到達可能性解析の結果の見方#
到達可能性解析の結果は、タスク一覧の「到達可能性」列と、タスク詳細の「到達可能性」タブに表示されます。 CSV レポート（「CSVレポート」）と FutureVuls API でも取得できます。
本機能の概要と注意事項は「到達可能性解析（ベータ版）」を参照してください。
到達可能性の状態#
| 表示 | 意味 |
|---|---|
| Reachable | アプリケーションのコードから脆弱な関数への呼び出し経路が確認された |
| Partial | reflection などで解析が経路の先を追えず、判定できない。到達している可能性がある |
| Not reachable | 解析した範囲では、脆弱な関数に到達する経路がない |
| 未解析 | タスク詳細の行に表示。そのアプリケーションの最新の解析結果に、この脆弱性の行がない |
| 未導入 | タスク詳細の行に表示。そのアプリケーションでは到達可能性解析が設定されていない（解析結果が一度もアップロードされていない） |
| 判定なし | タスク一覧のフィルタで、到達可能性の値がないタスク（一覧では - と表示）を絞り込むときの選択肢 |
「未解析」「未導入」「判定なし」は安全を意味しません
これらは、判定に使える解析結果がないことを示します。 脆弱な関数に到達しないことや、安全であることを意味しません。
タスクの状態の決まり方#
1つのタスク（サーバ × 脆弱性）には、複数のアプリケーションが関係することがあります。 タスクの状態は、そのタスクの検知に関係するすべてのアプリケーションとパッケージの解析結果から、次の順に決まります。
- 1つでも Reachable があれば、Reachable
- 1つでも Partial があれば、Partial
- 関係するすべてのアプリケーションとパッケージが解析済みで、すべて Not reachable であれば、Not reachable
- それ以外は、値なし（タスク一覧では
-）
到達可能性解析を設定していないアプリケーションが 1つでも関係するタスクは、Not reachable になりません。
解析結果は、解析したときのパッケージのバージョンが、現在 FutureVuls で検知しているバージョンと一致する間だけ使われます。 依存ライブラリのバージョンを上げた後は、次に解析結果をアップロードするまで値なしになることがあります。
タスク詳細の「到達可能性」タブ#
「到達可能性」タブは、「関連するソフトウェア」タブの次に表示されます。 CSIRT プランのオーガニゼーションで、タスクの検知にアプリケーションのライブラリが含まれる場合のみ、このタブが表示されます。
タブ名の横には、タスクの状態を表すマークが表示されます。
| マーク | タスクの状態 |
|---|---|
| 赤色の ● | Reachable |
| 灰色の ● | Partial |
| 灰色の ◌ | Not reachable |
| なし | 値なし |
タブの上部には「最も古い評価時刻」が表示されます。 タスクの状態の根拠になった解析結果のうち、最も古い解析結果の評価時刻です。 右上のヘルプアイコンから、「到達可能性解析（ベータ版）」のページを開けます。
タブには、タスクの検知に関係するアプリケーションとパッケージの組ごとに 1 行ずつ、次の項目が表示されます。
| 項目 | 内容 |
|---|---|
| 状態 | Reachable、Partial、Not reachable、未解析、未導入 のいずれか |
| アプリケーション | アプリケーションの登録名。SBOM のアプリケーションは、SBOM の UUID を除いた名前 |
| パッケージ | 脆弱性の影響を受けるパッケージの名前とバージョン |
| 最終アップロード | そのアプリケーションの解析結果が最後にアップロードされた日時 |
| 説明 | 状態の説明 |
| 到達した脆弱関数 | 呼び出し経路が見つかった脆弱な関数の一覧と件数 |
| Go 脆弱性データベースで確認 | Go 脆弱性データベース（pkg.go.dev/vuln）の該当ページへのリンク。到達した脆弱関数がある行で、脆弱性に対応する Go 脆弱性データベースの ID がわかる場合に表示されます。ID が複数ある場合は、ID ごとのリンクになります |
| 代表経路 | アプリケーションのコードから脆弱な関数までの呼び出し経路。最大 3 本を表示し、見出しに経路の総数を表示します |
代表経路は経路の一部を抜き出したものです。 代表経路に含まれない脆弱な関数にも、呼び出し経路があります。
タスク一覧の「到達可能性」列#
「到達可能性」列は、CSIRT プランのオーガニゼーションで表示できます。 初期状態では表示されていないため、「列一覧」から「到達可能性」列を表示してください（「カラムの表示と非表示」）。
この列は、次のタスク一覧で表示できます。
- グループのタスク一覧
- グループセットのタスク一覧
- サーバ詳細と脆弱性詳細のタスク一覧（グループ、グループセット）
| 操作 | 内容 |
|---|---|
| 表示 | Reachable、Partial、Not reachable のいずれか。値がないタスクは - |
| フィルタ | 「...である」で Reachable、Partial、Not reachable、判定なし から選択する。判定なし は値がないタスクを表す |
| ソート | できない |
タスクコメント#
タスクの到達可能性の状態が変わると、タスクの「コメント」タブにシステムのコメントが追加されます。 コメントの言語は、オーガニゼーションの言語設定に従います。
到達可能性が未解析からreachableに変更されました
- 状態は
reachable、partial、not_reachableで表示されます。値がない状態は「未解析」と表示されます - 短い間に複数回変わった場合は、最後の変化だけが記録されることがあります
- 最も古い評価時刻だけが変わった場合は、コメントは追加されません
- このコメントでは通知は送信されません
- タスク一覧の「最終コメント内容」などには反映されません
反映のタイミング#
| 表示箇所 | 反映のタイミング |
|---|---|
| タスク詳細の「到達可能性」タブ、FutureVuls API のタスク詳細 | 解析結果のアップロード直後 |
| タスク一覧、CSV レポート、FutureVuls API のタスク一覧、タスクコメント | アップロードから反映まで時間がかかる |
スキャンや SBOM の更新で検知内容が変わった場合も、同じように反映されます。 反映されるまでの間、タスク一覧とタスク詳細の表示が一致しないことがあります。
結果の活用#
到達可能性は、SSVC やタスク優先度とあわせて対応を判断するための参考情報です。
- Partial は、到達する可能性があるものとして扱ってください
- Not reachable だけを理由に、タスクを完了にしたり優先度を下げたりしないでください。Not reachable は、解析した範囲で経路が見つからなかったことを示すだけです
- 値がないタスク（未解析、未導入、判定なし）は、到達しないとみなさないでください