https://internetweek.jp/program/d3/d3-1.html Internet week 2016 D3-1 脆弱性情報と賢く付き合う～発見から対策までの最前線～ 脆弱性スキャナによる対策支援の課題 の発表資料です。 講演者 神戸 康多(フューチャーアーキテクト株式会社 テクノロジーイノベーショングループ シニアスペシャリスト) 脆弱性対策の最前線として、 Vulsを使ったサーバの脆弱性対策、 脆弱性のインベントリ管理の紹介。 そもそもなぜこのようなツールを作ることになったのか、 今後の展開について等、 消費者の悩みとそれを解消するツールの今後についてご紹介いただきます。
国立研究開発法人 情報通信研究機構(NICT) 井上 氏 国立研究開発法人 情報通信研究機構(NICT) とは? 情報通信分野を専門とする日本で唯一の公的研究機関 サイバーセキュリティ研究室の研究マップ インシデント分析センタ(NICTER) 対サイバー攻撃アラートシステム(DAEDALUS) サイバー攻撃統合分析プラットフォーム(NIRVANA改) 脆弱性管理プラットフォーム(NIRVANA改弐) 委託研究Web媒体型攻撃対策フレームワーク(WARPDRIVE) ブラウザ上でタチコマが動くよ! [WarpDrive](https://warpdriveproject.jp/) サイバー攻撃誘引基盤(STARDUST) セキュリティあるある NIRVANA改 セキュリティオペレーションを効率化する統合分析プラットフォーム 機能 トラフィック観測・分析 アラート収集･分析 自動対処 可視化
この記事は、Vuls Advent Calendar 2016の7日目の記事です。 概要 Vulsは、vulsコマンド自体のインストールやVulsサーバ/スキャンされるサーバの構成について、自由度が高い設計のようです。その為、ベストプラクティスが見つけずらい状況となっています。 本記事では、PCI/DSSを考慮に入れた、比較的安全と思われる Vuls導入パターンを提示します。 全体の構成としては、usiusi360さんの記事を参考にするとよいと思います。 以前公開した (比較的)標準化をした Vuls/VulsRepo の導入の更新版となります。 本ページの情報でVulsサーバ構築後、Vulsでowasp dependency-checkを使うの設定をすることで、アプリケーションのチェックも可能となります。 本記事の、20秒まとめ vulsは、/opt/vuls に入れて スキャン対象の鍵
Vuls uses multiple vulnerability databases NVD, JVN, OVAL, RHSA/ALAS/ELSA/FreeBSD-SA and Changelog. Vuls v0.5.0 now possible to detect vulnerabilities that patches have not been published from distributors. Remote scan mode is required to only setup one machine that is connected to other scan target servers via SSH. If you don't want the central Vuls server to connect to each server by SSH, you ca
EC2インスタンス一覧を出力し、Vulsの設定ファイルを作成するツール「ec2-vuls-config」 - 本日も乙
[toc] Vuls祭り#1のときにec2-vuls-configというツールを作ってLTしたのですが、Vuls祭り#3に向けてv0.1.0をリリースしたのでブログで宣伝です。 https://github.com/ohsawa0515/ec2-vuls-config どういうツールなのか EC2インスタンスの一覧から指定されたタグを付けたインスタンスのみを取得して、Vulsの設定ファイルの作成します。 このツールによって、Vulsスキャンの対象をEC2のタグで動的に制御することが可能になります。 なぜ作ったのか AWS上でサーバ運用していると、インスタンスの状況が常に変わり続けていきます。あるときはEC2を作成したり、またあるときは削除したり。特にオートスケールによって起動しているインスタンス数やホスト名が自動的に変わっていきます。 Vulsで脆弱性スキャンを行うにあたり、予めスキャン対
Vulsを使った脆弱性チェック運用 [環境構築編]【セキュリティ対策】 | レコチョクのエンジニアブログ
