JVNにおけるSCAP活用について
JVN: Japan Vulnerability Notes
SCAP: Security Content Automation Program
独立行政法人 情報処理推進機構 (IPA)
セキュリティセンター 研究員
JPCERTコーディネーションセンター
専門委員
寺田真敏
2010年10月13日
1
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

目次
1. JVN脆弱性対策機械処理基盤
2. MyJVNフレームワークでのSCAP利用
3. 参考情報：SCAPの概要

2
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

ＪＶＮ脆弱性対策機械処理基盤＝（JVN＋JVN iPedia） × MyJVN＝ ＭｙＪＶＮフレームワーク– ＪＶＮ＋ＪＶＮ ｉＰｅｄｉａを活用し、必要とされる新たなサービスを整備できる環境(ＭｙＪＶＮ)を準備していくことで、自動化などの効率的な脆弱性対策を目指すことのできる利活用基盤– 国際性(インターネット向け脆弱性対策情報の情報源)と地域性(日本国内向け脆弱性対策情報データベース)とを両立させたグローバルなＪＶＮ(世界に冠たるＪＶＮ)の実現

ＭｙＪＶＮフレームワークでは「セキュリティ設定共通化手順ＳＣＡＰ」を活用しています！
3
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

ＪＶＮ脆弱性対策機械処理基盤＝(国際性＋地域性)× 利活用基盤
MyJVN

バージョン
チェッカ

セキュリティ設定
チェッカ

情報セキュリティ早期 JVN
警戒パートナーシップに報告された脆弱性対策情報

共通脆弱性識別子CVEが付与されている脆弱性対策情報
Copyright © 2010 独立行政法人 情報処理推進機構

脆弱性対策
情報収集ツール

ＭｙＪＶＮ
ＭｙＪＶＮ
JVNとJVNJVNとJVN iPediaにiPediaに登録されている脆弱登録されている脆弱性対策情報を対策
性対策情報を対策実施に直結したサー実施に直結したサービスに繋げるためのビスに繋げるための仕組みを提供する。
仕組みを提供する。
ＪＶＮ
ＪＶＮ iPedia
iPedia
国内で利用されてい国内で利用されている製品を対象にしたる製品を対象にした脆弱性対策情報を脆弱性対策情報を広く蓄積する
広く蓄積するJVN iPedia
国内外で報告された
脆弱性に対する国内製品開発者の脆弱性対策情報

国内外で報告された
全ての脆弱性対策情報

ＪＶＮ
ＪＶＮ
製品開発者と調整
製品開発者と調整
した脆弱性対策情した脆弱性対策情報をタイムリーに公報をタイムリーに公開する
開する

JVN脆弱性対策
機械処理基盤

4

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

ＪＶＮ脆弱性対策機械処理基盤
Information Security Early Warning Partnership

Vulnerability Reports

Vulnerability Reports

Receive vulnerability and analyze (verify vulnerability reports)

International
Framework
CERT/CCCPNI etc.

Pass vulnerability Reports

Supporting Analysis

Coordinate with developers
and overseas agencies
Public Disclosure of Vulnerability Information
Software Developers
System Integrators

Vulnerability Countermeasure
Information Portal Site
(Vuln. Handling Coordination DB)

Notification ofvulnerability information
Website operators
Verify and implement
countermeasures

Announce incidents
Involving personal
Information disclosure

Announcement ofcountermeasures

5
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

ＪＶＮ脆弱性対策機械処理基盤
共通基準／仕様を用いて国際性と地域性とを兼ね備えたデータベースを活用する。
CVE、CPE、CWE、CVSSなど共通基準を用いたフレームワークサービス(MyJVN API)の提供
JVN(JVN#12345678)
Vulnerability Handling Coordination Database
日本語サイト
http://jvn.jp/
情報セキュリティ
早期警戒パートナーシップ

CERT/CCCPNI 等

英語サイト
http://jvn.jp/en/

情報セキュリティ
早期警戒パートナーシップ案件(426件)

翻訳

CERT/CC、CPNI等案件(361件)

蓄積

情報セキュリティ
早期警戒パートナーシップ案件(426件)

日本国内
製品開発者
サイト

NVD(英語)(約42,896件)
http://www.ipa.go.jp/security/vuln/report/vuln2010q2.html
http://www.ipa.go.jp/security/vuln/report/JVNiPedia2010q2.html
Copyright © 2010 独立行政法人 情報処理推進機構

JVN iPedia(JVNDB-yyyy-0123456)
Vulnerability Archiving Database
英語サイト
http://jvndb.jvn.jp/en/

日本語サイト
http://jvndb.jvn.jp/

蓄積
JVN案件
(787件)

