ソフトウェアの脆弱性情報をいち早く入手する - CVE・CISA KEV・JPCERT/CC・OSV｜npaka

1. はじめにソフトウェアの「脆弱性」は、悪用されると不正アクセスや情報漏洩につながる危険性があります。そのため、脆弱性情報をいち早く入手し、対策することが重要です。 今回は、世界中の脆弱性情報を確認できる代表的な4つの情報源と、その活用方法を紹介します。 2. 脆弱性情報が公開されるまでの流れ脆弱性情報は、一般的に次の流れで世界中に広まります。 (1) セキュリティ研究者などが脆弱性を発見 (2) ソフトウェアの開発元に報告 (3) 開発元が問題を調査し、対策を検討 (4) 脆弱性情報や修正版・回避策を公開 (5) セキュリティ機関やデータベースを通じて情報が広まる ただし、修正前に情報が公開されたり、攻撃が発生してから発見されたりする場合もあります。 脆弱性の報告・公開手順には「ISO/IEC 29147」、開発元の対応手順には「ISO/IEC 30111」という国際標準があります。

[circled]

そうじゃなくて、今は開発元に脆弱性を報告する前にいきなり「AIで新しい脆弱性発見したぜ、ひゃっはー！！」されるから困ってるって問題を認識しろよ。リアルタイムでWEB見てるしか対策方法なんてねぇよ

[takokaio]

起こったのは、開発元「AIで新しい脆弱性発見したぜ、ひゃっはー！！😱」でしょ。記事内容は依然重要、というかより重要という話。

[myr]

文句言う人が居るけど,情報が増えるのはありがたいのでうちのsecurity対策botの情報にコレを足しておく...というので良くない?そういう地道なのが重要だと思うの

[misshiki]

脆弱性情報の収集先4つを整理。CVEで広く把握、CISA KEVで悪用状況、JPCERT/CCで日本語情報、OSVでOSSを確認。利用製品の公式発表も併用し、API・RSSなどで収集・照合・通知を自動化する方法を紹介。

[taguch1]

各種情報をMinifluxでまとめて関係あるものを精査させて仕事前にslackに投げてもらってる。それ以上はもういいやオーバーワークw

[Goldenduck]

脆弱性情報だけ巡回していれば良い時代は終了してしまった。そのうち暴露情報まとめが整備されていくだろうけど／脆弱性情報以前にセキュリティアップデート当てず放置も多い

[shinagaki]

困ってるなら自分でハニーポット設置すればいいのでは？

[kizimuna06]

ゼロデイ増でも既知の脆弱性未対応が多い。公開脆弱性は最低限対応すべき。多段防御を基本とし、一箇所突破されても守れる時間を稼ぐ必要がある。

[nguyen-oi]

一番大事なのは入手した膨大な情報をどうフィルタリングして対応するかだな