FutureVuls でのスキャンについて#

このページでわかること#

FutureVuls の「スキャン」が何をする処理なのか（全体像）
スキャン結果が画面のどこに表示されるか
スキャン方法にはどんな種類があり、どう選べばよいか

スキャンの全体像#

FutureVuls の「スキャン」は、次の2段階で実行されます。

（A）構成情報のアップロード：スキャナがサーバの構成情報（OS、利用パッケージ等）を収集し、FutureVuls にアップロードする
（B）マッチング：アップロードされた構成情報を、最新の脆弱性情報と突き合わせる

マッチングの結果（検知された脆弱性）は、FutureVuls の画面に自動で反映されます。検知された脆弱性は「脆弱性」タブに一覧表示され、「サーバ x 脆弱性」の組み合わせごとに対応チケット（タスク）が自動で起票されます。つまりスキャンを設定すれば、あとは「タスク」タブを見るだけで対応すべき脆弱性を確認できます。

graph LR
    %% スタイル定義
    classDef serverStyle fill:#4a90e288,stroke:#4a90e2,stroke-width:2px
    classDef scannerStyle fill:#ff6b3588,stroke:#ff6b35,stroke-width:2px
    classDef vulnStyle fill:#fdcb6e88,stroke:#fdcb6e,stroke-width:2px
    classDef processStyle fill:#6bb6ff88,stroke:#6bb6ff,stroke-width:2px
    classDef resultStyle fill:#66bb6a88,stroke:#4caf50,stroke-width:2px

    %% ノード定義
    Server["スキャン対象サーバ<br>OS・パッケージ情報"]:::serverStyle
    Scanner["Vulsスキャナ"]:::scannerStyle
    FutureVuls["FutureVuls"]:::processStyle
    VulnDB["脆弱性データベース<br>（最新情報）"]:::vulnStyle
    CveTab["「脆弱性」タブ<br>検知された脆弱性の一覧"]:::resultStyle
    TaskTab["「タスク」タブ<br>対応チケットを自動起票"]:::resultStyle

    %% フロー
    Server -->|"(A) 構成情報収集"| Scanner
    Scanner -->|"構成情報アップロード"| FutureVuls
    VulnDB -->|"脆弱性情報"| FutureVuls
    FutureVuls -->|"(B) マッチング処理"| CveTab
    FutureVuls -->|"(B) マッチング処理"| TaskTab

検知結果の見方は「脆弱性タブ」「タスクタブ」を参照してください。

スキャン方法の種類#

管理したい対象（サーバ、コンテナ、ネットワーク機器など）に応じて、複数のスキャン方法を用意しています。概要は以下の通りです。詳細は各スキャン方法のマニュアルを参照してください。

スキャン方法	概要
ローカルスキャン	スキャナをサーバに直接インストールする標準的な方法
リモートスキャン	踏み台サーバ経由でスキャンする方法
ペーストスキャン	閉域網などに適した、スキャナを用いない登録方法
Dockerスキャン(Trivy)	Trivy を用いて Dockerコンテナイメージをスキャンする方法
Dockerスキャン(ECR/GAR)	ECR/GAR に登録しているコンテナイメージをスキャンする方法
アプリケーションスキャン	言語ライブラリなどのアプリケーションをスキャンする方法
CPEスキャン	ネットワーク機器やパッケージマネージャ外のソフトウェアを登録する方法
Inspector連携	Amazon Inspector の情報を FutureVulsに取り込んで管理する方法
SBOMインポート	SBOMファイルをインポートすることで脆弱性管理をする方法
WordPressスキャン	WordPress環境のコア・プラグイン・テーマなどの脆弱性を管理する方法
CI/CDパイプラインに組み込む	CI/CDに組み込んでコンテナイメージやライブラリをスキャンする方法

どのスキャン方法を選べばよいか迷う場合は、「スキャン方法の選び方」を参照してください。管理対象ごとに「どのスキャン方法を選択するべきか」をフローチャートで解説しています。

スキャンが実行されるタイミング#

前述の（A）（B）が実行されるタイミングは、次のとおりです。

スキャン分類	実行内容	実行方法、実行頻度
エージェントスキャン	（A）+（B）	スキャン対象サーバ（またはリモートスキャン用サーバ）にインストールした Vuls スキャナが、インストール時の cron により指定された時刻で起動。手動実行も可能
定期自動スキャン	（B）のみ	CSIRT プランの全てのサーバと Standard プランの一部サーバのみ対象。1日1回、日本時間の `AM00:00` ~ `AM08:00` 頃に実行。
手動スキャン	（B）のみ	FutureVuls画面で「手動スキャン」をクリックしたタイミングで起動
脅威情報の更新に伴う自動再照合	（B）のみ	検知済みの脆弱性が KEV に追加された場合、または SSVC の Exploitation が active に変わった場合に、対象サーバを自動で照合し直す
CPE の検知条件追加に伴う自動再照合	（B）のみ	新しい CPE の検知条件が追加された場合に、条件を満たす脆弱性について擬似サーバを自動で照合し直す

