ソフトウェアの脆弱性情報をいち早く入手する - CVE・CISA KEV・JPCERT/CC・OSV｜npaka

記事の内容

この記事は、ソフトウェアの脆弱性情報がどのように世界に広まるかを説明します。そのうえで、CVE、CISA KEV、JPCERT/CC、OSVという4つの情報源を紹介します。脆弱性は、悪用されると不正アクセスや情報漏洩につながるおそれがあります。だからこそ、早く情報を知ることが大切だと伝えています。

脆弱性情報が広まる流れ

脆弱性情報は、まず研究者が問題を見つけます。次に開発元へ報告され、開発元が調べて対策を考えます。その後、修正版や回避策が公開され、セキュリティ機関やデータベースを通じて広まります。修正前に情報が出たり、攻撃のあとで見つかったりする場合もあります。

主な4つの情報源

• CVE：世界共通の脆弱性番号と情報。GitHubでも公開され、約7分ごとに更新されます。
• CISA KEV：米国のCISAが公開する、実際に攻撃で悪用された脆弱性の一覧です。
• JPCERT/CC：日本語で重要な脆弱性や対策情報を発信します。RSSにも対応しています。
• OSV：npm、PyPI、Maven、crates.ioなど、オープンソースのライブラリの脆弱性を調べられるデータベースです。

なぜ大切なのか

脆弱性情報を毎日手で確認するのは大変です。そこで、APIやRSSを使って自動で情報を集める方法がすすめられています。また、深刻度だけでなく、実際に悪用されているかどうかや、自分のシステムへの影響も考えることが重要です。

これから注目したいこと

• 使っているOS、サーバー、クラウド、ネットワーク機器の公式セキュリティ情報を確認する。
• CVSSの点数（0.0〜10.0）と、CISA KEVの悪用情報を合わせて判断する。
• 新しい脆弱性が出たときに、メールやチャットで通知を受け取る仕組みを作る。