脆弱性対策の標準仕様SCAPの仕組み
～MyJVNバージョンチェッカのカスタマイズ入門～
独立行政法人 情報処理推進機構 (IPA)
技術本部 セキュリティセンター
2012年2月28日
講義内容
脆弱性対策の標準仕様SCAP概要
オフライン版MyJVNバージョンチェッカのカスタマイズ
2011年に起こったサイバー攻撃：
2011年は、サイバー攻撃に関する報道が目立った
時期
報道
2011/2
中国から欧米エネルギー５社攻撃 （毎日新聞等）
2011/3
韓国で大規模ハッカー攻撃 大統領府や銀行など４０機関 （朝日新聞等）
2011/3
仏財務省にサイバー攻撃、Ｇ２０情報盗まれる （読売新聞等）
2011/4-5
Ａ社にサイバー攻撃、個人情報流出１億件超 （朝日新聞等）
2011/6
米Ｂ社：中国からサイバー攻撃 米韓政府関係者ら被害 （毎日新聞等）
2011/9
Ｃ社にサイバー攻撃、８０台感染…防衛関連も （読売新聞等）
2011/9
Ｄ社にもサイバー攻撃 日本の防衛・原発産業に狙いか （産経新聞等）
2011/10
衆議院にサイバー攻撃 議員のパスワード盗まれる （朝日新聞等）
2011/11
サイバー攻撃：参議院会館のＰＣ、ウイルス感染は数十台に （毎日新聞等）
昔と今のサイバー攻撃の絵姿変化...
攻撃者ひとり
体系化（Botnet)
不正侵入・改竄
攻撃組織基盤化
多段化
正規サービスの
攻撃基盤利用
２００６～
（Botnet技術基盤利用）
PCとホームページ改竄がターゲット
？
e-マーケットビジネス、決済等への影響
決済関連情報窃取等、サプライチェーン
PCの破壊・HP改竄
対象：PC、サーバ
対象：情報システム（組織・ビジネス）
情報窃取等
１脆弱性＝１攻撃の時代
攻撃組織間連携
多様な意図性（情報窃取攻撃）
２０００～
２００４～
２００６～
２００９～
影響（業務インパクト）の変化
出展：亀山社中
攻撃の変容
２０１０～１１
戦術的攻撃
ウイルス亜種の大量出現
シーケンシャルマルウエア（多段型攻撃）
0-Day脆弱性利用
toolによるウイルス生産
情報システムがターゲット
対象：制御システム・社会インフラ
国家安全保障問題
製造業者における死活問題
正規サイト・
サービス利用
組織を跨った新し
いタイプの攻撃
増え続ける脆弱性対策情報
～ PCで使用するソフトウェアの脆弱性が増加～
1
17
29
24
73
84
133
152
271
355
461
450
0
100
200
300
400
500
2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 2011
件
数
図
2. PCで広く利用されている定番ソフトウェアの登録件数の年別推移
一太郎
Adobe Flash Player
Adobe Acrobat
Adobe Reader
JDK
JRE
Microsoft Internet Explorer
Mozilla Firefox
（出典）IPA：脆弱性対策情報データベースJVN iPediaの登録状況 2011第4四半期
2007年頃からAcrobat Reader、JRE、Adobe Flash Playerの脆
弱性対策情報が飛躍的に増加
一般利用者において、
常にセキュリティパッチを適用し続けなけれ
管理対象機器の増大
ＰＣだけではなく、あらゆるものが、ネットワークにつながり、
機器の管理が困難
まとめ
どのように対策
米国における脆弱性対策
増大する脆弱性、管理
対象システム。次に、
米国での取組みを見て
みよう
米国における脆弱性対策の歩み
1999年iCAT(脆弱性対策メタデータベース)構築からはじまり、2002年
のFISMA (Federal Information Security Management Act： 連邦情報セ
キュリティマネジメント法) の施行以降、各種活動が統合されはじめた。
NVD
SCAP
NCP
1999年
2002年
2004年
2006年
2010年
脆弱性対策管理やコンプライアンス管理
⇒情報セキュリティ管理の技術面での
機械化(自動化)と標準化
プログラムが稼動するための
設定に内在するセキュリティ問題
⇒チェックリスト
プログラム自身に内在する
FDCC
連邦政府システムの共通のデスクトップ基準