「構成情報のアップロード（A）」はエージェントスキャンでのみ実行されます。定期自動スキャン・手動スキャン・自動再照合は、アップロード済みの構成情報を使って「最新の脆弱性情報とのマッチング（B）」だけを再実行します。サーバに変更がなくても、新しい脆弱性が公開されれば（B）だけで新たな検知が起こるため、この再実行に意味があります。

定期自動スキャンの対象について

定期自動スキャンの対象サーバや実行タイミング、スキップ条件などの詳細は「定期自動スキャン」を参照してください。

FutureVuls のスキャナについて

ここでは便宜上、FutureVuls で構成情報を取得する主体（スキャナ）のことを「エージェント」と呼びましたが、このスキャナの実態は Go 言語でビルドされた バイナリファイル です（サイズは200MB 程度）。「エージェント」と表現すると、常に起動してサーバに負荷を与えかねない常駐プロセスのような印象を持たれる場合がありますが、FutureVuls ではこのバイナリファイルを定期実行しているにすぎません。そのため、一時的なプロセスとして起動されるだけで、サーバ等への負荷もそれほど大きくなりません。

手動スキャンは、サーバ詳細（サーバ単位）や グループ設定>全サーバを手動スキャン（グループ単位）で実行できます。

manual_scan

短時間に続けてスキャンした場合

サーバ単位の手動スキャン、ペーストスキャン、SBOM の登録・更新を短時間に続けて実行すると、オーガニゼーションごとに順番待ちとなり、応答が遅くなることがあります。 FutureVuls API では、この順番待ちで呼び出しがタイムアウトしても、処理は継続されます。同じリクエストを再送しないでください。詳しくは「スキャン・SBOM 登録時の順番待ち」をご覧ください。

脅威情報の更新に伴う自動再照合#

すでに検知している脆弱性が KEV に新しく追加された場合、対象サーバの前回のスキャン結果を使って自動で照合し直します。 KEV 以外の情報から、SSVC の Exploitation が active（悪用あり）に変わった場合も、同じ仕組みで照合し直します。サーバの構成情報を新たに収集する処理は行いません。

対象サーバ#

サーバ種別	対象のオーガニゼーション
スキャナ・ペースト・SBOM 以外（擬似サーバ・コンテナイメージなど）	すべてのプラン
スキャナ・ペースト・SBOM	CSIRT / PSIRT プランをご契約のオーガニゼーション

次の場合は、これまでどおり次回のスキャン（取り込み）で反映されます。

CSIRT / PSIRT プラン以外のオーガニゼーションの、スキャナ・ペースト・SBOM のサーバ
前回のスキャン結果が残っていないサーバ
まだ検知していない脆弱性が KEV に追加された場合
Amazon Inspector SBOM のインポートを有効にしているグループの、Amazon Inspector が検知した脆弱性

反映のタイミングと内容#

CISA KEV / VulnCheck KEV / ENISA KEV は15分ごとに確認します。 KEV に追加されてから反映されるまでの目安は1時間以内です。対象のサーバが多い場合は、時間帯によって翌朝までかかることがあります。 KEV 以外の情報で Exploitation が active に変わった場合は、その情報が脆弱性データベースに反映された後、数時間以内に照合し直します。照合し直した記録は、定期自動スキャンと同じく、スキャン種別「脆弱性スキャン」・スキャナ名「FutureVulsAuto」としてスキャン履歴に残ります。照合し直した分は、サーバの「今月のスキャン成功回数」にも数えられ、「検知処理日時」も更新されます。「構成同期日時」は変わりません。

KEV に追加された脆弱性は、照合し直した時点で、実際に悪用されている脆弱性としてタスクに反映されます。脆弱性一覧・脆弱性詳細の警戒情報と、攻撃コードの表示・絞り込みは、照合し直しを待たずに、KEV を確認した時点で反映されます。 SSVC を有効にしているオーガニゼーションでは、再照合により SSVC Priority と対応期限も更新されます。 SSVC による自動トリアージを設定している場合は、そのアクション（タスクステータスや優先度の変更など）も再照合の時点で実行されます。

悪用されている脆弱性の通知を有効にしているグループには、再照合の時点で通知します。 KEV 以外の情報で Exploitation が active になった場合は、この通知の対象にはなりません。再照合によって SSVC Priority が Immediate になったタスクは、Immediate タスクの通知の対象になります。