『OSS脆弱性管理入門・ビズリーチのOSS脆弱性管理とその運用事例』に参加してきたまとめ

## 概要
2019/12/24に開催された[OSS脆弱性管理入門・ビズリーチのOSS脆弱性管理とその運用事例](https://yamory.connpass.com/event/159526/)に参加し、[yamory](https://yamory.io/)についてのまとめです。

### 前提

上記リンク先のイベントページに記載されている内容を把握した前提でまとめていきます。

## yamory


### 主機能

* S[BOM](https://techfactory.itmedia.co.jp/tf/articles/1806/20/news001.html)（ソフトウェア詳細）の作成する
* 脆弱性・PoCの発生を確認する


### 背景

<blockquote class="twitter-tweet"><p lang="ja" dir="ltr">2009年から始まったビズリーチさんの中でいろんな課題があった中、セキュリティ関連を対応する際に作られたツールが <a href="https://twitter.com/hashtag/yamory?src=hash&amp;ref_src=twsrc%5Etfw">#yamory</a> だったとのこと👀</p>&mdash; gremito #ものラジ CSM® フリーランス (@grem_ito) <a href="https://twitter.com/grem_ito/status/1209370996144099329?ref_src=twsrc%5Etfw">December 24, 2019</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>

　  
また、特許申請しているとのこと。

> サイバー攻撃の危険度などをもとに、対応優先度を分類（オートトリアージ機能 ※特許出願中）
> 詳細: [オープンソース脆弱性管理ツール「yamory（ヤモリー）」をリリース](https://www.bizreach.co.jp/pressroom/pressrelease/2019/0827.html)


## 話題

### サービス・ツールなど

説明会中に参加者や主催サイドで出てきた用語のまとめです。

* [Nessus](https://jp.tenable.com/products/nessus/nessus-professional)
* [tenable](https://jp.tenable.com/)
* [Qualys](https://www.ubsecure.jp/products/qualys)
* [SAS](https://www.sas.com/ja_jp/software/fraud-security-intelligence.html)
* [dust](https://dustidentity.com/)
* [Black Duck](https://www.synopsys.com/ja-jp/software-integrity/security-testing/software-composition-analysis.html)


### ニュース・トレンドなど

説明会の資料の内に紹介された話題のまとめです。

* OWASP Top10
    * [OWASP Top 10 Webアプリケーション・セキュリティ・リスク](https://www.synopsys.com/blogs/software-security/ja-jp/owasp-top-10-application-security-risks/)
    * [ウェブセキュリティで注目が高まる「OWASP Top10」](https://japan.zdnet.com/article/35116378/)
* [2019 vulnerability statistics report - Edgescan](https://www.edgescan.com/wp-content/uploads/2019/02/edgescan-Vulnerability-Stats-Report-2019.pdf)
* [カード情報など約72万件が漏えいか。決済代行のGMOペイメントゲートウェイ](https://netshop.impress.co.jp/node/4094)
* CVE-2019-11043
    * [PHP-FPMに含まれるリモートコード実行に関する脆弱性（CVE-2019-11043）についての検証レポート](http://www.intellilink.co.jp/article/vulner/191106.html)
    * [CVE-2019-11043：PHP-FPMにおける脆弱性により、nginxでリモートから任意のコードが実行される可能性あり](https://jp.tenable.com/blog/cve-2019-11043-vulnerability-in-php-fpm-could-lead-to-remote-code-execution-on-nginx)
    * [【検証】PHPのコマンド実行の脆弱性を悪用する攻撃通信の検知 (CVE-2019-11043)](https://www.secure-sketch.com/blog/verify-php-command-execution-vulnerability)
* CVSS
    * [共通脆弱性評価システムCVSS概説](https://www.ipa.go.jp/security/vuln/CVSS.html)
    * [共通脆弱性評価システムCVSS v3 (新バージョン)での評価の開始について](https://www.ipa.go.jp/security/vuln/SeverityLevel3.html)

### アンケートで聞かれたテストの種類

* [ペネトレーションテスト](https://www.lac.co.jp/service/consulting/penetration_test.html)
* [STA](http://www.intellilink.co.jp/security/products/solution/safenet-verification.html#SafeNet_Trusted_Access)
* [SAST](https://www.synopsys.com/ja-jp/software-integrity/resources/knowledge-database/static-application-security-testing.html)
* [DAST](https://www.f5.com/ja_jp/services/resources/glossary/dynamic-application-security-testing-dast)


## プラン

* 無料プランあり（個人向け）
* 有料プラン通常：**20万/月**
* 採用実績可の場合
    * 最初の1年間のみ：**5万/月**


## Q＆A

### CLIの対応について

[現在の対応サポート](https://yamory.io/docs/)でビルドしないとDependenceが分からない言語・フレームワークに関しては、用意しているCLIツールの対応が必要である。
CLIツールは`curl`コマンドを使ったコマンドラインを診断したいサーバ内で実行する必要がある。

もし、Dependenceの情報が全てGitHub上で管理されているのであれば、GitHub連携で対応可能である。


### CLIに問題があったときにどのくらいの温度感で対応してもらえるのか？

その都度、個別対応になるためその時にならないと分からない。


### 提示されている契約内容で読み取れない部分がある

有料プランの契約の際に個別契約を結ぶことが可能である。


## 感想

すぐに扱えることはできず、案件の要件によって対応できるできないが決まってしまうことがわかりました。

契約内容ちゃんと確認しないと情報をyamoryに取られる可能性もあるためちゃんと個別契約を結ぶ温度感で対応が必要って感じがしました。

気になっている点は、CLIツールがあるというものの実態は`curl`コマンドベースで用意されているコマンドラインであるため、ネットワークのセキュリティ対策を先にやられている案件（例えばGitLabやLDAPなど）では、その都度コミュニケーションが必要になるためコストが高くなってしまい採用しずらいと感じました。

有料プランも高いため個人開発にも導入しずらく、コミュニケーションコストをある程度許容できるのであれば採用できそうなサービスでした。