Googleの無料オープンソース脆弱性スキャンツール「OSV-Scanner」の実力とは？
Googleは2022年12月13日（米国時間）、オープンソース開発者が自分のプロジェクトに関連する脆弱（ぜいじゃく）性情報に簡単にアクセスできる無料ツール「OSV-Scanner」を公開した。 Googleは2021年にオープンソースソフトウェア（OSS）の開発者と利用者のために、脆弱性のトリアージ（優先順位を付けて対処すること）を改善する取り組みとして、「Open Source Vulnerability」（OSV）スキーマを公開し、これに基づく分散型オープンソース脆弱性データベースサービス「OSV.dev」を立ち上げた。OSV-Scannerの公開は、この取り組みの次のステップだとしている。 OSVスキーマは、全てのオープンソースエコシステムと脆弱性データベースが、1つのシンプルで正確かつ機械可読なフォーマットで情報を公開し、利用できるようにする。OSVデータベースは、プロジェクトの
開発に使える脆弱性スキャンツール - NTT Communications Engineers' Blog
この記事は、 NTT Communications Advent Calendar 2022 7日目の記事です。 はじめに こんにちは、イノベーションセンター所属の志村と申します。 「Metemcyber」プロジェクトで脅威インテリジェンスに関する内製開発や、「NA4Sec」プロジェクトで攻撃インフラの解明・撲滅に関する技術開発を担当しています。 今回は「開発に使える脆弱性スキャンツール」をテーマに、GitHub Dependabot, Trivy, Grypeといったツールの紹介をさせていただきます。 脆弱性の原因とSCAによるスキャン 現在のソフトウェア開発は、多くのOSSを含む外部のソフトウェアに依存しています。Python、Go、npm など多くの言語は、様々なソフトウェアをパッケージとして利用できるエコシステムを提供しており、この仕組みを利用してOSSなどのコンポーネントをソフト
「Kubernetes」の脆弱性をSBOMで特定、Googleが詳細な手法を公開
Googleは2022年6月14日（米国時間）に公開したブログ記事で、SBOM（Software Bill of Materials：ソフトウェア部品表）の活用事例を発表した。オープンソースツールを使って、「Kubernetes」のSBOMをオープンソースプロジェクトの脆弱（ぜいじゃく）性データベース「Open Source Vulnerabilities」（OSV）と照合し、Kubernetesの構成要素に含まれる脆弱性を特定したプロセスを紹介している。 米国では、2021年の米国大統領令「国家のサイバーセキュリティの向上」の発令や、米国標準技術局（NIST）による「Secure Software Development Framework」（安全なソフトウェア開発フレームワーク）の発表を受け、SBOMの導入機運が高まっている。 SBOMは、「特定のソフトウェアのリスクを判断するには、他
脆弱性診断につかえるツール集 - Qiita
概要 自宅サーバのセキュリティチェックをして見た。 脆弱性診断ツール nikto niktoは、Web アプリケーションセキュリティスキャナー。 $ sudo apt install nikto -y $ nikto -h localhost - Nikto v2.1.5 --------------------------------------------------------------------------- + Target IP: 127.0.0.1 + Target Hostname: localhost + Target Port: 80 + Start Time: 2019-08-23 22:26:00 (GMT9) ---------------------------------------------------------------------------
セキュリティツールの評価は難しい - knqyf263's blog
前から思ってたことをちょっと書かずにいられなくなったのでポエムを書きました。 背景 問題 検知している方が正しいように見えがち 条件を揃えるのが難しい 環境の再現が難しい 検知数が多い方が良さそうに見える 正解かどうかの判断が難しい カバー範囲の正確な見極めが難しい 検知されないほうが嬉しい まとめ 背景 お前誰だよってなるかもしれないので書いておくと、Trivyという脆弱性スキャナーのメンテナをやっています。 github.com とある有名な方による以下のツイートがありました。 I just discovered, during @cloudflare #SecurityWeek no less, that Trivy (the vuln scanner) doesn't detect known issues in Alpine images. Including a critica
Google、セキュリティスキャナー「Tsunami」をオープンソースで公開。ポートスキャンなどで自動的に脆弱性を検出するツール
Google、セキュリティスキャナー「Tsunami」をオープンソースで公開。ポートスキャンなどで自動的に脆弱性を検出するツール Announcing the release of the Tsunami security scanning engine to the open source communities to protect their users’ data, and foster collaboration.https://t.co/qrvmilHm1r — Google Open Source (@GoogleOSS) June 18, 2020 Tsunamiは、アプリケーションに対してネットワーク経由で自動的にスキャンを行い、脆弱性を発見してくれるツールです。 Googleは、現在では攻撃者が自動化された攻撃ツールへの投資を続けており、ネット上に公開されたサービスが攻
