Vulsで脆弱性スキャンを自動化してSlackとメール通知させ、本番環境で実稼働させるレベルに持っていく | ロードバランスすだちくんシンジです。サーバーの脆弱性をスキャンしてくれる無償ツールVulsは何かと便利なのはいいのですが、これを本番環境で実稼働させてPCIDSSの監査にまで使えるレベルへ持っていくところまでやってしまえという話です。 前提として Vulsは無償でお手軽に脆弱性診断出来るツールとしては優秀だと思いますが、いわゆる「診断士」が行うようなカスタムやフルスクラッチのアプリケーションに対して診断を行うわけでは無いですし、あくまでCVEとして公開されている脆弱性情報と合致するかをお知らせしてくれるだけのツールですから、これだけに頼って「完璧だ」「安全だ」とかいう勘違いはしない方がよいです。 とはいえ、例えばPCI DSS監査においては、公開されている脆弱性情報への対応具合は聞かれますし、CSIRTで収集した情報が、例えば社内インフラに限ってみたときにどの程度対応出来ているかを判断する指標の材料にはなりますか
