FutureVuls Blog

Blog タグの記事

  • 41
    投稿
  • 14
    著者数
  • 70--00000000000
    総シェア数
  • 0--00000000000
    Twitter
  • 0
    Facebook
  • 3
    はてブ
  • 4
    Pocket

FutureVuls新機能でCPE割り当てを効率化！適切なCPEの選び方ガイド

脆弱性管理におけるCPE割り当ては重要ですが、「どのCPEを選べばいいか分からない」「確認に手間がかかる」といった課題があるかと思います。本記事では、2025年の4月にリリースした新機能を活用し、適切なCPEを判断するための実践的な方法を具体例と共に解説します。

あなただけのvuls.dbを作ろう！

Vulsで脆弱性スキャンをしているけれど――「公式 DB だけでは検知が足りない」「不要データでスキャンが重い」「社内アドバイザリもまとめて管理したい」。そんな悩みを解決するのが “自作 vuls.db”です。本記事ではVuls 初心者でも分かる手順でカスタム脆弱性データベースを構築し、1) 公式未採用ソースの追加、2) 不要ソースの削減、3) 独自データの取り込み――という3つのユースケースを具体例付きで解説します。

EUサイバーレジリエンス法（CRA）準拠に向けたSBOM対応

本記事ではEUサイバーレジリエンス法（CRA）におけるSBOM対応に焦点を絞って情報をまとめます。また、ドイツの BSI が発行している技術ガイドライン「TR-03183」を基に、CRA対応で求められる具体的なSBOMの形式要件について解説します。

リモートスキャン活用術：複数サーバのスキャン結果をグループごとに分けて管理する方法

スキャン対象サーバの数が多い場合の対処法として、リモートスキャンでスキャン結果を別々のグループにアップロードし、脆弱性を管理する方法をハンズオン形式で紹介します。

Vulsで使っている脆弱性情報を追跡しよう！

脆弱性DBとそれを構成する脆弱性データソースから脆弱性情報を追跡する方法を紹介します。

Solving CISO Headaches: CTIとリスク管理をどう連携させるか？

「CTI（脅威インテリジェンス）を導入しているのに、経営層への説得力がいまひとつ…」 「リスク管理と現場のセキュリティ対策が噛み合わず、脆弱性対応が後手に回ってしまう…」 そんなお悩みを抱えるCISOやセキュリティ担当者に向け、本記事ではCTIとサイバーリスク管理の連携ノウハウを解説します。脆弱性優先度付け、ランサムウェア対策、サプライチェーンリスクなど、具体的な事例を交えながら、経営層を納得させるリスク評価と最適な防御策を同時に実現する方法をご紹介します。

脆弱性管理は“組織改革”から──ツール任せにしない運用の秘訣

脆弱性管理というと「スキャンしてパッチを当てる」作業ばかりに目がいきがちですが、実は組織全体でテクノロジーを「どのように運用・改善し続けるか」が成功のカギです。なぜアセット管理やCVSSスコアだけでは不十分なのか、どうすればレガシー環境や経営層・現場を巻き込んで抜本的にリスクを減らせるのか。本記事ではSANS Institute講師のウェブキャストをもとに、脆弱性管理に“組織改革”の視点を取り入れるポイントを解説していきます。

WordPressの脆弱性を管理！コア、プラグイン、テーマの脆弱性を検知する方法

サーバにインストールされているWordPressコア、プラグイン、テーマの一覧を取得し、脆弱性を検知するスキャンの設定方法をハンズオン形式で紹介します。

Linuxサーバの脆弱性を一元管理！OS、ミドルウェア、ライブラリに対応

Linuxサーバの資産情報に潜む脆弱性を網羅的に検知し、FutureVulsでまとめて管理する方法をご紹介します。

脆弱性管理の視点で考える 情報セキュリティ10大脅威 2025

「脆弱性の放置はサイバー攻撃の温床」——2025年1月30日にIPAから発表された最新の「情報セキュリティ10大脅威」には、ランサム攻撃やサプライチェーンリスクなど、組織を揺るがす多様な脅威が並びました。本記事では、脆弱性管理の視点から10項目それぞれを解説し、2024年に実際に報告された事例（利用されたCVE-IDを含む）やFutureVulsを用いた具体的対策を紹介します。

