脆弱性の影響調査を Devin Automations で自動化した話

処理の流れは、毎日の定期実行と Slack からの依頼の 2 本です。 定期実行: 新着 CVE 登録 毎日の定期実行で Devin Automation が起動し、次の 2 つを行います。 登録: 直近 48 時間に NVD で公開された CVSS 一定以上の CVE のうち、 Notion データベースに未登録であれば登録する 更新: 登録済みの CVE で CVSS が前回より上がったものはステータスを未調査の状態にして更新する 更新時にステータスを変更するのは、CVSS の再評価で深刻度が上がった CVE を調べ直すためです。 定期実行: 影響調査 CVE 登録の Automation が完了した後、影響調査の Automation が起動します。 「調査日」が空の CVE があれば、Playbook に沿って 1 件ずつ影響を調べ、未調査の CVE がなくなるまで繰り返します。

[tmurakam]

CVEを踏んでいるかの検出は簡単。大変なのはそのあと、自分たちのアプリがその脆弱性の影響を本当に受けるかの確認なんだが、そこまで自動化されてるかどうか

[syu-m-5151]

脆弱性調査のAIにも、前回どこを調べたかを残す。共通手順に加え、過去の調査と構成情報を再利用し、CVSS上昇で調べ直す運用が具体的。コードの読取専用で、修正PRは今後の話。調査の省力化と修正は別だ。

[misshiki]

Devin AutomationsでCVEの取得、全リポジトリの影響調査、Notion記録を自動化。10月から100件超を登録。最終判断は人が担い、「影響なし」の誤判定やSaaSなどコード外の調査が課題。

[diveintounlimit]

「自分たちのアプリがその脆弱性の影響を本当に受けるかの確認」は調査セッションってとこでやってそう？

[nguyen-oi]

NVDから新着CVE拾って横断調査までAI任せにするのは一次受けとしてかなり賢い使い方