Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

CVSSとPoC公開状況から利用OSSへの影響を評価するSaaS - ビズリーチ

ビズリーチは、利用するオープンソースソフトウェアにおける脆弱性の影響を公開情報をもとに評価し、対応状況を可視化するSaaS型サービス「yamory」を提供開始する。

20190828_bz_001.jpg
記者会見に登壇した同社代表取締役社長の南壮一郎氏とCTO兼CPOの竹内真氏

同サービスは、組織内で利用するオープンソースソフトウェアについて、脆弱性の影響を評価し、ダッシュボードに表示するSaaS型サービス。

「GitHub」とのAPI連携により、利用するソフトウェアやバージョン情報を定期的に収集。GitHubで管理していないソフトウェアについても、利用者によって登録できるという。

一方脆弱性情報は、米国立標準技術研究所(NIST)の「NVD」や、情報処理推進機構(IPA)が運営する「JVN」といったデータベースのほか、クローリングして実証コードの公開状況を調査。これら公開済みの脆弱性情報と比較し、組織における脆弱性の対応状況を表示する。

クローリングの対象としている具体的なサイト名については非公表としているが、同社CTO兼CPOの竹内真氏は、対象となるサイト数を「3桁」と説明している。

ダッシュボードでは、公開サービスで利用し、CVSSの値が「Critical」「High」と高く、さらに「実証コード(PoC)」が公開されているものを「Immediate」とレーティングし、即時対応する必要があるとして警告。「PoC」が公開されていないものの、CVSSの値が高く、公開サービスに影響があたえる脆弱性を「Delayed」とし、調査調査を促すという。

同社によると、すでに12社が導入済み。料金については個別に対応するとしている。

20190828_bz_002..jpg
「yamory」のダッシュボード。脆弱性の修正状況などを確認できる(画像:ビズリーチ)

(Security NEXT - 2019/08/29 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

コンテナイメージのリスクを可視化する製品 - トレンド
カスペ、法人向けエンドポイント製品に新版 - アプリ異常動作を検知
ウェブアプリ脆弱性検査ツールに上位版 - 「ブラインドSQLi」や「XXE」に対応
トレンド、サーバ向け製品の新版 - コンテナ間の攻撃検知に対応
イエラエとNDIAS、自動車のセキュリティ評価技術を共同開発
あらたなセキュリティ認定資格のトレーニングを提供 - CompTIA
サプライチェーンリスク診断など8サービスをリリース - ソリトン
制御システムのセキュリティ規格「IEC62443」への準拠を支援 - マクニカ
制御システム向けにリスク評価サービス - BBSecとテリロジー
EC-CUBE向けの簡易脆弱性診断を無償提供 - SHIFT SECURITY