最新のIT技術を駆使して音楽関連サービスを展開しています。 日々の活動内容から得た知識をお届けする開発ブログです。 Vulsを使った脆弱性チェック運用はじめるよ という事で、背景は前の記事で書いた通りですので、実際に環境を構築してみます。 複数アカウントにまたがる環境、且つIPアドレスが結構変動する環境では通常通りのconfigではすんなり動いてくれないため、力業で解決しているところもあります。 当面はIPアドレスが変動してもconfigに反映出来る仕組み作りです。 では、実際に今どんな環境で動いているか見てみましょう。 基本は、公式の内容通りで環境構築をしていますが、レコチョク内での運用を加味しています。 目的 稼働中サーバのOSパッケージ脆弱性を可視化し、特に対応が必要なものをあぶりだす。 環境構成 環境Directory /home/vulsuser/ ※()内はPermission
![Vulsを使った脆弱性チェック運用 [環境構築編]【セキュリティ対策】 | レコチョクのエンジニアブログ](https://cdn-ak-scissors.b.st-hatena.com/image/square/6bc79a822110fb1967dac1c024d5d2f6ad56c585/height=288;version=1;width=512/https%3A%2F%2Ftechblog.recochoku.jp%2Fwp-content%2Fuploads%2F2017%2F11%2Fvuls_logo.png){kind=logo}
[脆弱性スキャナ]Vulsをインストールしてみた！
[脆弱性スキャナ]Vulsをインストールしてみた！投稿者: adachin 投稿日: 2017/05/232017/05/23 これを思い出す人も多いと思いますが、 まったく違いますので注意！ｗ 今回はCentOS6.9にVulsを導入して、リモート先もスキャンできるか試してみました。 ■Vulsとは https://github.com/future-architect/vuls 「Vulnerability Scanner」 略してVuls。(Goで出来てる) そもそも脆弱性はインフラエンジニア(SRE)はマストで対応しなければなりません。 毎回メールで連絡来るか、ネットでざわついたらすぐ!! その前に既存で動いてるサーバのミドルウェアやサーバ自体の脆弱性を調べたいものです。 特徴は以下。 ・Linuxサーバに存在する脆弱性をスキャン Ubuntu, Debian, CentOS, A
![[脆弱性スキャナ]Vulsをインストールしてみた！](https://cdn-ak-scissors.b.st-hatena.com/image/square/5a5f748b038ec0d1daa089071504b08d22ba5708/height=288;version=1;width=512/https%3A%2F%2Fi0.wp.com%2Fblog.adachin.me%2Fwp-content%2Fuploads%2Fvuls_logo.png%3Ffit%3D300%252C100%26ssl%3D1){kind=logo}
こんにちは。Vuls Slackチーム辺りをうろうろしている、井上と申します。 MORIO Dojoは白帯のままです(そろそろ青帯になりたい)。 某SNSでは、脆弱性情報やセキュリティインシデントを追いかけています。 近年、セキュリティ業界でも「シフトレフト」が叫ばれています。 「テストなどの工程を、プロジェクトライフサイクルのより速い段階で実施する」というアプローチです。 セキュリティに関しても同様で、リリース前にテストをすることで、リリース後のセキュリティ対応負荷を軽減することができます。 今回は、WEBアプリケーションの依存ライブラリの脆弱性を検査する OWASP Dependency Checkを利用して、WEBアプリケーションリリースのシフトレフト、を目指します。 OWASP Dependency Checkとは OWASPとは、2015年の資料によると以下のように説明されていま
改訂版記事を こちら にアップしています！ ++++++ 最近、脆弱性発見が相次いでいて、嬉しいようなツラいような状態ですね。 vulsは脆弱性確認を楽にしてくれる可能性を秘めた、サーバー運用者にとって期待のツールです。 導入手順は基本的にオフィシャルに従えば良いのですが、AWSベースで書かれているので、オンプレ用に端折った手順をメモしておきます。 以下、環境はCentOS7で、2016/06/01に入れた際の手順です。 事前準備 事前に必要なパッケージをインストールします。 goはtarでダウンロードするので、ちょっとめんどくさいですね。 $ yum -y install sqlite git gcc $ wget https://storage.googleapis.com/golang/go1.6.2.linux-amd64.tar.gz $ tar -C /usr/local -x
ランサーズで脆弱性スキャナVulsを導入しました!! | ランサーズ（Lancers）エンジニアブログ