JVN案件(441件)(計:539件)

日本国内
製品開発者案件
(98件)

翻訳

日本国内
製品開発者案件(98件)

NVD(7,561件)(計:8,446件)

2010年第2四半期の登録件数

6

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

利活用基盤整備の取り組み
脆弱性対策情報ポータルサイトJVNをベースとした利活用(機械処理)基盤の整備と共通基準／仕様の導入

第1期
対策情報
充実期

2002年 6月
2003年 2月
2003年 7月
2004年 7月
2004年7月
2004年 8月
2005年 9月
2007年 2月
2007年 4月
2008年 5月
2008年 9月

JVNプロジェクトの開始
JVN試行サイトの開設
JVNRSSフォーマットによる試行配信の開始
情報セキュリティ早期警戒パートナーシップの開始
脆弱性対策情報ポータルサイト JVN 開設
利活用(機械処理)基盤に関する検討開始
JVNRSSフォーマットによる配信の開始
共通脆弱性評価システム(CVSS)
脆弱性対策情報データベース JVN iPedia 開設
JVN 英語サイト、JVN iPedia 英語サイトの開設
共通脆弱性タイプ一覧(CWE)、 CＷE互換宣言
7

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

利活用基盤整備の取り組み
脆弱性対策情報ポータルサイトJVNをベースとした利活用(機械処理)基盤の整備と共通基準／仕様の導入
2008年10月

第2期
利活用
基盤整備
・
共通基準
導入期

2009年 4月
2009年11月
2009年12月

2010年 1月
2010年 2月
2010年 6月
Copyright © 2010 独立行政法人 情報処理推進機構

脆弱性対策情報共有フレームワーク “MyJVN” の開始
MyJVN脆弱性対策情報収集ツールのリリース
共通プラットフォーム一覧(CPE)
共通脆弱性識別子(CVE)
製品開発者の発信する脆弱性対策情報の自動収集の試行開始
MyJVNバージョンチェッカのリリース
セキュリティ検査言語(OVAL)MyJVNセキュリティ設定チェッカのリリース
セキュリティ設定チェックリスト記述形式(XCCDF)
共通セキュリティ設定一覧(CCE)
CVE互換取得(JVN、JVN iPedia、MyJVN)
MyJVN API 公開
MyJVN - VRDA 連携、JPCERT/CC CNA認定取得

8

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNフレームワークでのSCAP利用•

運用面– CWE互換宣言(2008年10月3日)– CVE互換取得(JVN、JVN iPedia、MyJVN)(2010年1月5日)– CNA(CVE Numbering Authority)認定取得(2010年6月24日)

9
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNフレームワークでのSCAP利用
•

技術面
a.
b.
c.
d.
e.
f.
g.
h.
i.

脆弱性対策情報ポータルサイト JVN
脆弱性対策情報DB JVN iPedia
CVSS 計算ソフトウェア多国語版
MyJVN APIMyJVN脆弱性対策情報収集ツール
MyJVN - JPCERT/CC VRDA 連携MyJVNバージョンチェッカ
MyJVNセキュリティ設定チェッカ
Official CPE Dictionary 連携に向けて試行活動

10
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

脆弱性対策情報ポータルサイト JVN
http://jvn.jp/• 製品開発者と調整した脆弱性対策情報をタイムリーに公開する。

脆弱性対策情報の「関連文書」セクションにCVE番号を記載
Copyright © 2010 独立行政法人 情報処理推進機構

11

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

脆弱性対策情報ＤＢ JVN iPedia
http://jvndb.jvn.jp/• 国内で利用されている製品を対象にした脆弱性対策情報を広く蓄積する。

脆弱性対策情報の「CVSSによる深刻度」「参考情報」セクションにCVSS基本値、
CVE番号、CWE番号を記載
Copyright © 2010 独立行政法人 情報処理推進機構

12ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

脆弱性対策情報ＤＢ JVN iPedia
http://jvndb.jvn.jp/• 国内で利用されている製品を対象にした脆弱性対策情報を広く蓄積する。

JVNDBRSSファイルの中に、脆弱性の影響を受ける製品のCPE名を記載
Copyright © 2010 独立行政法人 情報処理推進機構

13

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CVSS 計算ソフトウェア多国語版
http://jvndb.jvn.jp/cvss/• 脆弱性対策情報の利活用にあたり、CVSSの普及を図る。

14
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVN API
http://jvndb.jvn.jp/apis/•

JVN iPediaを活用し、新たなサービスを準備できる環境を整備する。
– JVN iPediaの情報を、Webを通じて利用するためのソフトウェアインタフェース
HTML

