弱性管理を変革する新指標の理解と活用方法

EPSSとは、機械学習によるデータ駆動型のアプローチによる脆弱性の危険度を示す指標です。本記事では近年注目を集めているEPSSについて、その特長について解説します。

脆弱性対応の戦略とフレームワーク(NCA Annual Conference CFPの概要)

先日開催されたNCA Annual Conference 2023で「サイバーセキュリティの新たな世界」として発表したものについて、概説します。