プレビュー版
このガイドはプレビュー版です。内容は今後変わることがあります。
活用を広げる：課題別の機能ガイド#
慣れてから
運用が回り始めたら、FutureVuls のほかの機能も使って、脆弱性管理をもっと楽に、もっと確かにしていきます。このページでは、導入準備シートで答えた「解決したい課題」ごとに、役立つ機能と使い方を紹介します。自社の課題に合うところから読んでください。
運用開始チェックリストが終わる前に、すべての機能を使う必要はありません。まずは立ち上がりの3つの段階を終えてから、このページに戻ってきてください。
「CSIRT プラン」と書いた機能は、CSIRT プランでご利用いただけます。
脆弱性対応の工数を減らしたい#
検知される脆弱性が数百件になり、毎日の仕分けや担当者への割り振りに時間がかかっている。こうした場合は、仕分けと期限の設定を自動にして、人が判断するのは自動で絞り込まれたものだけにします。同じ脆弱性が多くのサーバで見つかったときも、まとめて更新すれば1件ずつ開く必要はありません。
| 機能 | できること | マニュアル |
|---|---|---|
| 自動トリアージ（CSIRT プラン） | 条件に合う脆弱性に自動で優先度を付けたり、対応が不要なものを一覧から外したりして、毎日の仕分けを減らします（設定は設定③） | 自動トリアージ |
| 期限の自動設定 | 優先度に応じた期限を、タスクに自動で入れます（設定は設定④） | SSVC（対応期限・トリガー＆アクション） |
| タスクの一括更新 | 同じ脆弱性に関係するタスクの担当者・期限・ステータスを、まとめて更新します | タスクタブ |
対応漏れ・属人化をなくしたい#
担当者が決まらないまま残る脆弱性がある、担当者がお知らせに気づかない、異動のときに引き継ぎが漏れる。こうした場合は、担当者の割り当てとお知らせを自動にします。Immediate の検知や定期レポートは、ふだん使っているチャットにも届くようにできます。タスクの更新やコメントのお知らせは、メールで届きます。サポートが終わったソフトウェアも、脆弱性とは別に把握しておくと、更新の計画を立てやすくなります。
| 機能 | できること | マニュアル |
|---|---|---|
| 担当者の自動割り当て | サーバのデフォルト担当者を、タスクができた時点で自動で割り当てます（設定は設定④） | グループ設定 |
| Slack・Teams への通知 | Immediate の検知や定期レポートなどのお知らせを、ふだん使っているチャットに届けます。タスクの更新やコメントのお知らせは、メールで届きます | 通知機能、Slack App、Teams |
| EOL・サプライチェーンリスク | サポートが終わった（またはもうすぐ終わる）ソフトウェアを、脆弱性とは別のリスクとして知らせます | サプライチェーンリスク |
監査・規制に対応したい#
監査や規制への対応で、「どの脆弱性に、いつ、どう対応したか」「なぜ対応しなかったのか」を説明する必要がある。こうした場合は、対応の判断をステータスとして記録しておき、操作の記録や一覧の出力を証跡として使います。取引先や規制当局に構成情報を出す必要があるときは、SBOM として出力できます。
| 機能 | できること | マニュアル |
|---|---|---|
| 対応の記録（ステータス） | 「リスク受容」「影響なし」など、対応しなかった理由も含めて記録が残ります（STEP3） | タスク詳細 |
| 監査ログ（CSIRT プラン） | 誰が、いつ、どの操作をしたかの記録が残ります | 監査ログ |
| CSV レポート | グループのタスクとソフトウェアの全件を、それぞれの一覧の「CSV レポート」で出力し、報告資料に使えます。生成が終わるとメールで届きます。表示中のページの行だけでよければ、一覧の「エクスポート」も使えます | タスクの CSV レポート、ソフトウェアの CSV レポート |
| SBOM のエクスポート | 管理している構成情報を、SBOM（CycloneDX・SPDX）として出力できます。脆弱性の情報を含めずに出力することもできます（CRA などに向けた提出用） | SBOMのエクスポート |
経営層に状況を報告したい#
部署やシステムごとに管理していて、全社の状況をまとめるのに毎回手間がかかる。こうした場合は、複数のグループをまとめて集計し、対応の状況をひと目でつかめる画面を使います。報告資料を作るときは、集計の元データを CSV で出力します。
| 機能 | できること | マニュアル |
|---|---|---|
| グループセット（CSIRT プラン） | 複数のグループをまとめて、全社や部門をまたいだ対応状況を把握します | グループセット |
| ダッシュボード（CSIRT プラン） | 対応の状況をひと目で把握します | ダッシュボード |
| CSV レポート | 集計の元データを出力し、報告用の資料にします | タスクの CSV レポート |
インシデントを予防したい#
世の中で話題になっている脆弱性に、自社が影響を受けるかをすぐに知りたい。こうした場合は、注目度の高い脆弱性を知らせる警戒情報を確認し、自社として特に警戒する脆弱性には印を付けて、期限を決めて管理します。
| 機能 | できること | マニュアル |
|---|---|---|
| 警戒情報 | 世の中で注目されている脆弱性を、一覧のアイコンで知らせます。実際に悪用されている脆弱性のカタログ（KEV）に新しく載ったものは、すでに検知している脆弱性であれば、スキャンを待たずに目安1時間以内にタスクへ反映されます。スキャナ・ペースト・SBOM で登録したサーバは、CSIRT / PSIRT プランが対象です | 警戒情報・注意喚起情報、脅威情報の更新に伴う自動再照合 |
| 公開されている攻撃コード | 攻撃に使えるコードがすでに公開されているかを確認できます | 公開されている攻撃コード |
| スペシャル警戒タグ | 自社として特に警戒すべき脆弱性に印を付け、対応期限を決めて管理します | スペシャル警戒タグ |
| 到達可能性（Reachability、ベータ版） | Go のアプリケーションで、検知した脆弱性に実際にコードから到達しうるかを表示します（CSIRT プラン） | 到達可能性解析（ベータ版） |
つまずいたとき#
うまくいかないときは、つまずいたとき（よくある質問）をご覧ください。
使い方がわからない機能があれば、お問い合わせ窓口からご相談ください。