HTML
変換モジュール

HTML

ユーザ側でのツール開発も可能
フィルタリング型情報提供⇒ MyJVN脆弱性対策
情報収集ツール⇒ JPCERT/CC VRDA連携

検査データ提供⇒ MyJVNバージョンチェッカ⇒ MyJVNセキュリティ設定チェッカ

JVNRSS/VULDEFXMLMyJVNバージョン1
MyJVNバージョン1RSS

MyJVN API
モジュール

JVN
DB

CPE
DB

SWF

OVAL

MyJVNバージョン2
MyJVNバージョン2
MyJVN API
モジュール

JAR

MyJVN API
Copyright © 2010 独立行政法人 情報処理推進機構

JVN
JVN iPedia
iPedia (既存部)
(既存部)

OVAL
DB
15

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVN API (フィルタリング型情報提供)
http://jvndb.jvn.jp/apis/•

JVN iPediaを活用し、新たなサービスを準備できる環境を整備する。
– JVN iPediaの情報を、Webを通じて利用するためのソフトウェアインタフェース– フィルタリング型情報提供では、脆弱性対策情報を使用するためのAPIを規定– リクエストURLの基本構成
http://jvndb.jvn.jp/myjvn?method=メソッド&パラメタ

メソッド名称

概要

製品提供者一覧取得
getVendorList

フィルタリング条件に該当する製品提供者一覧をXML形式で取得する製品一覧取得getProductList

フィルタリング条件に該当する製品一覧をXML形式で取得する

脆弱性対策概要情報一覧取得
getVulnOverviewList

フィルタリング条件に該当する脆弱性対策情報の概要一覧をJVNRSS形式で取得する脆弱性対策詳細情報取得
getVulnDetailInfo

フィルタリング条件に該当する脆弱性対策詳細情報を
VULDEF形式で取得する
16

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVN API (フィルタリング型情報提供)
http://jvndb.jvn.jp/apis/•

JVN iPediaを活用し、新たなサービスを準備できる環境を整備する。
– JVN iPediaの情報を、Webを通じて利用するためのソフトウェアインタフェース– 脆弱性対策情報の記述粒度を考慮し、概要記述向けと詳細記述向けXMLフォーマットを規定
MyJVN API
脆弱性対策詳細情報取得
getVulnDetailInfo
概要フォーマット
タイトル
応答フォーマットJVNRSS 2.0= RSS1.0+mod_sec

MyJVN API
脆弱性対策概要情報一覧取得
getVulnOverviewList
応答フォーマット
Copyright © 2010 独立行政法人 情報処理推進機構

概要
影響を受けるシステム

詳細フォーマット

想定される影響

VULDEF

対策
攻撃活動
参考情報

17

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVN API (検査データ提供)
http://jvndb.jvn.jp/apis/•

JVN iPediaを活用し、新たなサービスを準備できる環境を整備する。
– JVN iPediaの情報を、Webを通じて利用するためのソフトウェアインタフェース– 検査データ提供では、OVAL定義データ(チェックするための手続きが記載されたXMLファイル)を使用するためのAPIを規定– リクエストURLの基本構成
http://jvndb.jvn.jp/myjvn?method=メソッド&パラメタ
メソッド名称概要

OVAL定義一覧取得
getOvalList

フィルタリング条件に該当するOVAL定義一覧をXML形式で取得する

OVAL定義データ取得
getOvalData

該当するOVAL定義データをOVAL形式で取得するチェックリスト取得
getXccdfCheckList

該当するチェックリストをXCCDF形式で取得する

18
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVN脆弱性対策情報収集ツール
http://jvndb.jvn.jp/apis/myjvn/mjcheck.html•

製品視点から脆弱性対策情報を選別可能なフレームワークを整備する。
– JVN iPediaの情報を、利用者が効率的に活用できるように、製品視点のフィルタリング条件設定機能を有した脆弱性対策
情報収集ツール– 利用者に関係する製品視点の脆弱性対策情報のみの表示する。

CPE名を記載した
概要フォーマットJVNRSS 2.0を活用

http://jvndb.jvn.jp/myjvn?method=getVulnOverviewList&cpeName=cpe:/*:fujitsu:*&
rangeDatePublic=n&rangeDatePublished=n&rangeDateFirstPublished=n&lang=en 19
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVN - JPCERT/CC VRDA 連携
http://www.jpcert.or.jp/vrdafeed/•

脆弱性対策情報サービス同士が連携可能なフレームワークを整備する。
– MyJVN APIを利用したVRDA(Vulnerability Response
Decision Assistance)フィードの配信
脆弱性対応のための 一般的なフィードリーダや
意志決定支援システム
WebブラウザKENGINEJPCERT/CCMyJVN 脆弱性対策
情報収集ツール
VRDAフィード

