脆弱性管理の運用フロー#

サーバやアプリケーションは、常に最新の状態に保たれていない限り多数の脆弱性が存在します。特に企業のサーバ環境では、デグレによる動作保証のコストなどの理由から、頻繁にアップデートすることが難しいのが現状です。

しかし、Log4Shellのような高リスクな脆弱性は公開され続けています。近年は脆弱性情報やベンダからのパッチが公開されると、すぐにPoC（概念実証コード）が公開され、ツールを使用して誰でも攻撃が可能になるケースが増えています。このような状況下で、我々サービス運用者は、限られた人的リソースの中で、高リスクな脆弱性とリスクが低い脆弱性を日々選別して対応していかなければなりません。

ここでは、FutureVuls でどのように脆弱性の調査・判断・対応をしていき、対応優先度を付けていくかについて、運用フローの具体例を示していきます。

CSIRTプラン#

CSIRTプランにはトリアージに便利な機能が多くあります。具体的には、以下のような機能があります。

SSVC
トリガー&アクション

FutureVuls では、米国CISAも推奨する最新のトリアージエンジン「SSVC」を利用して、検出された脆弱性の対応優先度を自動で判断できます。自動トリアージ機能を活用することで、リスク(「脆弱性」×「脅威」×「ビジネスへの影響度」)を考慮した対応優先順位付けや、運用者への指示までのプロセスを自動化可能となります。これまで専門家が人手で行っていたリスク評価を高精度で自動化できるため、すべての企業・組織に自信を持っておすすめできる機能です。

詳しくは「トリアージ設定」を参照してください。

より大きな環境での運用フロー#

CSIRT プランを利用する環境では、以下のように利用者の役割が異なる場合があります。

CSIRT・管理者：サーバ運用者に脆弱性への対応指示を出す、組織全体での脆弱性の対応状況を管理する
現場運用者：対応指示のあった脆弱性について、実際にサーバでのパッチ適用等を実施する、対応状況を管理者に報告する

FutureVuls ではそれぞれの立場で業務に役立つ機能を備えています。詳しくは「CSIRT・管理者目線での運用フロー」や「現場運用者目線での運用フロー」をそれぞれ参照してください。

スタンダードプラン#

スタンダードプランには自動トリアージ機能はありません。しかし、CVSS スコアとその他の情報を組み合わせせて、柔軟に優先順位付けする機能を有しています。

詳しくは「スタンダードプランでの使い方」を参照してください。