5月にランサーズのSREチームに入社しました@adachin0817(あだちん)と申します。 さてさて皆さん以下のブログをお読みになられましたか？ https://engineer.blog.lancers.jp/2018/06/5267/ SREチームの発足 普段はインフラ改善、開発環境、新規インフラ構築、コードレビュー、分析基盤の運用などを行っています。そこで、今回SREチームが4人になったことで、セキュリティ強化のため、Linuxの脆弱性対応は活動していこうと決めました。 皆さま日々Linuxの脆弱性対応をしていますでしょうか？.. ・脆弱性を追いたいけどNVDやJVNを追うのは…(ツライ) ・Twitterやメールなどでアナウンスされてバタバタしちゃう…(脂汗) ・そういえば管理しているサーバの脆弱性ってどのくらいあるんだろう…(白目) ・そもそも脆弱性アップデートとかしていない…
当日注意事項 20:00以降、通常の入館はできません。運営メンバーをお呼びください。 SlackのvulsチャンネルかTwitterで、 @hogehuga に入館したい旨を連絡ください。 呼び出すのは面倒と思いますので、乾杯までにご来場頂ければ幸いです。 参加費が発生します。 参加費支払者には、シールをお渡しします。お手数ですが、見えるところに貼ってください。出入り口でチェックします。 皆様の参加費で、飲食は成り立っております。ご協力を宜しくお願い致します。 SNS等でのつぶやきは、 #vulsjp や #vuls をご利用ください。 開催概要 Vuls とは VULnerability Scanner の略で、Linux/FreeBSD向けの脆弱性スキャンツールです。 GitHub Vuls Vuls公式日本語Twitter Vuls Slack チーム 参加はこちらから。 日本語で大
脆弱性スキャナVulsに関連する情報へのリンクをまとめてみました。 新しい情報を見つけたら随時更新していきます。 公式リポジトリ https://github.com/future-architect/vuls インストール 公式日本語マニュアル バージョンアップ時に度々オプション等の変更があるので、まずは公式マニュアルを。 Docker Install with Docker Scan using Docker IDCFコミュニティテンプレート 【IDCF Tech-Blog】コミュニティテンプレート Vuls の利用とTips 【IDCF Tech-Blog】Vulsの大型アップデート 更新と移行手法 さくらのクラウド 【さくらのクラウドニュース】脆弱性検知ツール「Vuls」のスタートアップスクリプトを公開しました 【GitHub】スタートアップスクリプト FreeBSD（ports）
ソフトウェアの脆弱性を対象として、米国政府の支援を受けた非営利団体のMITRE社が提供している脆弱性情報データベース「CVE」。 本日紹介する「Vuls」は、このCVEの情報を利用してサーバーの脆弱性を診断できるセキュリティツールです。 Go言語を使って作成されていてLinux/FreeBSDのスキャンに対応。サーバー側にssh接続できればエージェントをインストールせずに使用することができます。また日本語のドキュメントも公開されており、日本人にとって親しみやすいのも特徴です。 公式サイトによるとVulsの特徴として次の項目がリストアップされています: Linuxサーバに存在する脆弱性をスキャン Ubuntu, Debian, CentOS, Amazon Linux, RHELに対応 クラウド、オンプレミス、Docker OSパッケージ管理対象外のミドルウェアをスキャン プログラミング言語
How To Use Vuls as a Vulnerability Scanner on Ubuntu 18.04 | DigitalOcean
// Tutorial //How To Use Vuls as a Vulnerability Scanner on Ubuntu 18.04 The author selected the Free and Open Source Fund to receive a donation as part of the Write for DOnations program. Introduction Vuls is an open-source, agentless vulnerability scanner written in Go. It automates security vulnerability analysis of the software installed on a system, which can be a burdensome task for system a
