2022-09-13 リリース内容

2022年9月13日リリースのスキャナバージョン (スキャナバージョンの確認方法)

  • スキャナバイナリ
OS Scannerバージョン
Linux用 vuls v0.20.3 build-2a00339
Windows用 vuls v0.2.1 build-36d85c1
Trivy Version: 0.29.2
  • スキャン実行スクリプト
    • Version: 2022/09

最新の自動トリアージエンジン「SSVC」を搭載、リスクベースの判断から対応指示までを全自動化

従来のCVSSスコアベースのトリアージでは「実際のリスクベースで判断できない」という課題がありました。 この課題を解決すべくカーネギーメロン大学から提案された最新のリスクベーストリアージ手法が「SSVC」であり、今回のリリースでは、このSSVCのトリアージエンジンをFutureVulsに実装しました。

FutureVuls内蔵のSSVCエンジンが、上図の左下に記載のシステム環境と現状の4つの条件を考慮して、専門家に代わり実際のリスクベースで対応優先度を自動分類します。

さらに、SSVCが自動分類した4つの優先度「immediate」「out of cycle」「scheduled」「defer」の結果をトリガーにして、タスクのステータス（優先度、対応期限、ステータス）を自動設定することで、運用担当者への対応指示まで自動で可能になります。

たとえば、「Immediate」（緊急対応が必要）なタスクは優先度を「High」にしてタスク期限を2週間後に設定したり、「Scheduled」（次回の定期メンテナンス時に対応）なタスクはタスクステータスを「defer」（保留）に、優先度を「Low」に、タスク期限を例えば次回メンテナンス日の12月2週の水曜日といったスケジュール設定もできます。

また、環境によってはSSVCが判断した「緊急対応」「計画外メンテナンス」が必要な優先度の高い脆弱性の抽出性能は、CVSSスコアベースのトリアージと比べて約「15倍」以上の分類性能を確認しています。

より詳細はチュートリアル＞自動トリアージを参照してください。 詳細な設定方法はSSVC設定方法を参照してください。

タスクステータスにDefer(保留)を追加

タスクステータスに、新区分Deferを追加しました。 タスクの対応を見送る際はこのステータスを指定をしてください。

全体的なタスクステータスと作業フローは下記のイメージになります。

Windowsのペーストスキャンの方法を変更

前回リリースされたWindowsスキャンの精度向上に伴い、Windowsのペーストスキャンも同様の改修を行いました。 変更点は以下の通りです。

  • サーバ種別がpseudoからpasteになりました。
  • 管理対象OS以外の脆弱性を検知していた不具合を修正しました。
  • WindowsやMicrosoft Edgeなど一部の製品で未修正の脆弱性の検知が可能になりました。

スキャナの自動更新機能を追加

Linuxスキャン・Windowsスキャンにて、スキャナの自動更新が可能になりました。設定すると、定期的にスキャナのバージョンを確認する必要なく、常に最新の機能をご利用いただけます。

インストール時と同様に、スキャナのインストールコマンドをFutureVuls画面上からコピーし、対象の環境で実行してください。

詳しくは、スキャナの更新を参照ください。

スキャン対象OSを追加

Linux OSパッケージスキャンにて、新たにRed Hat Enterprise Linux 9をスキャンできるようになりました。

REST APIの強化

  • 手動スキャンがREST API経由(/v1/server/scan/{serverID})で可能になりました。
  • API経由のLockファイル追加時、fileContentをBase64でも受け取れるようになりました。

AWS連携を強化

AWS連携が、IMDSv2のみ利用可能なインスタンスでも利用可能になりました。

その他

いくつかの不具合を修正しました。