OpsJAWS Meetup#10(https://opsjaws.doorkeeper.jp/events/57084)の資料です。

1. Future Architect, Inc.
OpsJAWS Meetup#10
2017.２.14
Takayuki Ushida
脆弱性スキャナ の
AWS環境への融合

2. Future Architect, Inc.
誰？
• 牛田 隆之（Ushida Takayuki）
• フューチャーアーキテクト株式会社
– Technology Innovation Group
– セキュリティーソリューション担当
– 前職ではインフラ運用・監視系
• 脆弱性スキャナVulsのビューア「VulsRepo」を開発
• Twitter／Qiita／GitHub
– usiusi360

3. Future Architect, Inc.
世間はセキュリティインシデントに
関するニュースで一杯
明日は我が身・・・
（(；゜Д゜)ガクガクブルブル・・・
参照URL
http://internet.watch.impress.co.jp/
docs/news/1043880.html

4. Future Architect, Inc.
毎日脆弱性情報を収集？
昨年(2016)に発表されたCVE-IDの数は約6600件
CVE-IDだけ発行されていて、JVN・NVDに掲載されて
いない脆弱性も沢山ある
脆弱性チェックの自動化が必要
人力チェックの限界

5. Future Architect, Inc.5
VULnarability Scanner
脆弱性 スキャナー

6. Future Architect, Inc.6
脆弱性対策にまず必要なのは、
「Visibility（可視化）」と、
可視化したセキュリティ状況の「モニタリング」
「見えないことは、コントロール出来ない」
Vulsのカバー範囲
脆弱性情報収集 対象マシン調査 対策、パッチ検証 本番適用
Vuls 対策、パッチ検証 本番適用
現行運用
Vulsでの運用
自分のシステム(サーバ）に
関係のある脆弱性(CVE)だけを可視化

7. Future Architect, Inc.7
脆弱性チェックだったら
AWSにInspectorがあるやん？

8. Future Architect, Inc.8
Qiita：Vuls・OpenVAS・
Amazon Inspectorを徹底比較
AmazonLinuxに対するスキャンにおいては、
Vulsのほうがスキャン速度、スキャン精度に勝る！
InspectorにはVulsにない脆弱性チェック機能もあ
る。併用してお互いの弱点を補う

9. Future Architect, Inc.9
特徴
 オープンソース（GPLｖ３）
 エージェントレス・エージェントモード モジュール配置するのみ。
 非破壊で安全にスキャン。AWSへの事前申請不要。
 セットアップ、初期設定が非常に簡単
 ディストリビューションパッケージ及びパッケージ以外のソフトウ
ェアの脆弱性も検知可能（要CPE登録）
 オンプレ、クラウドの両方に対応
 幅広いLinuxディストリビューションに対応
(AmazonLinux、CentOS、Ubuntu、RHEL、FreeBSD、・・・)
 Dockerコンテナ対応（SSH不要）
 日本語でレポート可能
 豊富なレポート手段（Slack, e-mail, TUI, WebUI …）

10. Future Architect, Inc.10
豊富なレポート手段
Slack TUI
WebUI(VulsRepo) Excel

11. Future Architect, Inc.11
クラウド上のBI SaaSサービスへ連携することで大規模環境
のログでも素早く集計、ドリルダウンができるようになる。
Amazon QuickSight連携

12. Future Architect, Inc.12
AWSサービスとの連携
 EC2のVulsスキャンをほんの少し便利にするツール
「ec2-vuls-config」
Amazon EC2
タグを指定する
とVuls設定ファ
イルを自動生成
Ec2-
vuls-
config
生成された設定
ファイルを使っ
て対象サーバを
スキャン
Vuls
Vuls側でスキャン対象の設定情報
を持たなくて良い！

13. Future Architect, Inc.13
AWSサービスとの連携
 Qiita：脆弱性スキャナVulsでEC2をスキャンし脆弱
性深刻度をタグ付け
タグを元に脆弱性のあるインスタンスを自
動停止させるなど連携が広がる
 AWS LambdaでVulsを使おうと試みた話
スキャン結
果をS3に保
存
Vuls
Lambdaが
S3上の結果
を元にEC2
にタグ付け
Lambda
VulsをLambdaで動作させれば、超低コストで
スキャン環境を構築できる

14. Future Architect, Inc.14
Vuls 参考情報
• GitHub
https://github.com/future-architect/vuls/blob/master/README.ja.md
※日本語マニュアルがあります。
• Qiita：脆弱性スキャナVuls 関連リンク集
http://qiita.com/usiusi360/items/aeb3cd3630badfacdb4e
検索

15. Future Architect, Inc.15
2017-03-10 (金) 明星大学 日野キャンパス
Go製脆弱性スキャナー「Vuls」をバズらせたコツとは？
エンプラで培った秘伝のSQL開発手法をOSS化！
エンプラでSPAで最新UI！？よし、作ってOSS化！
https://www.ospn.jp/osc2017-spring/modules/eguide/event.php?eid=27

16. Future Architect, Inc.16
まとめ
脆弱性検知は自動チェックツールを使って運用を楽に！
• 脆弱性対策の第一歩はシステムに潜在する脆弱性を可視化することです。
• 脆弱性検知は一回行って終わりではありません。継続的に実施することが必
要です。
OSSなので無料で使えます！
• 検知機能だけでなく、可視化ツールも含めて全ての機能がOSSだけで構成
できます。
• 規模や運用条件に合わせて柔軟に構成できます。
有償サポート、導入サポート、カスタマイズはご相談ください
• フューチャーアーキテクト株式会社 担当：牛田（ウシダ）まで
• mailto: gr-tig-ta-security@future.co.jp
• フューチャーアーキテクト株式会社 担当：牛田（ウシダ）まで
• mailto: gr-tig-ta-security@future.co.jp

17. Future Architect, Inc.