５．IPAの脆弱性対策支援ツール等紹介

Copyright © 2024 独立行政法人情報処理推進機構

0脆弱性情報の効率的な収集①
 脆弱性対策情報データベース JVN iPedia
https://jvndb.jvn.jp/- 国内外30,000件以上の製品の脆弱性情報を日本語で提供- 日付、ベンダ、製品、キーワード等で検索可能- CVSSに基づく深刻度（CVSS基本値）も記載

Copyright © 2024 独立行政法人情報処理推進機構

1

必要な情報の効率的な収集②
 MyJVN バージョンチェッカ

https://jvndb.jvn.jp/apis/myjvn/vccheckdotnet.html- PCにインストールされているソフトウェア製品のバージョンが最新のものか、簡単な操作で確認可能

 Adobe Reader、JRE、Google
Chrome等、多く利用されている12種類のソフトウェア製品についてチェック可能
チェック結果詳細情報

Copyright © 2024 独立行政法人情報処理推進機構

2

必要な情報の効率的な収集③
 icat for JSONhttps://www.ipa.go.jp/security/vuln/icat.html-

HTMLタグを埋め込むことで、IPAが発信する「重要なセキュリティ情報」を自社のイントラにリアルタイムに表示 「重要なセキュリティ情報」は、インターネット利用者に広く影響を及ぼす危険なセキュリティ上の問題が対象
 Microsoft、Adobe、Oracle製品など、企業内でも利用度の高い製品について多く発信
重要なセキュリティ情報とはhttps://www.ipa.go.jp/security/security-alert/about.html

Copyright © 2024 独立行政法人情報処理推進機構

3

必要な情報の効率的な収集④
 サーバ用オープンソースソフトウェアに関する製品情報およびセキュリティ情報
https://www.ipa.go.jp/security/vuln/oss/sw_security_info.html-広く利用されているオープンソースソフトウェアのバージョン情報やセキュリティ情報を掲載-対象ソフトウェア
Apache Struts, ISC BIND, Joomla!, OpenSSL, WordPress 等

Copyright © 2024 独立行政法人情報処理推進機構

4

映像コンテンツのご紹介 本日説明した内容相当の動画をYouTubeでも公開しています
https://www.youtube.com/playlist?list=PLi57U_f9scIKfSpnABcnhcOHXJ5XZHEuv

他にもIPAではセキュリティに関する映像コンテンツを公開しています
https://www.ipa.go.jp/security/videos/list.html
Copyright © 2024 独立行政法人情報処理推進機構

5

情報収集先例

Copyright © 2024 独立行政法人情報処理推進機構

6注意喚起サイト①
 IPA：重要なセキュリティ情報

https://www.ipa.go.jp/security/security-alert/index.html
 IPAが公表する注意喚起情報
 マイクロソフト・オラクル・アドビ製品等利用者が多く存在するソフトウェアの脆弱性対策情報を掲載
 悪用有無を「緊急」「注意」で確認可能

 下記サービス・ツールでも入手可能
・サイバーセキュリティ注意喚起サービス「icat for JSON」
・Twitter 「ICATalerts」
Copyright © 2024 独立行政法人情報処理推進機構等
7注意喚起サイト②
 JVN (Japan Vulnerability Notes)
https://jvn.jp/

 JPCERT/CC、IPAが運営する「脆弱性対策情報ポータルサイト」
 「情報セキュリティ早期警戒パートナーシップ」制度に基づいて報告され調整された脆弱性対策情報を掲載
 CERT/CC など海外の調整機関と連携した脆弱性対策情報を掲載

Copyright © 2024 独立行政法人情報処理推進機構

8注意喚起サイト③
 JPCERT/CC 注意喚起③https://www.jpcert.or.jp/at/2024.html
 JPCERT/CCが公表する注意喚起
情報 深刻且つ影響範囲の広い脆弱性などに関する情報を掲載
 情報システムや制御システムに関わる端末やネットワークの構築・運用管理業務、組織内CSIRT業務、セキュリティ関連業務などに関与する担当者、技術者、研究者等が対象
 官公庁系を含めて国内で広く参照されている

Copyright © 2024 独立行政法人情報処理推進機構

9注意喚起サイト④
 警察庁：@police セキュリティポータル

https://www.npa.go.jp/bureau/cyber/koho/detect.html
 警察庁が公表する注意喚起情報
 全国の警察施設のインターネット接続点に設置されたセンサーで観測したアクセス状況などを掲載
 攻撃の事前準備として行われるサーバの稼働状況確認や脆弱性の有無の確認、脆弱性を悪用したコマンドの試行情報などを掲載

Copyright © 2024 独立行政法人情報処理推進機構

10注意喚起サイト⑤
 米国：CISA(Cybersecurity and Infrastructure Security Agency)
https://www.cisa.gov/

 アメリカの行政機関のひとつであり、米国土安全保障省の外局
 制御システム向け勧告（ICSadvisory）等を掲載
 2023年２月24日にUS-CERTとICS-CERTが廃止となり、CISAに統合

