FutureVuls の基本用語
FutureVuls の利用開始時によく見かける用語を、契約から登録、判断、対応まで、FutureVuls を使う流れの順に短く解説します。
詳しい仕様や操作方法は、「詳しく」列のリンク先のマニュアルを参照してください。
管理の単位と権限
| 用語 |
意味 |
詳しく |
| オーガニゼーション |
FutureVuls 上で組織を管理するための箱で、請求先の単位です。多くの場合は会社ごとに1つ作成します。 |
オーガニゼーションの分け方 |
| グループ |
サーバや資産をまとめるための箱です。脆弱性情報やサーバ・製品情報はすべてグループに属し、組織内のシステムごとにグループを分けることを推奨しています。 |
グループの分け方 |
| グループセット |
複数のグループを束ねて、脆弱性やタスクを横断的に管理する機能です。CSIRT プランで利用できます。 |
グループセット |
| ロール |
グループ内のサーバをグルーピングするための機能です。サーバは必ずいずれかのロールに属し、ロール単位で SSVC の Decision Point やタスク優先度ルールセットを設定できます。 |
ロール |
| グループ管理者 |
グループの設定と基本画面を閲覧・変更できる権限です。グループ設定の表示や「重要な未対応」の条件の変更などには、この権限が必要です。 |
ユーザの権限管理 |
サーバ・製品の登録
| 用語 |
意味 |
詳しく |
| ローカルスキャン |
スキャナをサーバにインストールし、サーバ自身をスキャンする標準的な方法です。スキャナをサーバ上に配置できるなら、この方法がおすすめです。 |
ローカルスキャン |
| リモートスキャン |
スキャナをインストールしたサーバから、同じネットワークにあるほかのサーバへ SSH でログインしてスキャンする方法です。スキャン対象の各サーバにスキャナをインストールする必要はありません。 |
リモートスキャン |
| ペーストスキャン |
サーバ上で構成情報を取得するコマンドを実行し、その結果を FutureVuls の画面にコピーペーストして登録する方法です。閉域環境など、スキャナの導入が難しい環境に向いています。 |
ペーストスキャン |
| 擬似サーバ |
FutureVuls 上でソフトウェアなどを管理するために使う、実体のない空のサーバです。ネットワーク機器などは、擬似サーバを作成してから CPE を登録して管理します。擬似サーバも1台のサーバとして料金計算されます。 |
擬似サーバ |
| SBOM インポート |
SBOM ファイルをインポートして、記載されたソフトウェアの脆弱性を管理する方法です。 |
SBOM 管理、SBOM のインポート |
| Amazon Inspector 連携 |
AWS の脆弱性管理サービスである Amazon Inspector のスキャン結果を、FutureVuls に取り込んで管理する方法です。EC2 インスタンス、AWS Lambda、Amazon ECR が対象です。 |
Inspector 連携 |
| 手動スキャン |
FutureVuls の画面から、アップロード済みの構成情報と最新の脆弱性情報との突き合わせを実行する操作です。構成情報の同期（アップロード）は行われません。 |
スキャンが実行されるタイミング |
| 定期自動スキャン |
アップロード済みの構成情報を、1日1回、最新の脆弱性情報と自動で突き合わせ直す処理です。サーバに変更がなくても、新しく公開された脆弱性を検知できます。対象はプランやサーバによって異なります。 |
定期自動スキャン |
プロキシサーバを経由してインターネットへアクセスする環境では、スキャナにプロキシの設定が必要です。手順は「プロキシ設定」を参照してください。
ソフトウェアを見分ける情報
| 用語 |
意味 |
詳しく |
| CPE |
ソフトウェアや製品を識別するための世界共通の識別子（Common Platform Enumeration）です。OS のパッケージ管理外にあるミドルウェアやネットワーク機器のファームウェアなどは、CPE を登録して脆弱性を検知します。 |
CPE スキャン |
| PURL |
パッケージを識別するための識別子（Package URL）です。主に OSS ライブラリなどに使われ、EOL 検知やライセンス検知、脆弱性検知に利用されます。 |
CPE と PURL の使い分け |