皆様こんにちは。ウィスキーとサウナと四谷たけださんの牡蠣バター焼きをこよなく愛するVulsの神戸です。 突然ですが君たちの脆弱性調査は間違っている(かも)普段こんな手順で脆弱性調査をしていませんか。 JVNやNVD, JPCERT/CCなどで脆弱性情報を収集している 危険な脆弱性が公開されたら社内に周知して運用者に影響調査を指示する 運用者はrpmやdpkgコマンドで該当ソフトウェアのバージョンを調べる NVD記載のバージョンと、コマンドで取得したバージョンを比較して判断する もしこの方法でやっているという方はバージョン比較の判断方法を間違えており、過去に調査済みの脆弱性がシステムに残存している可能性が高いので、ぜひ本記事をお読みください。 本記事では正しい調査方法と、Vuls内部で実現している検知処理について紹介します。 君はバックポートを知っているかバグのないソフトウェアは存在しません
重要 2016/12の環境に合わせ標準化案を 標準化した、Vuls/VulsRepoの導入に記載しました。 これから始めてこの記事を見る方は上記リンクの記事を参照ください。 記録の為に本記事は残しておきますが、現時点ではあまりお勧めできる内容ではないかもしれません。 概要 Vulsのインストールや構成についてある程度標準化できそうなので、まとめました。 本記事作成時点で、良いと思われる構成、で作成しています。 重要 本ページリリース後に行った、重要な修正について記載します。 後述のFAQに、事前検討すべきこと等を追加しました。 -ask-sudo-passwordを使用しない形式にしました。 全体構成 ディレクトリ構成 / (root) +- /opt/vuls | +- go/ | | +- bin/ | | | +- go-cve-dictionary | | | +- vuls |
はじめに 「Zabbixに登録されたホスト情報を脆弱性スキャナVulsへ自動連携する」で少し触れましたが、Vulsでスキャンした結果のJSONファイルを加工（Gist：vuls scan&zabbixにsend）することでZabbixに検知結果を連携することができます。 そしてZabbixへ連携し柔軟なトリガーと通知機能を使うことで、前回スキャン時との比較で検知数が増加した（新しい脆弱性を発見した）ときのみアラート通知する仕組みを作ることができます。 今回は自動運用するために以下のフローを一つのスクリプトで実行するようにします。 脆弱性情報(NVD・JVN)アップデート ↓ Vulsでスキャン ↓ Zabbixへ結果連携 ↓ Vuls JSONファイルのローテーション 「Vuls JSONファイルのローテーション」はVulsRepoで結果を閲覧する際に、毎日スキャンしているとファイル選択ツ
会場と受付時間について 開場 18:30 です。 19時以降は受付が閉まります。 スタッフが 19:15, 19:30, 19:45, 20:00 頃に2F IIJ受付まで迎えに出ますのでお待ちください。 20時以降は一切入場できませんのでご了承ください。 退場はいつでも可能です。20時以降の再入場はできません。 受付は飯田橋グランブルーム(サクラテラス) 2F の IIJ 受付です。 オフィス入口を通ってから、2F へエスカレーターで上がってください。 レストラン街からは会場に入れませんのでご注意ください。 地図: http://www.iij.ad.jp/company/about/map/head-office.html 駅からの道順: https://sites.google.com/site/iijbenkyokai/place/route Vuls とは VULnerabili
CircleCI 上で Vuls を定期的に実行する
Vuls 祭りで Vuls モチベーションが上がったので何かやってみよう！ Vuls祭り#3に参加してきました というわけで CircleCI から Vuls を定期実行してみました。 脆弱性の継続的インテグレーション！ やり方 主な方針。 vuls, go-cve-dictionary, goval-dictionary 全部入りの Docker イメージを用意する 公式で各コマンドの Docker イメージがあるがこれを使わない理由は後述 CircleCI 2.0 の Scheduled Workflow を使って定期実行する vuls, go-cve-dictionary, goval-dictionary 全部入りの Docker イメージを用意 各コマンドを利用できる Docker イメージを用意します。 lorentzca/vuls-and-dictionary 公式の Doc
お知らせ 【重要なお知らせ】iOSアプリの運用および提供を2024年6月3日(月)を以て終了いたします。詳細は お知らせをご覧ください。 お知らせ connpassではさらなる価値のあるデータを提供するため、イベントサーチAPIの提供方法の見直しを決定しました。2024年5月23日(木)より 「企業・法人」「コミュニティ及び個人」向けの2プランを提供開始いたします。ご利用にあたっては利用申請及び審査がございます。詳細はヘルプページをご確認ください。