IPA

VRDAプロバイダ変換
データフィードの変換と統合

MyJVN API
getVendorList
getVulnOverviewList

RSSフィード

getProductList
getVulnDetailInfo
日本語化2010年第2四半期の
登録件数

JVN案件
(787件)

日本国内製品開発者案件(98件)

Copyright © 2010 独立行政法人 情報処理推進機構

NVD日本語版(7,561件)

NVD
脅威分析済の脆弱性対策情報20

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNバージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/index.html#VCCHECK•

マルチベンダ環境において、ソフトウェア製品の脆弱性対策チェックのフレームワークを整備する。
– 利用者のPCにインストールされているソフトウェア製品のバージョンが最新であるかを、 簡単な操作で確認するツール(1)チェックリストを作成する。
(1)チェックリスト画面を作成する。
(2)バージョンをチェックする。
(2)バージョンをチェックする。
21
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNバージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/index.html#VCCHECK•

マルチベンダ環境において、ソフトウェア製品の脆弱性対策チェックのフレームワークを整備する。
– 利用者のPCにインストールされているソフトウェア製品のバージョンが最新であるかを、 簡単な操作で確認するツール(1)チェックリストを作成する。
MyJVNバージョンチェッカでは、製品名を記載したチェックリスト作成にあたり、CPE名を利用
Copyright © 2010 独立行政法人 情報処理推進機構

22

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNバージョンチェッカ
http://jvndb.jvn.jp/apis/myjvn/index.html#VCCHECK•

マルチベンダ環境において、ソフトウェア製品の脆弱性対策チェックのフレームワークを整備する。
– 利用者のPCにインストールされているソフトウェア製品のバージョンが最新であるかを、 簡単な操作で確認するツール– チェックリストに基づき、バージョンが最新であるかどうかのチェックを手作業ではなく、ツールにより作業を自動化する。

(2)バージョンをチェックする。
MyJVNバージョンチェッカでは、製品のバージョンチェックにOVALを利用
Copyright © 2010 独立行政法人 情報処理推進機構

23

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNセキュリティ設定チェッカ
http://jvndb.jvn.jp/apis/myjvn/index.html#CCCHECK•

設定に関する脆弱性対策チェックのフレームワークを整備する。
– 利用者のPCの設定を簡単な操作で確認するツール– チェックリストに基づき、設定が適切かどうかのチェックを手作業ではなく、ツールにより作業を自動化する。

(1)チェックリストを作成する。
(2)設定をチェックする。
24
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNセキュリティ設定チェッカ
http://jvndb.jvn.jp/apis/myjvn/index.html#CCCHECK•

設定に関する脆弱性対策チェックのフレームワークを整備する。
– 利用者のPCの設定を簡単な操作で確認するツール– チェックリストに基づき、設定が適切かどうかのチェックを手作業ではなく、ツールにより作業を自動化する。

(1)チェックリストを作成する。
MyJVNセキュリティ設定チェッカでは、設定項目を記載したチェックリスト作成
にあたり、CCEとXCCDFを利用
Copyright © 2010 独立行政法人 情報処理推進機構

25

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

MyJVNセキュリティ設定チェッカ
http://jvndb.jvn.jp/apis/myjvn/index.html#CCCHECK•

設定に関する脆弱性対策チェックのフレームワークを整備する。
– 利用者のPCの設定を簡単な操作で確認するツール– チェックリストに基づき、設定が適切かどうかのチェックを手作業ではなく、ツールにより作業を自動化する。

(2)設定をチェックする。
MyJVNセキュリティ設定チェッカでは、設定項目のチェックにOVALを利用
26
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

Official CPE Dictionary 連携(試行)
http://nvd.nist.gov/cpe.cfm• MyJVN CPE DBと米NIST NVD CPE DB “Official CPE Dictionaryとの連携(国内製品のCPE名、日本語名の登録)を通して、
CPE名の整合性を確保する)。

NVD
CPE DBMyJVN
CPE DB
27

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

Official CPE Dictionary 連携(試行)
http://nvd.nist.gov/cpe.cfm• MyJVN CPE DBと米NIST NVD CPE DB “Official CPE Dictionaryとの連携(国内製品のCPE名、日本語名の登録)を通して、
CPE名の整合性を確保する)。

