プレビュー版
このガイドはプレビュー版です。内容は今後変わることがあります。
設定② サーバ・製品を登録する#
全員が読む
グループに、管理したいサーバや製品を登録します。FutureVuls には登録の方法（スキャン方法）がいくつもあります。このページでお使いの環境に合う方法を選び、それぞれの方法のページで登録します。
このページの作業は、ご契約から4週目までを目安に終えてください（立ち上がりの目安）。
スキャンの仕組み#
flowchart LR
A["対象のサーバ・製品<br>ソフトウェアの情報"] --> B["スキャナやツールが<br>構成情報を集める"]
B --> C["FutureVuls が<br>脆弱性データベースと照らし合わせる"]
C --> D["画面に脆弱性と<br>タスクが並ぶ"]くわしい仕組み（読まなくても手順は進められます）
FutureVuls は、サーバに入っているソフトウェアの情報（構成情報）を集め、最新の脆弱性データベースと照らし合わせて、該当する脆弱性を画面に表示します。スキャン方法の違いは、この構成情報の集め方と渡し方の違いです。
構成情報を集める小さなプログラムを「スキャナ」と呼びます。スキャナは、サーバに入っているソフトウェアの一覧を集めて FutureVuls に送ります。OS やアプリケーションの設定を変えたり、重い処理をしたりはしません。インストールでは、実行用のユーザ（vuls-saas）、/opt/vuls-saas のファイル、定期実行の cron、必要な依存パッケージが追加されます。脆弱性の判定は FutureVuls 側で行います。スキャナは OSS の「Vuls」をもとにした FutureVuls 専用のプログラムで、ソースコードと処理の内容は公開されています。社内で導入の可否を確認するときは、スキャナの導入要件と通信要件をあわせてご覧ください。
登録の方法には、構成情報が毎日自動で更新される方法と、構成が変わるたびに登録し直す方法があります。毎日の手間を減らすため、できるだけ自動で更新される方法を選んでください。
管理したいものから、方法を選びます#
まず、管理したいものを下のカードで探し、☆の付いた方法から検討してください。☆の方法が使えない環境では、「代わりの方法」を使います。
- Linux サーバ
☆おすすめ：ローカルスキャン
代わりの方法：リモートスキャン、Amazon Inspector 連携、ペーストスキャン、SBOM インポート
選ぶときのポイント：スキャナを置けるか、SSH で届くか、閉域網か
注意点：ペーストスキャンは取れる情報が少なく、構成が変わるたびに貼り直しが必要です
- Windows サーバ
☆おすすめ：ローカルスキャン
代わりの方法：リモートスキャン、ペーストスキャン
選ぶときのポイント：Windows Update に（直接または WSUS 経由で）届くか
注意点：Chrome などのサードパーティ製品は KB では検知されず、CPE で検知します
- ネットワーク機器
☆おすすめ：CPE 登録（擬似サーバ）
代わりの方法：ネットワークディスカバリー（機器で SNMP が使える場合）
選ぶときのポイント：機器の型番とバージョンがわかるか。台数が多く SNMP が使えるなら、ネットワークディスカバリーも検討
注意点：手で登録する場合、型番から CPE を特定する作業で漏れや誤りが出やすくなります
- アプリの依存ライブラリ
☆おすすめ：ローカルスキャン（lockfile を指定）
代わりの方法：LockFile ペーストスキャン、SBOM インポート、GitHub 連携、Trivy
選ぶときのポイント：lockfile がサーバ上にあるか、手元にあるか
注意点：SBOM インポートでは、部品に PURL があることをおすすめします。PURL がない部品も、CPE や名称で取り込めます。ただし、PURL と CPE のどちらもない部品は、あとで割り当てるまで脆弱性を検知しません
- 商用製品・ミドルウェア（Oracle、JP1、ダウンロードした Tomcat など）
☆おすすめ：CPE 登録
選ぶときのポイント：パッケージ管理の外で入れたソフトウェアか
注意点：CPE の名前の揺れで、検知漏れが起きやすくなります
- コンテナイメージ
☆おすすめ：Docker スキャン（Trivy、ECR／GAR 連携）
代わりの方法：SBOM インポート
選ぶときのポイント：CI/CD を使っているか、イメージの置き場所
サーバの場合：迷ったら上から順に当てはめます#
| 問い | 「はい」なら | 更新 | 読むページ |
|---|---|---|---|
| 1. インターネットに接続でき、対象のサーバにスキャナを置ける | ローカルスキャン（まずはこれ。コマンド1つで導入できます） | 自動 | ローカルスキャン |
| 2. SSH でつなげる中継サーバにスキャナを置ける | リモートスキャン | 自動 | リモートスキャン |
| 3. Amazon Inspector を有効にしている EC2 である | Amazon Inspector 連携 | 自動 | Amazon Inspector 連携 |
| 4. サーバの SBOM（ソフトウェア部品表）を用意できる | SBOM インポート | 手動 | SBOM インポート |
| どれにも当てはまらない（閉域網など） | ペーストスキャン | 手動 | ペーストスキャン |
サーバの登録は、「サーバ・製品」タブの「サーバ追加」から始めます。
登録する前に知っておきたいこと#
同じ構成のサーバがたくさんある場合（AMI・オートスケール）#
同じ構成のサーバは、まとめて1台として扱えます。代表のインスタンスにスキャナを入れ、一度スキャンを実行して UUID を生成してから AMI にします。スケールアウトのときにその AMI を使うと、同じ UUID で1台として扱われ、ライセンスを節約できます。スキャンをしないまま AMI を作ると、台ごとに別の UUID が発行され、別々のサーバとして登録されます。詳しくは「スケーラブル環境のスキャンライセンスはどうなりますか」をご覧ください。
サーバの UUID の重複にご注意ください#
FutureVuls は、サーバを UUID（サーバごとの識別子）で見分けます。構成の違うサーバが同じ UUID でスキャンすると、情報が混ざってしまいます。スキャナを入れたサーバをコピーして別のサーバを作った場合などに起こりやすいので注意してください。重複してしまった場合の対応は「UUIDを間違えて重複してしまった場合の対応方法」をご覧ください。
サーバの名前の付け方を決めておく#
サーバ名は、FutureVuls 上でサーバを見分けるための表示名です。登録を始める前に、名前の付け方（例：「システム名-用途-連番」）を決めておくと、担当者や対応状況をあとから探しやすくなります。サーバが増えてから付け直すのは手間がかかるので、最初の1台を登録する前に決めておくのがおすすめです。
初期範囲のサーバをすべて登録したら#
サーバ一覧で、次の2点を確認します。
- 初期範囲のサーバがすべて並んでいるか：導入準備シートに書いた台数と比べます。
- 毎日更新されているか：スキャナで登録したサーバは、サーバ一覧の「構成同期日時」が毎日新しくなっていれば、スキャナが動いています（この列は、一覧の上の「列一覧」から表示します）。24時間以上同期がないサーバは、構成同期日時が赤字で表示されます。「検知処理日時」は、スキャナが止まっていても FutureVuls 側の毎晩の照合で更新されるため、スキャナが動いているかの確認には使えません。
あわせて、ソフトウェア一覧の「脆弱性検知」列で「要 CPE 割当」が残っていないかを確認すると、検知漏れを防げます。登録したばかりのソフトウェアは、次のスキャンで判定されるまで「未判定」と表示されます（脆弱性検知列）。
さらに詳しく知りたいとき#
次に読むページ#
登録が終わったら、脆弱性を仕分けるルールを決めます。設定③ 優先度づけのルールを決めるに進みます。