Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

CVSSとPoC公開状況から利用OSSへの影響を評価するSaaS - ビズリーチ

ビズリーチは、利用するオープンソースソフトウェアにおける脆弱性の影響を公開情報をもとに評価し、対応状況を可視化するSaaS型サービス「yamory」を提供開始する。

20190828_bz_001.jpg
記者会見に登壇した同社代表取締役社長の南壮一郎氏とCTO兼CPOの竹内真氏

同サービスは、組織内で利用するオープンソースソフトウェアについて、脆弱性の影響を評価し、ダッシュボードに表示するSaaS型サービス。

「GitHub」とのAPI連携により、利用するソフトウェアやバージョン情報を定期的に収集。GitHubで管理していないソフトウェアについても、利用者によって登録できるという。

一方脆弱性情報は、米国立標準技術研究所(NIST)の「NVD」や、情報処理推進機構(IPA)が運営する「JVN」といったデータベースのほか、クローリングして実証コードの公開状況を調査。これら公開済みの脆弱性情報と比較し、組織における脆弱性の対応状況を表示する。

クローリングの対象としている具体的なサイト名については非公表としているが、同社CTO兼CPOの竹内真氏は、対象となるサイト数を「3桁」と説明している。

ダッシュボードでは、公開サービスで利用し、CVSSの値が「Critical」「High」と高く、さらに「実証コード(PoC)」が公開されているものを「Immediate」とレーティングし、即時対応する必要があるとして警告。「PoC」が公開されていないものの、CVSSの値が高く、公開サービスに影響があたえる脆弱性を「Delayed」とし、調査調査を促すという。

同社によると、すでに12社が導入済み。料金については個別に対応するとしている。

20190828_bz_002..jpg
「yamory」のダッシュボード。脆弱性の修正状況などを確認できる(画像:ビズリーチ)

(Security NEXT - 2019/08/29 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

外部委託先などを対象としたセキュリティデューデリサービス
「改訂新版セキュリティエンジニアの教科書」が発売 - 日本シーサート協議会
ラック、生成AIシステム特有のセキュリティ問題を診断するサービス
「Zabbix」の延長サポートサービスを開始 - サイバートラスト
IT資産を調査、リスクを評価できるASMサービス - SST
アズジェント、攻撃対象領域の分析サービス - 1回限定で無償提供
特定社会基盤事業者や周辺事業者向けのリスク対策支援サービス
外部から見える脆弱性や闇ウェブ情報など監視するサービス
生成AIに擬似攻撃、リスクを評価するサービス - NRIセキュア
自社開発エンジンによる「ASMツール」を提供 - GMOサイバーセキュリティ