米国での脆弱性対策の取組み
米国では、 2002年のFISMA(Federal Information Security Management Act：
連邦情報セキュリティマネジメント法)の施行以降、セキュリティ規格やガイドライン
に従い、情報システムにセキュリティ要件を反映する活動を推進している。
作業の機械化(自動化)による対処
⇒
SCAP (Security Content Automation Protocol)
共通のデスクトップ基準制定による対処
⇒
FDCC(Federal Desktop Core Configuration)
【 解決策 】
共通基準制定による(自動化)の普及
⇒
Making Security Measurable
共通の基準制定による対処
⇒
USGCB(United States Government
Configuration Baseline)
セキュリティ設定に関する作業を手作業
で行なうと、
設定ミスや設定者のセキュ
リティ知識の程度や判断の相違
などによ
りセキュリティ要件を損なう可能性
連邦政府システムのベースラインのセ
キュリティを確保しつつ、ヘルプデスクお
よび パッチ検証にかかる費用を削減
【 課題 】
コンプライアンス対応に膨大な時間とリソース
の消費
【 背景 】
SCAP
＝FDCC推進を支援するための技術仕様
2007年、米OMB(Office of Management and Budget：行政予算管理局)では、
Windowsソフトウエアを『共通セキュリティ設定』に準拠させるFDCC（Federal
Desktop Core Configuration：連邦政府共通デスクトップ基準)を定めた。
NISTでは、FDCC推進にあたり、FDCC準拠の確認手段の一つとしてSCAPを普及
展開している。
ポリシー・・・
FISMA
スタンダード・・・
FDCC
などの共通セキュリティ設定
共通技術仕様・・・
SCAP
、Making Security Measurable
ツール・・・
NVD、SCAP準拠ツール
JVN脆弱性対策機械処理基盤
(MyJVN API、MyJVN XMLフォーマットなど
IPA提供ツール
注意喚起など緊急時対応
基盤を普及させるための先行実装
米国政府の推進するSCAPとは
脆弱性管理、コンプライアンス管理の一部を機械化(自動化)することにより、情
報システムに対するセキュリティ対策の負荷軽減と情報セキュリティ施策の推進の
両立を目的とした仕様群である。
6つの標準仕様
から構成されている。
脆弱性管理
構成管理
資産管理
プログラム自身に内在する
プログラム上のセキュリティ問題に
一意の番号を付与する
脆弱性自体の特性、パッチの提供状況、
ユーザ環境での影響度などを
考慮し影響度を評価する仕様
プログラム上のセキュリティ問題や
設定上のセキュリティ問題をチェック
するための手続き仕様
セキュリティチェックリストやベンチマークなどの
文書を記述するための仕様
プログラムが稼働するための設定上の
セキュリティ問題に一意の番号を付与する
情報システムを構成する、
ハードウェア、ソフトウェアなどに
一意の名称を付与する
MyJVNバージョンチェッカとSCAPの関係
MyJVNバージョンチェッカではSCAPの要素のうち、OVAL、
XCCDF、CPEを利用しています。
脆弱性管理
構成管理
資産管理
プログラム自身に内在する
プログラム上のセキュリティ問題に
一意の番号を付与する
脆弱性自体の特性、パッチの提供状況、
ユーザ環境での影響度などを
考慮し影響度を評価する仕様
プログラム上のセキュリティ問題や
設定上のセキュリティ問題をチェック
するための手続き仕様
セキュリティチェックリストやベンチマークなどの
文書を記述するための仕様
プログラムが稼働するための設定上の
セキュリティ問題に一意の番号を付与する
情報システムを構成する、
ハードウェア、ソフトウェアなどに
一意の名称を付与する
何故MyJVNを利用するのか？（その１）
脆弱性対策情報を追い続けることは大変
稼働中のシステムに対して「影響のある脆弱性が存在するか」を
追い
続けることにはユーザ企業にとって必要不可欠
文書による脆弱性対策情報だけで影響有無を判定する手法は
抜け
漏れが発生する可能性
がある
問題有無?