こんにちは。もうすっかり老害になったインフラエンジニアの渡邉です。 ようやく朝方涼しくなってきましたね。犬の散歩が捗ります。 突然ですが、みなさん脆弱性対応ってしてますか？ 今に始まったことではないですが、特にインフラエンジニアにとっては脆弱性対応はとても面倒で手間がかかる頭の痛いタスクになっています。 というわけで今回は、弊社のraksul.com/hacobell.com環境に巷で話題の脆弱性スキャナ「vuls」を導入した話をしたいと思います。 経緯 日を追うごとに管理するEC2インスタンス数や導入しているpackageが増えてきたこともあり、それぞれのCVEを追いかけるのが辛くなってきました。 エンジニアにとっては非常に面倒な監査用のレポーティングもそろそろ必要だろうという機運が 高まってきたところで、ちょうどとある勉強会でvulsのことを知ったので、とりあえずこのビッグウェーブに乗
CVE_PrioritizerとSploitScanで考える、KEV Catalog/EPSS/CVSS/SSVC 概要EPSSやKEV Catalogを有用に使うプロジェクトが最近出てきました。 これらについて内容を確認し、どのように使えるか、同様なSSVCとどう違うかを見ていきます。 CVE_Prioritizer https://github.com/TURROKS/CVE_Prioritizer SploitScan https://github.com/xaitax/SploitScan Exective Summary EPSS, KEVのデータ特性を考える必要がある EPSSは機会のみ、KEVは機会と脆弱性を示す 当該プロジェクトは使いやすく、CVSSのみで判断している組織は、CVE_Prioritizerをまずは使ってみるのが良いかもしれない 当該プロジェクトは システム固
お知らせ connpassではさらなる価値のあるデータを提供するため、2024年5月23日(木)を以ちましてイベントサーチAPIの無料での提供の廃止を決定いたしました。 2024年5月23日(木)以降より開始予定の「connpass 有料API」の料金プランにつきましてはこちらをご覧ください。 お知らせ connpassをご利用いただく全ユーザーにおいて健全で円滑なイベントの開催や参加いただけるよう、イベント参加者向け・イベント管理者向けのガイドラインページを公開しました。内容をご理解の上、イベント内での違反行為に対応する参考としていただきますようお願いいたします。
イベント名：設立3周年記念チャリティーセミナー 講師：日本仮想化技術 宮原 日時：2010/2/6 アジェンダ： • KVMの概要 • KVM仮想マシン作成のコツ • KVMベンチマークテスト 概要： リリース直後に異例の速さでカーネルに取り込まれたKVMですが、VMwareやXenに比べて、まだまだ活用術や情報が少ないのが現状です。本セッションでは、KVMの仕組み、活用方法、性能評価の結果について解説いたします。
Zabbix3.4をdockerで運用してVulsと連携させる 〜 その3 〜 ZabbixとVulsの連携 - Qiita
はじめに その1ではZabbixを、その2ではVulsをインストールしました。 Zabbix3.4をdockerで運用してVulsと連携させる 〜 その1 〜 Zabbixのインストール Zabbix3.4をdockerで運用してVulsと連携させる 〜 その2 〜 Vulsのインストール いよいよ両者を連携させてみます。 Software Design 2017年10月号にVulsとZabbixの連携方法が載っているので、そちらを参考にしました。 目標 Zabbixのホスト情報からVulsの設定ファイル(config.toml)を自動生成する Vulsのスキャン結果をZabbixへ連携する Zabbixで脆弱性情報を表示する Zabbix側での事前準備 Zabbixのホスト情報を用いてVulsの設定ファイルを作成するので、スキャン対象のサーバーをZabbixの監視対象にします。 【スキャ
SaaS/OSSを進化させる オープン・エコシステムについて Mackerel×Vulsの例
Vuls Meetup #2