| KB |
Windows の更新プログラムのことで、KBID という番号で識別されます。FutureVuls は KB の適用状況をもとに Windows の脆弱性を検知し、検知漏れがある場合は KBID を画面から手動登録できます。 |
KBID の手動登録 |
| SBOM |
ソフトウェアを構成するコンポーネント（ライブラリなど）の一覧です。FutureVuls では SBOM ファイルをインポートして脆弱性を検知したり、スキャン結果を SBOM 形式でエクスポートしたりできます。 |
SBOM 管理 |
| lockfile |
package-lock.json などの、アプリケーションが利用する依存ライブラリとそのバージョンを記録したファイルです。lockfile の内容を画面にペーストしたり、スキャナで lockfile を指定したりして、ライブラリの脆弱性を管理できます。 |
アプリケーションスキャン |
脆弱性の外部の指標
| 用語 |
意味 |
詳しく |
| CVE |
公開された脆弱性に付けられる世界共通の識別番号です。FutureVuls では原則として CVE ID を表示し、CVE ID が採番されていない脆弱性は情報ソースが発行する独自の ID を表示します。 |
CVE ID |
| CVSS |
脆弱性の深刻度を評価する共通の指標です。FutureVuls では CVSS v2 / v3 / v4 のスコアを表示します。「深刻度」は CVSS v3 の値をもとに表示し、CVSS v4 のみが提供される脆弱性では CVSS v4 の値を使います。CVSS は深刻度を表すもので、実際のリスクを表すものではない点に注意してください。 |
脆弱性一覧、CVSS の課題 |
| 警戒情報 |
CISA KEV、VulnCheck KEV、ENISA KEV、JPCERT/CC-Alerts、CISA-Alerts から公開されている、特に危険な脆弱性に関する注意喚起です。脆弱性一覧や脆弱性詳細で、警戒情報の有無を確認できます。 |
警戒情報・注意喚起情報 |
| KEV |
KEV（Known Exploited Vulnerabilities）は、攻撃に悪用された事例が確認されている、極めてリスクの高い脆弱性の情報です。FutureVuls は CISA KEV、VulnCheck KEV、ENISA KEV を取り込み、警戒情報として表示します。 |
KEV 情報 |
| EPSS |
その脆弱性が今後30日以内に悪用される確率を表す指標です。 |
脆弱性詳細の EPSS、EPSS |
| SSVC |
脆弱性の対応優先度を、実際のリスクにもとづいて判断するためのフレームワークです。FutureVuls では CSIRT プランと PSIRT プランで利用でき、タスク（サーバ × 脆弱性）ごとに SSVC Priority を自動で導出します。同じ脆弱性でも、サーバが属するグループやロールの Exposure / Human Impact の設定によって、Priority が変わることがあります。 |
FutureVuls での SSVC の実装、SSVC とは |
| Exposure / Human Impact |
SSVC Priority の導出に使う Decision Point のうち、利用者が環境に合わせて設定する2つの項目です。Exposure は対象システムのインターネットへの露出レベル、Human Impact は攻撃された場合の業務影響を表し、グループ設定やロールで設定します。 |
SSVC Decision Point の設定 |
| SSVC Priority |
SSVC で導出される4段階の対応優先度です。Immediate は可能な限り迅速に対応、Out-of-Cycle は通常より迅速に対応、Scheduled は定期メンテナンス時に対応、Defer は現時点では対応しない、という意味です。 |
対応優先度 |
FutureVuls の優先度づけ
| 用語 |
意味 |
詳しく |
| 脆弱性優先度・タスク優先度 |
脆弱性とタスクに設定できる HIGH / MEDIUM / LOW / NONE の4段階の優先度です。タスクが新規に作成されたときは、紐づく脆弱性の優先度を継承してタスク優先度が設定されます。 |
脆弱性優先度・タスク優先度 |
| 重要な未対応 |
