Capy、SBOMで脆弱性スキャンを自動化　最大2日要した影響調査を短縮

　Capyは、SBOM（ソフトウェア部品表）を活用した脆弱性管理体制を構築した。インフラ運用を担うgrasysが体制の構築と運用を支援している。10月28日、grasysが発表した。SBOMの生成と脆弱性スキャンを自動化し、grasysが対応優先度を一次評価した結果を受け取る仕組みに改めたことで、手作業では最大2日かかることもあった影響調査の時間を大幅に短縮。脆弱性への対応の要否を迅速に判断できるようになったという。

　Capyは、Webサービスのログインや会員登録の手前でアクセスが人間かbotかを判別するパズル形式のCAPTCHAサービス「Capyパズル CAPTCHA」を、金融やEC、メディアなどの企業に提供している。認証フローの入り口に位置するため、サービスが停止すると顧客企業のログインなどの機能に影響が及ぶ恐れがあり、高い可用性と確実な脆弱性管理が求められる。

　従来は外部ベンダーのネットワーク診断サービスを使い、年1回の確認を基本に、有事の際は個別に対応していた。脆弱性の動向はニュースやSNSで把握し、自社環境への影響を手作業で調べていたが、ミドルウェアが利用する別のミドルウェアまで依存関係を網羅したり、どのバージョンにどのパッチが含まれるかを確かめたりするのは難しく、確認だけで2日かかることもあった。年間数万件に上る脆弱性情報に社内リソースだけで対応するのは限界に近づいていたという。そこで、同社のインフラ運用を支えてきたgrasysの提案を受け、SBOMを使った脆弱性管理に乗り出した。

　新たな仕組みでは、オープンソースの「Syft」でソフトウェアの構成要素を解析し、「CycloneDX」形式のSBOMを定期的に自動生成。「Grype」で最新の脆弱性情報と照合する。誤検知が少なく動作が安定し、自動処理と相性が良い点を評価して両ツールを採用した。検出された脆弱性はgrasysが影響範囲を確認し、攻撃が到達しないものなど優先度の低いものを除外したうえで、脆弱性トリアージのフレームワーク「SSVC」の考え方に基づき、悪用状況や資産の露出度、業務への影響度などから優先度を評価。根拠と合わせてレポートとしてCapyに提供し、Capyが対応の要否を判断する。

　スキャンの実行環境を構築するにあたっては、本番環境に影響を与えないことを最優先とした。過去に脆弱性スキャンと顧客のアクセス集中が重なり、リソースが逼迫した経験があったためだ。そこで、稼働中のサーバーを直接スキャンせず、複製したディスクをスキャン専用のインスタンスで検査する構成とした。専用インスタンスはスキャン時に一時的に動かすだけのため、運用コストも抑えられた。

　Capy技術顧問の松本悦宜氏は、「脆弱性管理で最も難しいのは、その脆弱性が自社の環境に影響するかどうかの判断だ。以前はgrasysに助言を求めるなどのやり取りで時間がかかることもあったが、新システムでは一次判断を終えた状態で情報が届くため、コミュニケーションコストが大きく減り、対応の要否をすぐに判断できるようになった」と話している。今後は、SBOMを使って脆弱性を管理していることを対外的に周知していく考えだ。

ニュースリリース