CVSSとPoC公開状況から利用OSSへの影響を評価するSaaS - ビズリーチ

ビズリーチは、利用するオープンソースソフトウェアにおける脆弱性の影響を公開情報をもとに評価し、対応状況を可視化するSaaS型サービス「yamory」を提供開始する。

記者会見に登壇した同社代表取締役社長の南壮一郎氏とCTO兼CPOの竹内真氏

同サービスは、組織内で利用するオープンソースソフトウェアについて、脆弱性の影響を評価し、ダッシュボードに表示するSaaS型サービス。

「GitHub」とのAPI連携により、利用するソフトウェアやバージョン情報を定期的に収集。GitHubで管理していないソフトウェアについても、利用者によって登録できるという。

一方脆弱性情報は、米国立標準技術研究所（NIST）の「NVD」や、情報処理推進機構（IPA）が運営する「JVN」といったデータベースのほか、クローリングして実証コードの公開状況を調査。これら公開済みの脆弱性情報と比較し、組織における脆弱性の対応状況を表示する。

クローリングの対象としている具体的なサイト名については非公表としているが、同社CTO兼CPOの竹内真氏は、対象となるサイト数を「3桁」と説明している。

ダッシュボードでは、公開サービスで利用し、CVSSの値が「Critical」「High」と高く、さらに「実証コード（PoC）」が公開されているものを「Immediate」とレーティングし、即時対応する必要があるとして警告。「PoC」が公開されていないものの、CVSSの値が高く、公開サービスに影響があたえる脆弱性を「Delayed」とし、調査調査を促すという。

同社によると、すでに12社が導入済み。料金については個別に対応するとしている。

「yamory」のダッシュボード。脆弱性の修正状況などを確認できる（画像：ビズリーチ）

（Security NEXT - 2019/08/29 ）ツイート

CVSSとPoC公開状況から利用OSSへの影響を評価するSaaS - ビズリーチ

関連リンク

PR

関連記事