Copyright © 2024 独立行政法人情報処理推進機構

11

脆弱性関連情報データベース①
 NVD(National Vulnerability Database)https://nvd.nist.gov/

 米国標準技術研究所（NIST）が運営
 CVEで管理されている
 DB検索機能、統計機能を備える
 約22万件の脆弱性対策情報を登録（2024年2月時点）
 JVN iPediaの情報元の1つ

Copyright © 2024 独立行政法人情報処理推進機構

12

脆弱性関連情報データベース②
 Vulnerability Notes Database
https://www.kb.cert.org/vuls/

 カーネギーメロン大学のソフトウェア工学研究所CERT/CCが運営
 CSIRTとして収集・発見した脆弱性情報を公開
 DB検索機能を備え、公開日やCVSS情報などで並び替えも可能
 世界で初めてCERT/CCが設置された

Copyright © 2024 独立行政法人情報処理推進機構

13

製品ベンダーサイト①
 定例アップデート提供

 マイクロソフト （毎月第2火曜日 更新）

https://msrc.microsoft.com/blog/categories/japan-security-team/ オラクル （年4回 1月,4月,7月,10月）
https://www.oracle.com/security-alerts/ クライアント系

 アドビ （Adobe Reader など）

https://helpx.adobe.com/jp/security.html

 Mozilla （Firefox/Thunderbird など）

https://www.mozilla.org/en-US/security/advisories/

 Google(Google Chrome)https://chromereleases.googleblog.com/

 アップルhttps://support.apple.com/ja-jp/HT201222

Copyright © 2024 独立行政法人情報処理推進機構

14

製品ベンダーサイト②
 サーバ、ネットワーク製品系

 シスコ – セキュリティアドバイザリ

https://tools.cisco.com/security/center/publicationListing.x

 日立 –セキュリティ情報

http://www.hitachi.co.jp/hirt/security/index.html

 IBM –Security Intelligence

https://www.ibm.com/blogs/security/jp-ja/

 Red Hat

https://rhn.redhat.com/

Copyright © 2024 独立行政法人情報処理推進機構

15

製品ベンダーサイト③
 オープンソース系

 Apache Foundation

・Apache HTTP Server
https://httpd.apache.org/security/vulnerabilities_24.html
・Apache Tomcat
http://tomcat.apache.org/security.html

・Apache Struts

https://cwiki.apache.org/confluence/display/WW/Security+Bulletins

 ISC （Internet Systems Consortium）
・BIND

https://kb.isc.org/docs/aa-00913

 OpenSSL

https://www.openssl.org/news/vulnerabilities.html

 WordPress

https://wordpress.org/news/category/security/

Copyright © 2024 独立行政法人情報処理推進機構

16

ニュースサイト
 国内ニュースメディア

 ITmedia エンタープライズ セキュリティ

http://www.itmedia.co.jp/enterprise/subtop/security/index.html

 日経XTECH セキュリティ

https://tech.nikkeibp.co.jp/theme/security/

 海外ニュースメディア

 ComputerWorld Security （米国中心）

http://www.computerworld.com/category/security/ The Register Security （英国・欧州中心）
https://www.theregister.com/security/

Copyright © 2024 独立行政法人情報処理推進機構

17

攻撃情報①
 Exploit Database

https://www.exploit-db.com/

 Offensive Securityが運営する脆弱性の攻撃コード（exploit）の有無を確認できるデータベース
 ペネトレーションテスターや研究者向け

Copyright © 2024 独立行政法人情報処理推進機構

18

攻撃情報②
 Metasploit

https://www.metasploit.com/

 Rapid7が運営する脆弱性の攻撃コード（exploits）をモジュールとして提供しているデータベース
 ペネトレーションテスターや研究者向け

Copyright © 2024 独立行政法人情報処理推進機構

19

脅威・動向に関する情報意図せずインターネット上に晒されている機器があるかも？

 SHODAN

https://www.shodan.io/
 インターネットにつながっているコンピュータ機器の検索エンジン
 サーバ、制御機器、オフィス機器など、5億台以上の情報を格納
 認証が弱い機器や古いバージョンのまま運用している機器など、セキュリティに問題がある機器も見つけることが可能
 攻撃者は、攻撃の侵入口となり得る脆弱な機器を探すのに当サイトを使っていると言われている

Copyright © 2024 独立行政法人情報処理推進機構

20

最後に脆弱性対策は日々の情報収集とタイムリーな対策が重要です。
自組織にとって危険な脆弱性を放置しないよう、適切な対応を行いましょう。

Copyright © 2024 独立行政法人情報処理推進機構

21

セミナーに対する質問等について本セミナーに対するアンケートの回答にご協力をお願いいたします。
「https://info.ipa.go.jp/form/pub/survey/isec-seminar」
受付期限：2023年3月31日までとなっております

本セミナーに関する質問等は以下メールアドレスにご連絡ください。

「isec-labsemi-scap@ipa.go.jp」
Copyright © 2024 独立行政法人情報処理推進機構

22

Copyright © 2024 独立行政法人情報処理推進機構

23