クラウドネイティブなアプリケーションに対する脅威を検知する「Falco」、Cloud Native Computing Foundationのインキュベーションプロジェクトに昇格
クラウドネイティブなアプリケーションに対する脅威を検知する「Falco」、Cloud Native Computing Foundationのインキュベーションプロジェクトに昇格 Kubernetesの開発などをホストしているCloud Native Computing Foundation（CNCF）は、クラウドネイティブなアプリケーションに対する脅威などを検知するソフトウェア「Falco」を、同団体のインキュベーションプロジェクトにすることを発表しました。 FalcoはセキュリティベンダーのSysdigが同社製品をベースにオープンソース化したものです。Kubernetes上で実行されているコンテナの動作をつねに監視し、外部からの不正な侵入が行われた場合やコンテナの不審な振る舞いを検知する機能を提供することで、クラウドネイティブなアプリケーションのセキュリティを確保できる機能を提供します
最近話題のコンテナ脆弱性ツール「Trivy」を試してみた | DevelopersIO
こんにちわ、札幌のヨシエです。 社内にコンテナチャンネルがありまして、話題に上がったTrivyというコンテナイメージ用脆弱性スキャナを試してみました。 knqyf263/trivy 対象OS 対象OSは以下となります。 注意点としてAmazonLinuxのコンテナイメージはスキャン対象外となりますのでご注意ください。 Alpine RHEL CentOS RedHat Universal Base image Debian Ubuntu MacOSへインストール 検証目的なので作業用MBPにTrivyをインストールします。 % sw_vers ProductName: Mac OS X ProductVersion: 10.14.5 BuildVersion: 18F132 HomeBrewを使用してインストールを行いました。 $ brew tap knqyf263/trivy $ bre
OSSのシステム脆弱性スキャン・検査ツール「OpenVAS」「Vuls」「OpenSCAP」を使ってみよう
はじめに 前回に引き続き、今回もシステムの脆弱性スキャン・検査ツールを紹介していきます。今回はOSSのOpenVAS、Vuls、OpenSCAPについて簡単に概略を解説し、機能比較を行います。 OpenVASの概略 OpenVASは、前回で解説したNessusがクローズドソースになった後、これまでに公開されていたOSSのソースコードをベースに開発が続けられています。基本的な構成はNessusと同じエージェントレスの脆弱性検査ツールで、2017年11月時点での最新のバージョンはOpenVAS-9です。 Linux版のOpenVASでは各ディストリビューション用のパッケージが用意されているので、そちらを用いた方が簡単にインストールできます。今回、筆者はUbuntu 17.10-desktopにUbuntu用のOpenVAS 9をインストールしました。インストールはhttps://launchp
オープンソースで始めるLinuxサーバー脆弱性診断入門
2. 大原 慎一郎 ohhara@shiojiri.com （有）トラストネットワークス 長野県塩尻市 塩尻インキュベーションプラザ１０８号室 ●ITシステムに関するネットワークインフラ構築、サーバー構築、クラウド構築 ●及びその運用管理、付随するITセキュリティ対応 自己紹介 ©2017 Shinichiro Ohhara IPA登録のセキュリティプレゼンター 一般社団法人セキュリティ対策推進協議会 セキュリティサポーター サイバーセキュリティ普及啓発の一環として、毎年2月から3月にかけて官民連携サ イバーセキュリティ月間を政府の内閣サイバーセキュリティセンターが中心となって 行っています。 長野県塩尻市にて関連イベントとして2016年3月、2017年2月にサイバーセキュ リティ勉強会を関係各所のご協力にて開催しました。 また発起人として情報セキュリティの講師も担当。 2017/9/2
Vuls × STNSで始める 脆弱性検知の自動化
第３回九州インフラ交流勉強会(KIXS)にてVulsをSTNSと組み合わせて利用すると超絶便利という話をしました。
node の security checkをするなら nsp が便利 - from scratch
nspとは 先日たまたま会社で Vulnerability の話になって色々と Node.js だとこういうのあるんですよって言ったら知らなかった方も多かったので紹介。 nsp は node security platform の頭文字を取ったプロジェクトである。 Node Security Platform はサイト上で脆弱性を公開している。 Node.js のコアの脆弱性というよりも npm モジュールなどのモジュールの脆弱性だ。 nsp に挙げられてる脆弱性の一例 例えばこの脆弱性なんかは2017年2月11日に公開された脆弱性である。 https://nodesecurity.io/advisories/313 github.com どういう脆弱性かというと、このモジュールはJavaScript Objectをシリアライズするためのモジュールだが、そのserializeする時に関数ま