NVD
CPE DBMyJVN
CPE DB
28

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

まとめ
MyJVNでは、今後も共通基準／仕様の導入を進めながら、国際性(インターネットにおける脆弱性対策情報の情報源)と地域性(日本
国内向けの脆弱性対策情報データベース)とを両立させたグローバ
ルなＪＶＮ(世界に冠たるＪＶＮ)を実現していく予定です。

http://jvndb.jvn.jp/apis/myjvn/

29
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

参考情報：SCAPの概要

30
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

米国政府の推進するSCAPとは•

米国では、 2002年のFISMA(Federal Information Security Management Act：連邦情報セキュリティマネジメント法)の施行以降、セキュリティ規格やガイドライン
に従い、情報システムにセキュリティ要件を反映する活動を推進している。
【 課題 】
セキュリティ設定に関する作業を手作業でセキュリティ設定に関する作業を手作業で行なうと、設定ミスや設定者のセキュリティ
行なうと、設定ミスや設定者のセキュリティ
知識の程度や判断の相違などによりセキュ知識の程度や判断の相違などによりセキュ
リティ要件を損なう可能性大
リティ要件を損なう可能性大連邦政府システムのベースラインのセキュ
連邦政府システムのベースラインのセキュ
リティを確保しつつ、ヘルプデスクおよび
リティを確保しつつ、ヘルプデスクおよびパッチ検証にかかる費用を削減
パッチ検証にかかる費用を削減【 解決策 】
作業の機械化(自動化)による対処
作業の機械化(自動化)による対処⇒SCAP⇒SCAP(Security(SecurityContent
ContentAutomation
AutomationProtocol)
Protocol)共通基準制定による(自動化)の普及
共通基準制定による(自動化)の普及⇒Making⇒MakingSecurity
SecurityMeasurable
Measurable

Copyright © 2010 独立行政法人 情報処理推進機構

共通のデスクトップ基準制定による対処
共通のデスクトップ基準制定による対処⇒⇒FDCC(Federal
FDCC(FederalDesktop
DesktopCore
CoreConfiguration)
Configuration)

共通の基準制定による対処
共通の基準制定による対処⇒⇒USGCB(United
USGCB(UnitedStates
StatesGovernment
Government
Configuration
ConfigurationBaseline)
Baseline)

31

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

米国政府の推進するSCAPとは•

脆弱性管理、コンプライアンス管理の一部を機械化(自動化)することにより、情報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の両立を目的とした仕様群である。2010年6月時点で、6つの仕様から構成されている。
プログラム自身に内在するプログラム上のセキュリティ問題に一意の番号を付与する

脆弱性管理

脆弱性自体の特性、パッチの提供状況、
ユーザ環境での影響度などを考慮し影響度を評価する仕様
プログラム上のセキュリティ問題や設定上のセキュリティ問題をチェックするための手続き仕様

情報システムを構成する、
ハードウェア、ソフトウェアなどに一意の名称を付与する

資産管理プログラムが稼働するための設定上のセキュリティ問題に一意の番号を付与する
セキュリティチェックリストやベンチマークなどの文書を記述するための仕様

構成管理
32

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

SCAP＝FDCC/USGCBを支援する技術仕様••

2007年3月22日、行政予算管理局(Office of Management and Budget)：連
邦政府共通デスクトップ基準(FDCC: Federal Desktop Core Configuration)に関する覚書を発行
2010年9月24日、連邦政府CIO評議会（Federal CIO Council）：USGCB(UnitedStates Government Configuration Baseline：米国政府共通設定基準)1.0をリリース

ポリシー・・・

FISMA

スタンダード・・・

FDCC/USGCB などの共通セキュリティ設定
共通技術仕様・・・

SCAP、Making Security Measurable
ツール・・・
NVD、SCAP準拠ツール(米国には民間で開発されたSCAPツール有)Copyright © 2010 独立行政法人 情報処理推進機構

IPA提供ツール
注意喚起など緊急時対応
基盤を普及させるための先行実装
JVN脆弱性対策機械処理基盤(MyJVN API、MyJVN XMLフォーマットなど)
z JVNiPediaz MyJVN脆弱性対策情報収集ツール
z MyJVNバージョンチェッカ
z MyJVNセキュリティ設定チェッカ

33

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

SCAP＝FDCC/USGCBを支援する技術仕様••

FDCCは連邦政府のデスクトップ基準を確認するためのチェックリストである。
SCAPはチェックリストに沿って機械(自動)的に確認するための技術仕様である。

規格やガイドラインを元にセキュリティ
チェックリストを作成する。XCCDFは、
このセキュリティチェックリストを記述するための仕様である。
チェックリストを記述する際に、製品情報にはCPE、プログラム上のセキュリティ問題にはCVE、設定上のセキュリティ問題にはCCEを利用する。
CVSSはプログラム上のセキュリティ
問題の深刻度を判定する際の参考となる。
チェックリストの各項目を実際に調査する際には、OVALで記述されたチェック方法に従いOVALインタプリ
タが調査し、その結果をXCCDF形式で報告する。
Copyright © 2010 独立行政法人 情報処理推進機構

