📗
owasp-devsecops-guideline-ja
  • OWASP DevSecOps Guideline ja
  • OWASP DevSecOps ガイドライン 日本語版
    • OWASP DevSecOps ガイドライン
  • V0.3
    • 0-概論 (Intro)
      • 0-1-序文 (Intro)
      • 0-2-概要 (Overview)
    • 1-要員 (People)
      • 1-1-チーム形成 (Shape-the-team)
        • 1-1-1-セキュリティチャンピオン (Security-champions)
      • 1-2-トレーニング (Training)
        • 1-2-1-セキュアコーディング (Secure-coding)
        • 1-2-2-セキュリティ CI/CD (Security-CICD)
    • 2-プロセス (Process)
      • 2-1-設計 (Design)
        • 2-1-1-脅威モデリング (Threat-modeling)
      • 2-2-開発 (Develop)
        • 2-2-1-コミット前 (Pre-commit)
          • 2-2-1-1-プレコミット (Pre-commit)
          • 2-2-1-2-シークレット管理 (Secrets-Management)
          • 2-2-1-3-コードのリンティング (Linting-code)
          • 2-2-1-4-リポジトリ堅牢化 (Repository-Hardening)
      • 2-3-ビルド (Build)
        • 2-3-1-静的解析 (Static-Analysis)
          • 2-3-1-1-静的アプリケーションセキュリティテスト (Static-Application-Security-Testing)
          • 2-3-1-2-ソフトウェアコンポジション解析 (Software-Composition-Analysis)
          • 2-3-1-3-Infastructure as Code (Infastructure-as-Code-Scanning)
          • 2-3-1-4-コンテナセキュリティ (Container-Security)
            • 2-3-1-4-1-コンテナスキャン (Container-Scanning)
            • 2-3-1-4-2-コンテナ堅牢化 (Container-Hardening)
      • 2-4-テスト (Test)
        • 2-4-1-インタラクティブアプリケーションセキュリティテスト (Interactive-Application-Security-Testing)
        • 2-4-2-動的アプリケーションセキュリティテスト (Dynamic-Application-Security-Testing)
        • 2-4-3-モバイルアプリケーションセキュリティテスト (Mobile-Application-Security-Test)
        • 2-4-4-API セキュリティ (API-Security)
        • 2-4-5-構成ミスチェック (Misconfiguration-Check)
      • 2-7-運用 (Operate)
        • 2-7-1-クラウドネイティブセキュリティ (Cloud-Native-Security)
        • 2-7-2-ログ記録と監視 (Logging-and-Monitoring)
        • 2-7-3-ペンテスト (Pentest)
        • 2-7-4-脆弱性管理 (Vulnerability-Management)
        • 2-7-6-侵害と攻撃のシミュレーション (Breach-and-attack-simulation)
    • 3-ガバナンス (Governance)
      • 3-2-データ保護 (Data-protection)
      • 3-1-コンプライアンス監査 (Compliance-Auditing)
        • 3-1-1-コンプライアンス監査 (Compliance-Auditing)
        • 3-1-2-Policy as Code (Policy-as-code)
        • 3-1-3-セキュリティベンチマーク (Security-benchmarking)
      • 3-3-レポーティング (Reporting)
        • 3-3-1-成熟度追跡 (Tracking-maturities)
        • 3-3-2-脆弱性一元管理ダッシュボード (Central-vulnerability-management-dashboard)
  • V0.2
    • 0-概論 (Intro)
      • 0-1-序文 (Intro)
      • 0-2-概要 (Overview)
    • 1-導入 (Init)
      • 1-1-チーム形成 (Shape-the-team)
        • 1-1-1-セキュリティ担当者 (Security-champions)
      • 1-2-トレーニング (Training)
        • 1-2-1-セキュアコーディング (Secure-coding)
        • 1-2-2-セキュリティ CI/CD (Security-CICD)
    • 2-コミット前 (Pre-commit)
      • 2-1-プレコミット (Pre-commit)