https://github.com/future-architect/vuls Vulsをgo getでインストールしようとしたら、gopkg.in/gomail.v2のインストールで止まってしまった。 # go get -v github.com/future-architect/vuls Fetching https://gopkg.in/gomail.v2?go-get=1 Parsing meta tags from https://gopkg.in/gomail.v2?go-get=1 (status code 200) get "gopkg.in/gomail.v2": found meta tag main.metaImport{Prefix:"gopkg.in/gomail.v2", VCS:"git", RepoRoot:"https://gopkg.in/gomail
Mackerel Meetup #10 Tokyo(https://mackerelio.connpass.com/event/54302/)で発表した資料です。
なうでヤングなセキュリティツールvulsの設定しslackに通知また自動更新する【ubuntu】※08/30更新 - 寝て起きて寝て
最後の自動設定の箇所実装間違えがあったので更新しました Vulsの仕様変更に伴いScanで止まる不具合の対処法の記述をしました。 導入の経緯 Vulsとは 導入環境 今回の目標 SSHの設定 パッケージのインストール Goでスクリプトを作成 vulsのログディレクトリ作成 go-cve-dictionaryをデプロイ Vulsインストール Vulsコンフィグファイル作成 VulsのPrepareとScan Slackの通知 Vulsの自動化 参考サイト 導入の経緯 最近vulsが流行ってることを知ってちょっといじるついでにslackのbotを一度作って みようと思ったから。 Vulsとは 毎日脆弱性の調査やソフトウェアアップデートをする作業は大変。 しかもアプリケーション環境を運用している場合、アップデートによるサービスの停止リスクを避けるために、パケージマネージャーの自動更新機能を使わず
Vulsのロゴ はじめに 昨日知りました、Vuls( VULnerability Scanner )という素晴らしい脆弱性診断ツールがあります、ソースコードはGitHubの【future-architect/vuls】に上がっています。日本にいる方々が開発したものですので、このサービスに非常に期待しています。 Vulsができることについては、下記vuls/README.ja.mdに記載されることを引用させていただきます。 Vulsは上に挙げた手動運用での課題を解決するツールであり、以下の特徴がある。 ● システムに関係ある脆弱性のみ教えてくれる ● その脆弱性に該当するサーバを教えてくれる ● 自動スキャンのため脆弱性検知の漏れを防ぐことができる ● CRONなどで定期実行、レポートすることで脆弱性の放置を防ぐことできる Dockerを使えば、簡単にインストールができて、ちょっとした設定で
GitHub - usiusi360/vulsrepo: VulsRepo is visualized based on the json report output in vuls.
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Internet Week 2016 脆弱性スキャナによる対策支援の課題 Vuls
Vuls祭り＃4 に参加してきました #vuls #vulsjp | DevelopersIO
標準化した、Vuls/VulsRepoの導入 - Qiita
Vuls · Agentless Vulnerability Scanner for Linux/FreeBSD
OWASP Dependency Checkを、Vulsと連携して表示させる - IDCF テックブログ
vulsを使って脆弱性の自動スキャンを実現する - Qiita
Vuls祭り#4 (2018/08/27 19:00〜)
脆弱性スキャナVuls 関連リンク集 - Qiita
Vuls - CVEデータベースを利用したサーバーの脆弱性スキャンツール | ソフトアンテナ
突然ですが君たちの脆弱性調査は間違っています | Vuls Blog
(比較的)標準化をした Vuls/VulsRepo の導入 - Qiita
脆弱性スキャナVulsのスキャン結果をZabbixへ連携しアラート通知する - Qiita
Vuls祭り#2 (2017/03/24 19:00〜)
Vuls祭り #1 (2016/09/26 18:30〜)
脆弱性スキャナ「vuls」を導入しました - RAKSUL TechBlog
CVE_PrioritizerとSploitScanで考える、KEV Catalog/EPSS/CVSS/SSVC | Vuls Blog
Vuls祭り#8 (2023/09/15 19:00〜)
脆弱性スキャナVuls（入門編）
GitとGoの最新バージョンとVulsをインストール CentOS
脆弱性スキャナVulsの紹介とMackerelメタデータと連携した脆弱性管理
(意外と簡単)EC2とDockerを使って、脆弱性診断ツールVulsを触ってみました! - Qiita