【解説】ソフトウェア・サプライチェーンリスク管理と調達におけるセキュリティフレームワーク ASF の紹介 ──実務に役立つポイントを整理

米国DoDの調達事例をベースにしたサプライチェーンセキュリティの重要性を、日本国内の企業システムや製造業に置き換えて解説。SBOMの現状や脆弱性管理の実情、具体的な事例（F-35やOSSコミュニティなど）を掘り下げます。なお、日本固有の事情は筆者による補足であり、動画内で言及されていない部分も含みます。

EPSS (Exploit Prediction Scoring System) 徹底解説 ～相互運用からデータソース、機械学習モデルまで～

脆弱性管理において「本当に攻撃されるリスクを可視化したい」——そんなニーズから生まれたのがEPSS (Exploit Prediction Scoring System) です。「CVSS のスコアは高いけれど、実際にどのくらい攻撃されやすいのか分からない」「優先度を付けたいけれど修正すべき脆弱性が多すぎる」——企業のセキュリティ担当者が日々抱えるこうした課題を解決する鍵として、近年注目を集めています。本記事では、EPSS の基本的な概要から、従来の CVSS との違い、データパートナーの役割、機械学習モデルの仕組み、さらに具体的な導入上の注意点まで、これまでにないほど詳しく解説します。攻撃の「深刻度」だけでなく「実際に攻撃される確率」を加味することで、限られたセキュリティリソースを最大限に活かす新しい脆弱性管理のアプローチを一緒に見ていきましょう。

SSVCを使いこなそう 〜CISA × CERT/CCが提案する効率的な優先度付けフレームワーク〜

「CVSSスコアはHigh。でも本当に自社にとって“最優先”なのでしょうか？」 日々発表される膨大な脆弱性のなかで、企業が限られたリソースを最大限に活用し、的確に対処するためには、“誰がどんな視点で”評価するかが重要になります。そこで注目されているのが **SSVC (Stakeholder-Specific Vulnerability Categorization)**。アメリカの政府機関 CISA と CERT/CC が共同で開発し、すでに2020年から運用実績を蓄積しているフレームワークです。 本記事では、継続的な脆弱性管理SaaS「[FutureVuls](https://vuls.biz)」の視点を交えつつ、YouTubeの公式トレーニング動画を参考にSSVCを詳しく解説します。組織内の役割やリスク許容度に合わせた優先度付けを知りたい方は、ぜひ最後までご覧ください！

“ゼロデイ”だけじゃない！ランサムウェア・キャンペーンで狙われる既知の脆弱性と実践対策 | CODEBLUE 2024

近年、ランサムウェアによる被害が後を絶ちません。しかも攻撃に使われるのは、最新の「ゼロデイ」だけではありません。古くから知られていながら放置されている脆弱性が、攻撃者にとっては“格好の獲物”になっています。本記事では、ランサムウェア・キャンペーンが狙う既知の脆弱性と、すぐに取り組める実践的対策について、具体例を交えながら解説します。企業や組織のセキュリティ対策を一歩先へ進めるヒントに、ぜひお役立てください。

脅威となるサイバー攻撃・ランサムウェアに備える脆弱性対策とは | CODEBLUE 2024

大規模インシデントの最前線では、何が起きているのか――。年々巧妙化するサイバー攻撃やランサムウェアの実態を、【前編】では実際の事例とともに解説します。CODEBLUE 2024のセッションで注目を集めた、攻撃者の侵入手口や初動対応の“リアルな現場”を知ることで、企業や組織が取るべき効果的な対策が見えてきます。後編とあわせて、最新の脆弱性管理や防御策を学ぶきっかけにぜひお役立てください。

エンドユーザーが直面するSBOMの現状：現在のSBOMを取り巻く現実世界の課題と解決策

SBOM（Software Bill of Materials）はソフトウェアのセキュリティやコンプライアンス管理において重要な役割を果たしますが、エンドユーザー視点ではまだ多くの課題が存在します。本記事では、SBOMの最新動向と課題解決に向けたアプローチ、そしてFutureVulsが提供する実用的なソリューションについて解説します。

【解説】あなたのCI/CDパイプラインは脆弱？GitHub Actionsのコマンドインジェクションのデモとベストプラクティス

ソフトウェア開発を効率化するうえで欠かせない CI/CD パイプラインですが、実は コマンドインジェクション や カスタムアクションを介したサプライチェーン攻撃 など、見過ごされがちなセキュリティリスクをはらんでいることをご存じでしょうか。特に GitHub Actions のように世界中で広く利用されているプラットフォームは攻撃者の標的になりやすく、万が一侵害されれば GitHub Token を通じてリポジトリ全体を乗っ取られる危険性もあります。本記事では、CI/CD に潜む脆弱性と対策のポイントをやさしく解説します。