Dockerコンテナの脆弱性を検知するClairを試す | DevelopersIO
コンニチハ、千葉です。今回もDockerネタです。 DockerHubにCVEをベースにした脆弱性スキャン機能が追加されています。これをプライベート環境のコンテナレジストリでも実行したい！ということで、プライベート環境でも利用できるClairを試してみました。 Clairとは？ Clair はCoreOS社にて開発が行われている脆弱性スキャンができるツールです。スキャンはCVEを元に実施され、appcやdockerコンテナ内に脆弱性がないかを静的スキャンを実施します。Clair自体もDockerコンテナで提供されます。 利用ケース1 - 手動での監査 - インターネット上のサードパーティのコンテナ利用するとします。このとき、脆弱性を持ち込まないために脆弱性スキャンが可能となります。開発マシンにコンテナをpullしたタイミングで、Clairインスタンスを起動させます。local image
サーバの脆弱性チェックできるVulsをdockerを使って試した - tjinjin's blog
世のインフラエンジニアの方々は、何らかの形で利用しているソフトウェアのセキュリティ情報を日々チェックしていると思います。しかし、利用するソフトウェアが増えてくると全部のチェックはなかなか難しいのではないでしょうか。 そんな中最近Amazon Inspectorがプレビューから一般利用開始となり、注目されている方もいると思います。そういったツールが様々出る中で、最近Vulsというものを知ったので試してみたいと思います。 Vulsとは Amazon Inspectorとの違い go-cve-dictionaryについて 実際に使ってみる 検証環境のバージョン Vuls server scan対象サーバ 事前準備 slack通知を試す TUI（Terminal-Based User Interface）を試す OSパッケージ以外もチェックする まとめ Vulsとは github.com scan
あなたのサーバは本当に安全ですか？今もっともイケてる脆弱性検知ツールVulsを使ってみた - Qiita
はじめに サーバ管理をしている身としては、 セキュリティ は常に付きまとう悪魔みたいなもので、このセキュリティに関しては何をどこまで頑張ればいいのか不透明な部分が多い。 脆弱性に関しては、CVEなど、毎日情報は入ってくるが、それがどのサーバの何に関連したものなのかなんていちいち調べてられないし、どの脆弱性がすぐに対応しなければいけないもので、どの脆弱性があとあと対応すればいいものなのかなんてわからない。 実際のところ、大きな話題になった脆弱性くらいしか緊急で対応してないという人は多いのではないかと思う。 そんな中、満を持して登場したのが vuls !! 各サーバの脆弱性情報を取得して、個々のサーバそれぞれでどんな脆弱性があり、どのくらいやばい脆弱性なのかを検知できるようになった！ 今回はこのvulsを紹介します。 Vulsとは 公式でロゴが発表されたので、差し替えました 公式ドキュメント:
GitHub - future-architect/vuls: Agent-less vulnerability scanner for Linux, FreeBSD, Container, WordPress, Programming language libraries, Network devices
For a system administrator, having to perform security vulnerability analysis and software update on a daily basis can be a burden. To avoid downtime in a production environment, it is common for a system administrator to choose not to use the automatic update option provided by the package manager and to perform update manually. This leads to the following problems. The system administrator will
OWASP ZAPを触ってみる - Qiita
Webアプリケーション脆弱性スキャンツール サイト https://code.google.com/p/zaproxy/ https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project インストールと下準備 今回はOS X 10.9.1にインストールしました 必要なもの JREが必要なので、必要な場合は予め入れておく http://java.com/ja/download/ Mervericksには最初から入っていたので、何もしていない Firefox 標準ブラウザとしてFirefoxを期待しているようなので入れておく http://www.mozilla.jp/firefox/ アドオン追加時に標準である必要があるだけで、追加してしまえば、標準ブラウザとしていなくても動く様子 DLして展開して実行する http://sourc
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Free Cybersecurity Services & Tools | CISA
GitHub - knqyf263/trivy: Find vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more
OpenVAS - Qiita