エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
CentOS 7にLinuxのCVE脆弱性検知ツール「Vuls」をインストールする | 俺的備忘録 〜なんかいろいろ〜
会社の先輩(というかリーダー)から、sshなどでリモートのLinuxにアクセスし、CVEの脆弱性確認して検知したら自動的にSlackなどで通知してくれるツール「Vuls」というものがあると教えてもらったので、会社の環境に導入する前に自宅環境に入れてみることにした。 Vulsは日本人が作成したツールらしいので、日本語の情報もたんまりとあるのが素晴らしい。 詳細な情報については、以下の記事を見るとわかるだろう。 あなたのサーバは本当に安全ですか？今もっともイケてる脆弱性検知ツールVulsを使ってみた Vulsで脆弱性スキャンを自動化してSlackとメール通知させ、本番環境で実稼働させるレベルに持っていく セキュリティテストツールvulsをインストールしてみた sshでのアクセスが必要とのことなので、鍵認証が前提になるので注意(パスワード認証はサポート外らしい)。 また、ソフトウェアアップデート
脆弱性情報 (CVE) の対応状況を確認する - kakakakakku blog
脆弱性情報 (CVE : Common Vulnerabilities and Exposures) の対応状況を確認する手順をまとめておこうと思う． CVE データベース CVE 情報は全て以下にまとまっている． cve.mitre.org 全ての CVE にはユニークな ID が振られていて，例えば，環境変数 HTTP_PROXY を悪用して外部サイトと通信できてしまう可能性がある "httpoxy" なら CVE-2016-5385 だし，ImageMagick で任意のスクリプトが実行されてしまう可能性がある "ImageTragick" なら CVE-2016-3714 となる．"Shellshock" もそうだけど，どの脆弱性もカッコイイ別名（厨ニ）が付いてて，エンジニア同士の会話だとバズワード的に認識できて良いと思う． CVE - CVE-2016-5385 CVE - CV
脆弱性情報のサイトでよく目にする「CVE」とは？
「セキュリティに対する重要性は理解したけれど、用語が難しくて」という声を聞くことがよくあります。そんな方に、「今だから学ぶ！」と題して、連載でセキュリティの頻出用語を解説します。第27回は、「CVE」についてです。 セキュリティインシデントが発生して、脆弱性情報のWebサイトで必ず目にするのが「CVE」という単語です。CVEとは、Common Vulnerabilities and Exposures（共通脆弱性識別子）の略称です。 CVEは、ソフトウェアの脆弱性を対象として、米国政府の支援を受けた非営利団体のMITRE社が提供している脆弱性情報データベースです。CVEでは脆弱性にユニークな識別番号 「CVE-ID」（CVE-登録時の西暦-通し番号の形式）です。MITREでは、CVE-IDをCVE識別番号管理サイト(http://cve.mitre.org（英語）) で公開しています。イン
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