稼動中の
システム
検査
修正・変更の
実施
問題なし
問題あり
文書による
脆弱性の注意喚起
文書による
影響有無の確認
文書による
指示で修正
MyJVNによる機械処理の部分
作業漏れ防止、早期対応、負荷軽減といったことを実現する
ためには手作業ではなく
機械処理
が有効
問題有無?
稼動中の
システム
検査
修正・変更の
実施
問題なし
問題あり
手順データ
による
脆弱性の注意喚起
手順データ
による
影響有無の確認
手順データ
による
指示で修正
011010 111101 110101手順データ
何故MyJVNを利用するのか？（その２）
オフライン版MyJVNバージョンチェッカの
カスタマイズ
本章の流れ
本章では下記の流れで説明を進めます。
１．MyJVNバージョンチェッカとは
２．カスタマイズの概要
本章の流れ
本章では下記の流れで説明を進めます。
１．MyJVNバージョンチェッカとは
２．カスタマイズの概要
MyJVNバージョンチェッカとは
PCにインストールされているソフトウェア製品（Adobe Flash Player、Adobe
Reader、JRE等）が最新かを簡単な操作で確認するツール
サービス開始は2009年11月末。チェック対象アプリは随時追加中。
（2009/11時点のアプリ数は8 → 2011/8時点のアプリ数は17）
公開URL
http://jvndb.jvn.jp/apis/myjvn/index.html （クイック起動） または
最新バージョンでない
場合には「×」と表示
します
MyJVNはSCAPの要素
OVAL
、
CPE
、
XCCDF
を
利用しています。
MyJVNバージョンチェッカの仕組み
MyJVNバージョンチェッカの仕組み
IPA内で
バージョン判定用定義データ
を作成する
MyJVNバージョンチェッカでバージョン判定用の定義デー
タとシステムの情報を対比させる
定義ファイルと
システムと対比
結果表示
ユーザ側
MyJVNバージョンチェッカ
MyJVNの管理ツールで作成
した判定用の定義データ
IPA側
インターネット
バージョン判定用
の定義データ
ダウンロード
判定用の定
義データ
バージョン判定用の定義データとは
バージョン判定用定義データは主に2種類のデータ
で構成されます。
定義ファイルと
システムと対比
結果表示
ユーザ側
MyJVNバージョンチェッカ
MyJVNの管理ツールで作成
した判定用の定義データ
IPA側
インターネット
バージョン判定用
の定義データ
ダウンロード
判定用定義
データ
・セキュリティ検査言語OVALのデータ
・セキュリティチェックリストXCCDFのデータ
ソフトウェアのバージョンチェック用OVALには、チェック対象のアプリケーション毎に、
インベントリ
と
バルネラビリティ
の２種類のファイルが存在する
MyJVNバージョンチェッカでは、インベントリとバルネラビリティのOVALを読込んで処
理を行う
セキュリティ検査言語OVAL
OVAL種別
説明
インベントリ
(Inventory)
チェック対象のソフトウェア製品が
インストールされている
かを検査する
方法を記述
バルネラビリティ
(Vulnerability)
チェック対象のソフトウェア製品が、
最新のバージョンであ
るかを検査する
方法を記述
セキュリティ設定チェックリストXCCDFとは
XCCDFとは？
・英名：e
X
tensible
C
onfiguration
C
hecklist
D
escription
F
ormat
・和名：セキュリティ設定チェックリスト記述形式
・意味：セキュリティチェックリストなどを記述するための仕様言語のこと
XCCDF定義データ
OVAL定義データ
チェックリスト
No チェック項目 1 ソフトウェアAのバージョンチェック 2 ソフトウェアＢのバージョンチェック 3 PCのセキュリティ設定Ｘの設定状況 … … …… …… ……… … ソフトウェアAの バージョンチェックを行う OVALファイル ソフトウェアＢの バージョンチェックを行う OVALファイル セキュリティ設定Ｘの 設定状況を確認する OVALファイルアプリケーションのバージョン確認方法
○○○○ ○○○○
