Capy、grasysの支援でSBOMによる脆弱性管理体制を構築　対応要否の判断を迅速化

　Capyは、不正ログイン対策サービス「Capy CAPTCHA」を支えるインフラで、SBOM（ソフトウェア部品表）を活用した脆弱性管理の体制を構築した。オープンソースのSyftとGrypeでSBOMの生成と脆弱性スキャンを自動化し、インフラ運用を担うgrasysが対応の優先度を評価して報告する。最大2日かかっていた影響確認の手間が減り、対応の要否を迅速に判断できるようになった。10月28日、grasysが導入事例として発表した。

　Capyは、パズル形式のCAPTCHAサービス「Capy CAPTCHA」を金融やEC、メディアなど幅広い業種の企業に提供している。CAPTCHAはログインや会員登録の前段階に置かれるため、サービスが止まると顧客企業のログイン機能などに影響が及ぶ可能性がある。高い可用性と確実な脆弱性管理が求められる一方、日々大量に公開される脆弱性情報に社内のリソースだけで対応するのは限界があった。

　従来は、外部ベンダーのセキュリティ診断を年1回の確認として基本に置き、有事には個別に対応していた。ニュースやSNSで脆弱性の動向を把握し、自社環境に影響があるかを手作業で調べていたが、確認だけで長いときには2日かかった。ミドルウェアが使う別のミドルウェアといった依存関係や、どのバージョンにどのパッチが含まれるかまで網羅するのはほぼ不可能だった。

　そこで、2017年のGoogle Cloud移行以来インフラ運用を支援してきたgrasysの提案を受け、SBOMの導入に踏み切った。SBOMの生成と脆弱性スキャンには、誤検知が少なく自動処理と相性の良いOSSのSyftとGrypeを採用した。Syftでコンポーネントを解析してCycloneDX形式のSBOMを定期的に自動生成し、Grypeで最新の脆弱性情報と照合する。

　運用効率化の鍵は、grasysによる一次対応だ。脆弱性情報は年間数万件に上るため、grasysが影響範囲を確認し、攻撃が到達しないと判断できるものなど優先度の低い脆弱性を除外する。優先度の評価には、米CISAなども活用する脆弱性トリアージのフレームワーク「SSVC（Stakeholder-Specific Vulnerability Categorization）」の考え方を取り入れた。悪用状況や攻撃の自動化可能性、資産の露出度、業務への影響度を踏まえて評価し、根拠とともにレポートにまとめてCapyへ報告する。

　本番環境への影響を避ける設計も特徴だ。Capy CAPTCHAは顧客企業のキャンペーンなどでアクセスが急増することがあり、過去には脆弱性スキャンとアクセス集中が重なってリソースが逼迫したこともあった。そこで稼働中のサーバを直接スキャンせず、複製したディスクをスキャン専用のインスタンスで検査する方式を採った。専用インスタンスは検査時にだけ動かすため、運用コストも抑えられる。

　新しい体制ではgrasysが一次判断を終えた状態で情報が届くため、以前は必要だったやりとりが減り、Capyは対応の要否をすぐに判断できるようになった。Capyの技術顧問である松本悦宜氏は、年間数万件に上る脆弱性情報の中から、重要なものを取りこぼさずに把握できる安心感も得られたとしている。今後はSBOMで脆弱性を管理していることを対外的にも発信していく考えで、顧客からの問い合わせにも迅速に回答できる体制を目指す。

ニュースリリース