SSVC v2.1徹底解説：脆弱性対応フレームワークの変更点と進化

脆弱性対応の優先度を決定するフレームワーク「SSVC（Stakeholder-Specific Vulnerability Categorization）」の最新版であるv2.1が2023年7月にリリースされました。このバージョンでは、判断基準がシンプル化されるとともに、リスク評価の精度が向上しています。FutureVulsもv2.1に対応し、設定の簡便化と運用効率の向上を実現しました。本記事では、v2.1の主な変更点と、それが組織のリスク評価やFutureVulsの運用にどのような影響を与えるかを詳しく解説します。

内部と外部をつなぐ脆弱性管理｜FutureVulsでASM・Nmap・Nessusなどの診断結果を活用する方法

FutureVulsが提供する新機能で、Qualys、Nessus、Nmapなどの外部スキャン結果を簡単に取り込むことが可能になりました。APIを活用してインポート作業を自動化することで、脆弱性管理の効率を大幅に向上させる方法を紹介します。

OSS脆弱性管理の課題と解決策｜スライド・全文ログ付き解説 | SSVC,KEV,EPSS,VEXを用いた最新のリスク評価法（CSS2024招待講演）

CSS2024（コンピュータセキュリティシンポジウム2024）にてFutureVulsが招待講演を行いました。本セッションでは、OSS脆弱性スキャナVulsを通じて見えてきた脆弱性管理の課題と解決策、VEXやReachabilityを用いたノイズ削除手法、SSVCやKEV,EPSSなどを活用した最新のリスク評価手法について解説しました。スライドと全文ログも公開していますので、ぜひご覧ください。

Security Days Fall 2024東京 | ランサムウェア対策と脆弱性管理の最新ソリューションを紹介

FutureVulsは、2024年10月22日から25日まで開催されたSecurity Days Fall 2024東京にプラチナスポンサーとして参加し、ブース出展と講演を行いました。講演では、最新のランサムウェア対策と脆弱性管理手法について具体的な解決策を紹介し、展示ブースではSSVCを用いたトリアージやSBOM対応など、現場での課題解決に向けた多彩なソリューションを提案しました。

Vuls祭り#10 | 脆弱性管理の最前線 〜リスク評価からSSVC、VEX、AIまで〜を開催しました

Vuls祭りの運営を務めました、平井です！ 2024年8月20日(火)に第10回目となるVuls祭りを開催いたしました。 今回は「脆弱性管理の最前線 〜リスク評価からSSVC、VEX、AIまで〜」をテーマに、実に140名以上の方にお申込みいただき、オフラインイベントならではの熱い交流と知見の共有が行われました！ 本記事ではVuls祭り#10の内容をまとめていこうと思います！

Vulsまつり#10 | 「残業？来週でOK?」金曜午後の脆弱性対応判断に使えるSSVCのデモ

Vulsまつり#10では、脆弱性管理の最新技術をテーマに、多くの参加者が集まりました。その中でも注目を集めたのが、SSVC（Stakeholder-Specific Vulnerability Categorization）を使ったデモです。この記事では、そのデモをもとに、金曜日の午後にも効率的に脆弱性対応判断を行うための方法をご紹介します。

regreSSHion (CVE-2024-6387) の脆弱性で見る FutureVuls での脆弱性管理

本ブログでは、最新のOpenSSHの脆弱性（CVE-2024-6387）に対する効果的な対応方法について解説します。特に、脆弱性管理ツールFutureVulsを使用することで、どのように迅速かつ効率的に脆弱性を検知し対応できるかを詳しく説明します。

SSVC DeepDive | 「ジョーシストーーク 脆弱性祭り～脆弱性の全体像と付き合い方～」

2024年7月8日に開催された「ジョーシストーーク 脆弱性祭り～脆弱性の全体像と付き合い方～」のセッション「SSVC DeepDive」の内容です。https://cloudnative.co.jp/event/josystalk202406 パッチの適用順序は、CVSSの高い脆弱性から。これでは実際の運用は回せません。SSVCは、攻撃者目線を取り入れた脆弱性評価フレームワークで、米国政府でも採用されています。本セッションでは、SSVCを活用することで、どのように脆弱性管理が改善されるのかを徹底解説します。CVSSだけでは不十分な方に必見の内容です。