脆弱性一覧のタブの1つで、未対応のタスクを含む脆弱性のうち、事前に設定した条件を満たすものが振り分けられます。条件は SSVC Priority、脆弱性優先度、CVSS スコアや警戒情報などの脆弱性の特性で設定でき、変更にはグループ管理者の権限が必要です。 |
重要な未対応の条件 |
| 自動トリアージ |
脆弱性の優先度やタスクのステータスなどを、ルールにもとづいて自動で設定する CSIRT プランの機能です。SSVC によるトリアージ、スペシャル警戒タグ、自動脆弱性優先度、自動非表示設定、タスク優先度ルールセットがあります。自動非表示設定は NEW のタスクだけが対象で、優先度が HIGH のタスクは対象外です。 |
自動トリアージ、自動非表示設定 |
| スペシャル警戒タグ |
指定した脆弱性に対して、優先度を強制的に設定する機能です。オーガニゼーション単位で管理され、対応期限も設定できます。 |
スペシャル警戒タグ |
| トリガー&アクション |
SSVC Priority が前回と異なる場合に実行するアクションを定義する機能です。Priority に応じて、タスクのステータス、優先度、対応期限を自動で更新できます。 |
トリガー&アクション |
タスクと対応
| 用語 |
意味 |
詳しく |
| タスク |
検知した脆弱性を管理するためのチケットで、「1タスク = 1サーバ × 1脆弱性」です。スキャンで脆弱性を検知すると自動で作成され、手動では作成できません。脆弱性が検知されなくなると自動で PATCH_APPLIED になり、このステータスは手動では設定できません。 |
タスクとは |
| タスクステータス |
タスクの対応状況を表す値です。未完了のタスクには NEW / INVESTIGATING / ONGOING / DEFER、対応が完了したタスクには PATCH_APPLIED などのステータスがあります。 |
タスクステータス |
| 未対応・対応中・保留中・対応済のタブ |
タスク一覧のタブです。未対応は NEW、対応中は INVESTIGATING または ONGOING、保留中は DEFER の、非表示ではないタスクを表示します。対応済は PATCH_APPLIED、ALT_RESOLVED、NOT_AFFECTED、WORKAROUND、RISK_ACCEPTED のタスクと、非表示に設定したタスクを表示します。 |
サブタブ |
| デフォルト担当者 |
新たに作成されたタスクに、主担当者として自動で設定されるユーザです。サーバごとに設定でき、タスクが新規登録されるとデフォルト担当者にメールで通知されます。 |
サーバ・製品一覧、通知機能 |
| 対応期限 |
タスクの対応を完了すべき期限です。手動で設定するほか、スペシャル警戒タグや SSVC のトリガー&アクションで自動設定でき、期限を過ぎた対応済でないタスクは、タスク一覧の「期限切れ」タブで確認できます。 |
タスク更新、サブタブ |
| 非表示 |
対応しないと判断したタスクなどを、タスク一覧の未対応などに表示されないようにする機能です。常に非表示にするほか、パッチが出るまでや指定した期日までなど、条件付きで非表示にできます。 |
タスク非表示設定 |
| パッチ |
ソフトウェアの脆弱性を修正するために提供される更新プログラムです。パッチを適用して次回のスキャンで脆弱性が検知されなくなると、タスクは自動で PATCH_APPLIED になります。 |
タスクステータス |
画面で見る日時
| 用語 |
意味 |
詳しく |
| 構成同期日時 |
スキャナがサーバの構成情報を FutureVuls に同期した最新の日時です。サーバ種別が「スキャナ」のサーバだけが対象です。 |
サーバ・製品一覧 |
| 検知処理日時 |
登録されている構成情報と脆弱性情報とのマッチング処理が成功した最新の日時です。定期自動スキャンや手動スキャンに加え、対象条件を満たすサーバでは KEV への追加などに伴う自動再照合でも更新されます。このため、構成同期日時より新しい日時になることがあります。 |
サーバ・製品一覧、脅威情報の更新に伴う自動再照合 |
| Out of sync |
スキャナで登録したサーバで、24時間以上、構成情報の同期が行われていないときに出る警告です。サーバ詳細に表示されます。スキャナが止まっていないか、サーバが停止していないかを確かめてください。 |
スキャンが止まっていないかを確かめる |