      • 2-2-脅威モデリング (Threat-modeling)
      • 2-3-リポジトリ堅牢化 (Repository-hardening)
      • 2-4-シークレット管理 (Secrets-Management)
      • 2-5-コードのリンティング (Linting-code)
    • 3-コミット CI (Commit-CI)
      • 3-2-インタラクティブアプリケーションセキュリティテスト (Interactive-Application-Security-Testing)
      • 3-1-静的解析 (Static-analysis)
        • 3-1-1-静的アプリケーションセキュリティテスト (Static-Application-Security-Testing)
        • 3-1-2-ソフトウェアコンポジション解析 (Software-Composition-Analysis)
        • 3-1-3-コンテナセキュリティ (Container-Security)
          • 3-1-3-1-コンテナスキャン (Container-scanning)
          • 3-1-3-2-コンテナ堅牢化 (Container-hardening)
        • 3-1-4-Infastructure as Code (Infastructure-as-code)
    • 4-継続的デリバリ CD (Continuous-delivery-CD)
      • 4-1-動的アプリケーションセキュリティテスト (Dynamic-Application-Security-Testing)
      • 4-2-モバイルアプリケーションセキュリティテスト (Mobile-Application-Security-Test)
      • 4-3-API セキュリティ (API-Security)
      • 4-4-設定ミスのチェック (Miss-Configuration-Check)
    • 5-デプロイ CD 稼働開始 (Deploy-CD-Golive)
      • 5-1-鍵と証明書の管理 (Key-and-certificate-management)
      • 5-2-クラウドネイティブアプリケーション保護プラットフォーム (Cloud-Native-Application-Protection-Platform)
    • 6-運用 (Operation)
      • 6-1-稼働時テスト|継続的テスト (Runtime|Continuous-test)
        • 6-1-1-インフラスキャン (Infra-scanning)
          • 6-1-1-1-クラウドリソース (Could-resources)
          • 6-1-1-2-K8S リソース (K8S-resources)
        • 6-1-2-イメージスキャン (Image-scanning)
      • 6-2-侵害と攻撃のシミュレーション (Breach-and-attack-simulation)
      • 6-3-ログ記録と監視 (Logging-and-Monitoring)
      • 6-4-ペンテスト (Pentest)
      • 6-5-脆弱性開示ポリシーとバグバウンティ (VDP|Bug-bounty)
    • 7-ガバナンス (Governance)
      • 7-1-コンプライアンス監査 (Compliance-Auditing)
        • 7-1-1-コンプライアンス監査 (Compliance-Auditing)
        • 7-1-2-Policy as Code (Policy-as-code)
        • 7-1-3-セキュリティベンチマーク (Security-benchmarking)
      • 7-2-データ保護 (Data-protection)
      • 7-3-レポーティング (Reporting)
        • 7-3-1-成熟度追跡 (Tracking-maturities)
        • 7-3-2-脆弱性一元管理ダッシュボード (Central-vulnerability-management-dashboard)
  • V0.1
    • 00. OWASP DevSecOps ガイドラインの概要
      • 00a. DevSecOps 入門
      • 00b. 脅威モデリング
    • 01. コミット前に
      • 01a. シークレットとクレデンシャルに注意
      • 01b. コードのリンティング
    • 02. 脆弱性スキャン
      • 02a. 静的スキャンはプロセスの重要な部分
      • 02b. 動的アプリケーションセキュリティテスト (DAST)
      • 02c. インタラクティブアプリケーションセキュリティテスト
      • 02d. ソフトウェアコンポーネント/コンポジション解析 (SCA)
      • 02e. インフラストラクチャ脆弱性スキャン
      • 02f. コンテナ脆弱性スキャン
      • 02g. プライバシー
      • 02h. 脆弱性の一元管理
    • 03. コンプライアンス監査
Powered by GitBook
On this page
  • 脆弱性管理とは何か?
  • プロセス定義
  • 脆弱性管理ツールが DevSecOps にどのように役立つか
  • 注意
  • どこで (Where)、いつ (When)、どのように (How)
  • ツール:
  • 参考情報
  1. V0.2
  2. 7-ガバナンス (Governance)
  3. 7-3-レポーティング (Reporting)