FDCC/USGCB

SCAP

34
ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

XCCDF：チェックリストを記述する•

セキュリティ・チェックリストやベンチマークなどの文書を記述する。
– 文書で記載されたセキュリティ設定ガイドを、プログラムで(機械)処理しやすい形式で記述する。
– 複数のセキュリティ・チェックリストをひとつのファイルに統合する。

連邦政府共通デスクトップ基準(FDCC)XCCDF記述
セキュリティ設定ガイド

米国国防情報システム局(DISA)
セキュリティ設定ガイド

XCCDF記述

米国国家安全保障局(NSA)
セキュリティ設定ガイド

XCCDF記述XCCDF記述された連邦政府共通デスクトップ基準(FDCC)
米国国防情報システム局(DISA)
米国国家安全保障局(NSA)
セキュリティ・チェックリスト

35
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

XCCDF：チェックリストを記述する•

セキュリティ・チェックリストやベンチマークなどの文書を記述する。
– XML形式での記述– 参照する各種セキュリティ設定ガイドに基づく項目のグループと推奨値の併記• 参照する各種セキュリティ設定ガイドに基づく項目のグループ化<Group id="IA-5" hidden="true"><title>Authenticator Management</title><reference>ISO/IEC 17799: 11.5.2, 11.5.3</reference><reference>NIST 800-26: 15.1.6, 15.1.7, 15.1.9, 15.1.10, 15.1.11 ・・・</reference><reference>GAO FISCAM: AC-3.2</reference><reference>DOD 8500.2: IAKM-1, IATS-1</reference><reference>DCID 6/3: 4.B.2.a(7), 4.B.3.a(11)</reference>
セキュリティ設定</Group>• セキュリティ設定ガイド毎の推奨値の記載

ガイド毎の違いが明らかになる。

<Value id="MinimumPasswordLength_var" type="number" operator="greater than or equal"><title>Minimum Password Length</title><description>The minimum number of characters required for a password</description><value>8</value><value selector="Specialized-Security-Limited Functionality">12</value><value selector="DISA-Gold">9</value><value selector="DISA-Platinum">9</value><value selector="NSA">12</value><value selector="FDCC-Desktop">12</value></Value>
Copyright © 2010 独立行政法人 情報処理推進機構

36

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CPE：製品を識別する•

情報システムを構成する、ハードウェア、ソフトウェアなどに一意の名称を付与する。
– 情報システムを構成する、ハードウェア、ソフトウェアの名称を、プログラムで(機械)処理しやすい形式で記述する。

VN
J
y
M
る
が提供す

IP A
IPAが提供するマイ・ジェイ・ブイ・エヌ
エーが
・
ー
ピ
・
イ
ア
yJ V N
提供するM

情報処理
推進機構
が
提供する
MyJVN

cpe:/a:ipa:myjvn

情報処理推進機構が提供するマイ・ジェイ・ブイ・エヌ
37
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CPE：製品を識別する•

情報システムを構成する、ハードウェア、ソフトウェアなどに一意の名称を付与する。
– Official Common Product Enumeration(CPE)Dictionaryとして製品一覧を
提供中(http://nvd.nist.gov/cpe.cfm)

cpe：/{種別}：{ベンダ名}：{製品名}：{バージョン}：{アップデート}：{エディション}：{言語}
種別：h=ハードウェア、o=OS、a=アプリケーション<cpe-item name="cpe:/a:adobe:acrobat_reader"><title xml:lang="ja-JP">アドビシステムズ アクロバット リーダー</title><title xml:lang="en-US">Adobe Acrobat Reader</title><meta:item-metadata modification-date="2009-03-05" status="DRAFT" nvd-id="280" /></cpe-item><cpe-item name="cpe:/a:mozilla:firefox"><title xml:lang="en-US">Mozilla Firefox</title><meta:item-metadata modification-date="2007-09-14" status="DRAFT" nvd-id="7356" /></cpe-item>38
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CVE：脆弱性を識別する•プログラム自身に内在するプログラム上のセキュリティ問題に一意の番号(CVE識別番号)を付与する。
– 脆弱性対策情報の参照番号としての利用– 脆弱性対策情報同士の関連付け
CVE識別番号とJVN、JVN iPediaのID対応例

CVE識別番号の構成
西暦連番

CVE-2007-5000

39
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CVE：脆弱性を識別する•プログラム自身に内在するプログラム上のセキュリティ問題に一意の番号(CVE識別番号)を付与する。
– 脆弱性対策情報の参照番号と関連付けを利用すると、脆弱性対策情報同士の参照関係、情報の展開度合いを知ることができる。

