Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Vuls開発者による小話@Vuls祭り#9
Search
MaineK00n
February 16, 2024
Programming
0
470
Vuls開発者による小話@Vuls祭り#9
MaineK00n
February 16, 2024
Tweet
Share
More Decks by MaineK00n
See All by MaineK00n
How_to_Write_and_Distribute_Security_Advisories_OpenSSF_Day_Japan_2023.pdf
mainek00n
0
56
ネットワーク機器における脆弱性検知の取り組みと課題_JANOG52.pdf
mainek00n
0
24
Vuls v0.23.0-beta Windows Support@Vuls祭り#7
mainek00n
0
5.7k
Vuls Major Update - user friendly and new feature custom advisory @ Black Hat MEA 2022
mainek00n
0
20
Vuls and MITRE ATT&CK @ CODE BLUE 2022
mainek00n
0
35
Vuls のアップデート情報と未来 @ Vuls祭り#6
mainek00n
0
160
Vuls2020 at AVTOKYO2020 HIVE
mainek00n
0
140
Other Decks in Programming
See All in Programming
#kanrk08 / 公開版 PicoRubyとマイコンでの自作トレーニング計測装置を用いたワークアウトの理想と現実
bash0c7
1
780
AI時代のソフトウェア開発を考える(2025/07版) / Agentic Software Engineering Findy 2025-07 Edition
twada
PRO
91
30k
明示と暗黙 ー PHPとGoの インターフェイスの違いを知る
shimabox
2
520
PipeCDのプラグイン化で目指すところ
warashi
1
280
AIプログラマーDevinは PHPerの夢を見るか?
shinyasaita
1
230
Node-RED を(HTTP で)つなげる MCP サーバーを作ってみた
highu
0
120
Porting a visionOS App to Android XR
akkeylab
0
480
Discover Metal 4
rei315
2
140
dbt民主化とLLMによる開発ブースト ~ AI Readyな分析サイクルを目指して ~
yoshyum
3
1k
MDN Web Docs に日本語翻訳でコントリビュートしたくなる
ohmori_yusuke
1
130
Python型ヒント完全ガイド 初心者でも分かる、現代的で実践的な使い方
mickey_kubo
1
130
なぜ「共通化」を考え、失敗を繰り返すのか
rinchoku
1
650
Featured
See All Featured
Building Flexible Design Systems
yeseniaperezcruz
328
39k
The Art of Delivering Value - GDevCon NA Keynote
reverentgeek
15
1.5k
How GitHub (no longer) Works
holman
314
140k
Visualizing Your Data: Incorporating Mongo into Loggly Infrastructure
mongodb
46
9.6k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
130
19k
Product Roadmaps are Hard
iamctodd
PRO
54
11k
Site-Speed That Sticks
csswizardry
10
690
The Art of Programming - Codeland 2020
erikaheidi
54
13k
Reflections from 52 weeks, 52 projects
jeffersonlam
351
20k
Raft: Consensus for Rubyists
vanstee
140
7k
Practical Orchestrator
shlominoach
189
11k
Cheating the UX When There Is Nothing More to Optimize - PixelPioneers
stephaniewalter
281
13k
Transcript
Vuls開発者による小話 中岡 典弘 @ Vuls祭り#9
whoami Norihiro Nakaoka / @MaineK00n 2 Future Corporation, Cyber Security
Innovation Group OSS Vulnerability Scanner: Vuls1 Committer Achieved 10,000 stars on 2023-06-08 🎉 [1] https://github.com/future-architect/vuls
Contents 1. これまでの OSS Vuls 2. これからの OSS Vuls 3.
まとめ 3
1. これまでの OSS Vuls
ここ3ヶ月のVulsへの(気に入っている)変更 • go-cve-dictionary の NVD API へのサポート ◦ https://github.com/future-architect/vuls/pull/1803 ◦
https://github.com/future-architect/vuls/pull/1805 • windows scanで、default shellがpowershellの場合をサポート ◦ https://github.com/future-architect/vuls/pull/1844 5
Vuls データソースまわりの変遷 2016/04 f4fb0b5 ソースコード公開,cve のみ 2017/08 10a2704 oval 追加
2018/08 44fa2c5 gost 追加 2018/11 9865eab exploit 追加 2020/07 11a7a0c metasploit 追加 2021/11 89d94ad kev 追加 2022/06 5234306 cti 追加 6
Vuls DB 周りでよく思うこと • oval, gostの担当は? ◦ 初期: oval→patched cve,
gost→unpatched cve ◦ 現在: debian/ubuntu はgostでpatched, unpatched cveを検知 • Vulsから利用するだけなら,cve, exploit, metasploit, kev, ctiが独立する必 要なくない? ◦ それはそう 7
Vuls スキャン周りで思うこと • スキャン手順が色々 ◦ OS package: Vuls(local,SSH,Server) ◦ Docker
Image: Trivy-to-Vuls ◦ Library: Trivy-to-Vuls, Vuls(lockfile) ◦ 3rd-party software: go-cpe-dictionary→Vuls(CPE) ◦ NW機器: snmp2cpe→Vuls(CPE) ◦ SBOM: ??? 8
2. これからの OSS Vuls
3つの大きなリファクタリング 1. 各種DBの統合 a. DBの安定した提供 b. 脆弱性DBのカスタマイズ 2. スキャンのきめ細やかさ 3.
テストカバレッジ 10
脆弱性DBのカスタマイズ Vulsで使用するDBに 自社製品や収集した情報などを追 加したりできるように したい(と思っている) vuls-jp feedとか??? 11
妄想① 12
妄想② 13
3. まとめ
まとめ • OSS Vuls は,将来に向けて大規模なリファクタリングを行う予定 • もし,現在の機能に対する要望や使い勝手,将来的に実装してほしい機能 でリクエストがある場合は,GitHub issueやSlack #vuls-jp
などで議論しま しょう! 15