脆弱性対応、どこで線を引くか

脆弱性対応、どこで線を引くか 2026/06/17 Go Connect #14 パンダム/rymiyamoto

パンダム/rymiyamoto(@rymiyamoto129) Go をメインにWeb 系を広く浅くやってるゆるくインターネットが好きなオタクです近況：超かぐや姫の最終公演の予約に完全敗北した

前回のOST 、ありがとうございました

今日の話脆弱性スキャンの全部対応は本当に必要かどこで線を引くか、判断する2 つの軸の話

検出されたものは全部潰す

ある時期、全部対応してた ECR スキャン(Inspector v2) を愚直に対応していた内部ETL ツールの使用パッケージを全部上げた正直しんどかった

これ、本当に必要だった？

外部公開しているか

外部 vs 内部でリスクが全然違うインターネットから叩けるかどうかで判断攻撃者はまず社内ネットワークへの侵入が必要同じ脆弱性でもリスクが全然違う

実際に呼ばれているコードか

govulncheck は呼び出し経路まで静的解析する Go 公式ツール（golang.org/x/vuln ）脆弱な関数が実際に呼ばれているかまで追う呼ばれていなければ報告に出てこない govulncheck で行う脆弱性対応 /
hon_d

govulncheck は Severity を出さない Trivy などは Critical / High /
Medium でラベリング govulncheck はラベルなし判断は開発者が持つ、という Go らしい設計思想 Trivy

govulncheck の出力例検出あり検出なし === Symbol Results === Vulnerability #1:
GO-2025-XXXX Found in: golang.org/x/[email protected] Fixed in: golang.org/x/[email protected] Example traces found: #1: internal/api/handler.go:42 === Symbol Results === No vulnerabilities found.

2 軸を組み合わせた判断マトリクス govulncheck 外部公開内部のみ検出あり優先対応早めに修正対応する次のリリースサイクルで
検出なし低優先記録して様子見今は対応不要呼ばれたら再判断

判断を言語化する外部公開しているか / 実際に呼ばれているコードか

実際やってきた事例として govulncheck でコードレベルの脆弱性を監視 ECR スキャン通知も入れ、コンテナイメージレベルも継続監視 ECR イメージスキャンでコンテナの脆弱性を検知する / パンダム

最後に Go Conference 2026 の CFP を出しているので、採択されたら詳しく喋るよ

宣伝：Vue Fes Japan 2026 CFP 募集中！

おわり

脆弱性対応、どこで線を引くか

脆弱性対応、どこで線を引くか

パンダム

More Decks by パンダム

Other Decks in Technology

Featured

Transcript