CVE-2004-0230 TCP にサービス運用妨害を伴う脆弱性
Copyright © 2010 独立行政法人 情報処理推進機構

40

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CCE：設定上の問題を識別する•プログラムが稼働するための設定上のセキュリティ問題に一意の番号(CCE識別番号)を付与する。
CCE識別番号の構成
番号(任意)

チェック番号

CCE-2981-9※チェック番号はコピー等のミスを検知するための番号
Luhnアルゴリズムを使用<確認手順>(a)チェック番号込で右から偶数桁を2倍：1*2, 9*2(b)9+(2)+8+(1+8)+2 *二桁になった場合、一桁目と二桁目を分割(c)(b)の和が10で割り切れる = 正しい番号– アプリケーション・プラットフォーム別のセキュリティ設定項目に番号付与する。

パスワードの有効期間のポリシー
パスワードの有効期間のポリシー

Windows Vista
Solaris 10
Windows
Windows 2008
XP
Windows
2008
Windows Vista
Windows 2008
XP
Windows
Red
Hat 5XPCCE-2967-8
CCE-4165-7
CCE-2200-4
CCE-2920-7
CCE-1678-2
CCE-2967-8
CCE-2920-7
CCE-2200-4
CCE-2867-0
CCE-4092-3

アカウントログオン成功イベントの監査アカウントログオン成功イベントの監査

Windows10XP
SolarisWindows
Red
Hat 52008

CCE-2867-0
CCE-4165-7
CCE-1678-2
CCE-4092-3

Copyright © 2010 独立行政法人 情報処理推進機構

41

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CCE：設定上の問題を識別する•プログラムが稼働するための設定上のセキュリティ問題に一意の番号(CCE識別番号)を付与する。
– セキュリティ設定項目の推奨値は各種セキュリティ設定ガイドを参照する。
• ファイルとレジストリのアクセス権限と監査• ユーザの権限• 監査とアカウントのポリシー

Windows XPを対象としたCCE識別番号とセキュリティ設定ガイド推奨値
セキュリティ設定ガイド

CCE識別番号

セキュリティ設定項目

CCE-2981-9

パスワードの最低文字数設定(パス
ワードの長さ)のポリシー

12文字以上 14文字以上

8文字以上

CCE-2920-7

パスワードの有効期間のポリシー

60日以下

60日以下

90日以下

CCE-2994-2

パスワードの履歴管理(同じパスワー
24個以上
ドを連続して使えない回数)のポリシー

24個以上

24個以上

FDCC

DISA

マイクロソフト• ネットワークサービス：
Copyright © 2010 独立行政法人 情報処理推進機構

42
ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CVSS：脆弱性の深刻度を評価する•

情報システムの脆弱性に対するオープンで汎用的な評価手法であり、共通の評価方法を提供する。
＜基本評価基準＞
脆弱性そのものの特性を評価する基準
攻撃元区分

攻撃条件の複雑さ

攻撃前の認証要否

機密性への影響

完全性への影響

可用性への影響

基本値の計算式＜現状評価基準＞
脆弱性の現在の深刻度を評価する基準攻撃される可能性
利用可能な対策レベル
脆弱性情報の信頼性＜環境評価基準＞
製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準

脆弱性の
スコア
現状値の
計算式

環境値の
計算式

二次的被害の可能性
対象システムの範囲
機密性、完全性、可用性への要求度
43

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

CVSS：脆弱性の深刻度を評価する•

脆弱性自体の特性＜基本評価基準＞、パッチの提供状況＜現状評価基準＞、ユーザ環境＜環境評価基準＞での影響度などを考慮し影響度を評価する。

＜基本評価基準＞の目安
深刻度

基本値

レベルIII（危険）7.0～10.0

レベルII
（警告）

4.0～6.9

レベルI（注意）

0.0～3.9
44

Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

OVAL：チェック方法を記述する•

プログラム上のセキュリティ問題や設定上のセキュリティ問題をチェックするための手続きを記述する。
セキュリティ設定ガイド
すべての種類のドライブの自動再生は、
無効(0xFF)を推奨する。
OVAL定義データ
レジストリNoDriveTypeAutoRun値が0xFF(255)であればＯＫ。

セキュリティ設定ガイド
MyJVN脆弱性対策情報収集
ツールが最新であること。
OVAL定義データ
C:¥Program Files¥myjvn¥mjcheck.exeのファイルバージョンが1.4であればＯＫ。
Copyright © 2010 独立行政法人 情報処理推進機構

