Vuls祭り#5 @DMM.com Vuls祭り#5がDMMさんで開催された。 我らがあだちんもLTをするということで参加してきた。 下記はその際のメモです。 招待講演 IPAテクニカルウォッチ「脆弱性対策の効果的な進め方（ツール活用編）」 IPAテクニカルウォッチの作者の方 攻撃者が攻撃ツールをインターネットに公開されることで多数の攻撃者から攻撃されることがある 近年0day攻撃が増えている 脆弱性対策は組織によって最適化されたやり方がある 脆弱性対策の基本的なフロー 収集対象ソフトの把握 脆弱性関連情報の収集 適用の判断（影響判断） 計画 検証 適用 CVSS（脆弱性に対する評価指標） 基本評価基準 脆弱性の技術的な特性を評価 現状評価基準 ある時点における脆弱性をとりまく環境を評価 環境評価基準 利用環境ににおける最終的な脆弱性の深刻度を評価 脆弱性対策の自動化 脆弱性情報収集 ツール導入前にツールが自組織のシステムに適用できるかの確認が必要 ツールができることの限界を知っておく必要 Vulsの紹介 脆弱性情報の収集を自動化できる 脆弱性対策情報データベース JVN iPedia 国内外30000兼以上の製品の脆弱性情報を日本語で提供 JPCERT/CC, IPAが運営 対策だけではなく、回避策が掲載されることもある NVD（National Vulnerability Database） MyJVN（mjcheck3） MyJVN APIが用意されている 基調講演「Vuls v0.8.0の新機能」 vuls.io OVALが肝 SSHして接続して脆弱性DBとマッチングした結果を通知をする v0.8.0のリリース! Go v1.