7-3-2-脆弱性一元管理ダッシュボード (Central-vulnerability-management-dashboard)

Previous7-3-1-成熟度追跡 (Tracking-maturities)Next00. OWASP DevSecOps ガイドラインの概要

Last updated 4 months ago

脆弱性管理とは何か?

脆弱性管理は組織がソフトウェアやプラットフォームの脆弱性を検出し、報告し、優先順位を付け、修正するのに役立つ継続的なプロセスです。セキュリティ上の欠陥を管理しやすく、実用的で、追跡可能な方法で整理できるようになるため、DevSecOps ライフサイクルの重要な部分となっています。また脆弱性管理は組織のセキュリティ態勢の可視化を実現するのにも役立ちます。脆弱性管理を他のプロセスと一緒に実行すると、攻撃対象領域を最小限に抑え、分散したツールやプロセス間で孤立した調査結果間のギャップを埋めることができます。

プロセス定義

OWASP VMG プロジェクトを参考にすると、脆弱性管理プロセス全体を三つのステップで説明できます。

  • 検出 (Detection): 検出サイクルの中で、誰が (who)、何を (what)、どこで (where)、なぜ (why)、どのように (how) を定義することによって、本質的な方法で脆弱性テストを支援するタスクを実施します。主な活動はプロセスの各ラウンド後のスコープの定義と改良、ツールの準備とその完全性の検証、テストの実施、結果の検証に重点を置いています。

  • 報告 (Reporting): 報告サイクルは組織が測定可能な方法で脆弱性を理解することを支援する活動を対象としています。主な活動は脆弱性に関連するすべてのシステム、脆弱性、脅威、技術リスク、運用リスクの詳細を に重点を置いています。報告には平均修復時間 (Mean Time to Remediate, MTTR) や脆弱性回避率 (Vulnerability Escape Rate, VER) などの組織として意味のある指標を作成し、時間の経過とともに組織が改善できるようにすることも含みます。

  • 優先順位付け (Prioritization): 優先順位付けプロセスでは開発チームと協力して修正する脆弱性を選択します。脆弱性の中にはリスクが最小限のものや悪用できないものもあるかもしれません。リスクは優先順位付けプロセスにおける重要な要素の一つですが、必要な労力と専門知識も重要な要素です。組織はシステムの廃止時期や開発プロセスの詳細も考慮することがあります。

  • 修復 (Remediation): 修復サイクルは脆弱性を低減または排除する活動を対象としています。主な活動は修復作業の優先順位付けと条件の定義、誤検出の議論と文書化、例外への対処に重点を置いています。

脆弱性管理ツールが DevSecOps にどのように役立つか

DevSecOps パイプラインを作成するために使用するツールは多くの脆弱性を生成し、それぞれのツールは独自の個別フォーマットを持っています。このデータを管理して追跡することは困難です。脆弱性管理ツールはさまざまなツールや活動で生成されたレポートを一つないしいくつかのダッシュボードに統合し、セキュリティ態勢の概要を提供します。チームメンバーはメトリクスによって修復作業の進捗状況を追跡し、パイプライン全体にわたる調査結果をトリアージおよび優先順位付けし、プロセス全体にわたる脆弱性ライフサイクルの管理を行うことができます。また、エンジニアは重複排除機能の恩恵を受け、継続的なスキャンと調査結果の重複によって発生するノイズに対処できます。最後に、脆弱性管理ツールは他のコンポーネントとの統合により、双方向通信、通知、データのエクスポート、レポートの生成を可能にします。

以下の画像は脆弱性管理が何を意味し、なぜ考慮しなければいけないかをよりよく理解するためのものです。

注意

脆弱性管理ツールで大規模なセキュリティバックログを作成し、脆弱性を捕捉しても、その修正に貢献しないことに注意してください。 Michal Zalewski が "The Tangled Web" (邦訳「めんどうくさいWebセキュリティ」) で述べているように、資金不足のセキュリティ対策とリスク管理は真のセキュリティ対策の代わりにはなりません。

また脆弱性管理プロセスがあまり速くないことにも注意してください。 DevSecOps パイプラインは通常の開発プロセスの一環として、脆弱性を開発者に迅速に届ける高速なフィードバックループを作成するように設計すべきです。遅延が生じると脆弱性の修正がはるかに複雑になり費用もかかります。

どこで (Where)、いつ (When)、どのように (How)

開発の初期段階でガバナンス機能を提供するには DevSecOps プログラムの中心部分に脆弱性管理ツールを実装し統合すべきです。OWASP DefectDojo などのツールでは自動 CI/CD 統合と手動レポートをサポートします。またリスク分析プロセスを補完する優れた方法である OWASP ASVS V4 に対してアプリケーションを追跡するチェックリストも含まれています。


ツール:

  • オープンソース:

    • (OWASP DefectDojo)[https://github.com/quay/clair] - オープンソースアプリケーションセキュリティ管理

    • (Archery Sec)[https://www.archerysec.com] - オープンソースオーケストレーションおよび相関ツール

  • 商用:

    • (kondukto)[https://kondukto.io] - すべてのセキュリティテストツールの結果を一つのビューで即時に取得し、脆弱性修復ワークフローを自動化し、主要なセキュリティパフォーマンス指標 (KPI) でリスクを管理します。


参考情報

DefectDojo Supported Tools & Reports
DefectDojo Model
Vulnerability Management Principles
迅速かつ簡潔に把握すること
VM Inside Pipeline