45

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

OVAL：チェック方法を記述する
version="1.0" encoding="UTF-8"?>• <?xmlプログラム上のセキュリティ問題や設定上のセキュリティ問題をチェックする<oval_definitions><definitions>
ための手続きを記述する。
<definition id="oval:myjvn.oval:def:20090803001" class="vulnerability" version="1">
operator="AND">–<criteria
ステップ1<criterion comment="Flash Player Latest Version is not installed" test_ref="oval:myjvn.oval:tst:1001"/>
OVAL定義データ(OVALの記述仕様に則ったXML形式の定義ファイル)を作</criteria></definition>
成する。
</definitions><tests><registry_test id="oval:myjvn.oval:tst:1001" check_existence="at_least_one_exists" check="at least one"><object object_ref="oval:myjvn.oval:obj:1001"/><state state_ref="oval:myjvn.oval:ste:1001"/></registry_test>
レジストリCurrentVersion値が1.0であれば最新である</tests><objects><registry_object id="oval:myjvn.oval:obj:1001"><hive>HKEY_LOCAL_MACHINE</hive>
バージョンが格納されている<key>SOFTWARE¥IPA¥MyJVN</key>
レジストリ位置<name>CurrentVersion</name></registry_object></objects><states><registry_state id="oval:myjvn.oval:ste:1001">
比較対象となる<value>1.0</value>
最新バージョン値</registry_state></states></oval_definitions>
Copyright © 2010 独立行政法人 情報処理推進機構

46
ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

OVAL：チェック方法を記述する•

プログラム上のセキュリティ問題や設定上のセキュリティ問題をチェックするための手続きを記述する。
– ステップ2
OVALインタプリタ(OVAL定義データを解釈するプログラム)で、OVAL定義データに示されている条件を満たしているかどうかを判定する。

or
OVAL定義データ

OVAL
定義データ

OVAL定義データとシステムと対比OVALインタプリタ

47
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

参考情報
•

動向
–

•

脆弱性情報共有フレームワークに関する調査報告書 (2007)
http://www.ipa.go.jp/security/fy19/reports/vuln_Framework/vuln_Framework.pdf

SCAP
–
–
–
–
–

FDCC(Federal Desktop Core Configuration：連邦政府共通デスクトップ基準)
http://nvd.nist.gov/fdcc/index.cfm
NCP(National Checklist Program)
http://nvd.nist.gov/ncp.cfm
NVD(National Vulnerability Database)
http://nvd.nist.gov/
SCAP(Security Content Automation Protocol：セキュリティ設定共通化手順)
http://nvd.nist.gov/scap.cfm
USGCB(United States Government Configuration Baseline：米国政府共通設定基準)
http://usgcb.nist.gov/

48
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

参考情報
•

共通識別子
–
–

–
–

–

–

CAPEC(Common Attack Pattern Enumeration and Classification)
http://capec.mitre.org/
CCE(Common Configuration Enumeration：共通セキュリティ設定一覧)
http://cce.mitre.org/
http://www.ipa.go.jp/security/vuln/CCE.html
CME(Common Malware Enumeration)
http://cme.mitre.org/
CPE(Common Platform Enumeration：共通プラットフォーム一覧)
http://cpe.mitre.org/
http://www.ipa.go.jp/security/vuln/CPE.html
CVE(Common Vulnerability and Exposures：共通脆弱性識別子)
http://cve.mitre.org/
http://www.ipa.go.jp/security/vuln/CVE.html
CWE(Common Weakness Enumeration：共通脆弱性タイプ一覧)
http://cwe.mitre.org/
http://www.ipa.go.jp/security/vuln/CWE.html

49
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況

参考情報
•

共通仕様
–
–
–

–
–

–

CEE (Common Event Expression)
http://cee.mitre.org/
CRF (Common Result Format)
http://makingsecuritymeasurable.mitre.org/crf/
CVSS(Common Vulnerability Scoring System：共通脆弱性評価システム)
http://www.first.org/cvss/
http://www.ipa.go.jp/security/vuln/CVSS.html
OCIL(Open Checklist Interactive Language：チェックリスト対話言語)
http://scap.nist.gov/specifications/ocil/
OVAL(Open Vulnerability and Assessment Language：セキュリティ検査言語)
http://oval.mitre.org/
http://www.ipa.go.jp/security/vuln/OVAL.html
XCCDF(Extensible Configuration Checklist Description Format：セキュリティ設定チェックリスト記
述形式)
http://nvd.nist.gov/xccdf.cfm

50
Copyright © 2010 独立行政法人 情報処理推進機構

ISOG-Jセミナー：国際・日本でのセキュリティ組織間連携の取組みの最新状況