今日は脆弱性を発見した際に届け出る、IPA（独立行政法人 情報処理推進機構）の「脆弱性関連情報の届出受付」制度について紹介したいと思います。

【目次】
•脆弱性とは？
•脆弱性関連情報の届出受付とは？
•届け出の対象
•届け出に関して留意すべきこと
•脆弱性が公表された後
•おわりに

︎脆弱性とは？
脆弱性とは、OSやソフトウェア、あるいはWEBサイト等に存在する、プログラムの不具合や設計上の不備によって発生するセキュリティ上の欠陥のことです。私たちが普段利用しているパソコンやスマートフォン、WEBサイト等に脆弱性が存在する場合、ウイルスの感染や不正アクセスといった被害に発展するおそれがあります。
脆弱性には、脆弱性情報を一意に識別することができるCVE 番号というものが付与されます。このCVE番号は、米国MITRE 社が管理運営を行っている、一般公表されている公知の脆弱性情報を掲載している脆弱性情報辞書(データベース)である「CVE」に収録された脆弱性情報を一意に識別するために割り当てられる番号であり、CNA（注1）によって脆弱性情報の公開前に割り当てられます。特定のCVE 番号を調べたい場合は、米国国立標準技術研究所（以下、NIST）のNVD（注2）やIPAのJVN（注3）で検索が可能です。
注1：CVE 採番機関
注2：NISTが管理している脆弱性管理データのリポジトリ
注3：日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供しているサイト

︎脆弱性関連情報の届出受付とは？
　それでは個人で脆弱性を発見した場合、どのように対応したらよいのでしょうか。様々な対応がありますが、その１つとして本記事で紹介しているIPAへの「脆弱性関連情報の届出」があります。制度の内容について、IPAのサイトには以下のような記載があります。
脆弱性関連情報の適切な流通および対策の促進を図り、インターネット利用者に対する被害を予防することを目的として、2004 年7月8日から経済産業省の告示に基づき策定された情報セキュリティ早期警戒パートナーシップガイドラインに則り運用しています。
引用元：https://www.ipa.go.jp/security/vuln/report/
　届け出の方法には２種類あり、WEBフォームから届け出を行う方法と、電子メールで行う方法があります。

︎届け出の対象
届け出の対象は下記2点です。
①ソフトウェア製品脆弱性関連情報
②ウェブアプリケーション脆弱性関連情報
また、ベンダーによっては自組織で独自に届け出を受け付けているケースもあるので、そちらもご確認いただくと良いと思います。

︎届け出に関して留意すべきこと
最終的に製品開発元またはWEBサイト運営者に対して届け出情報が連携されるので、届け出を受けた側が、実際に脆弱性が存在するかどうかを確認しやすいように、脆弱性を確認した際のキャプチャやログファイルの提出、再現手順の詳細な説明などを心がけると良いでしょう。
また、届け出たからといって必ずしも脆弱性と認定されるわけではない点も留意しておくべきです。発見者の中には、そのことに不満を持って独自に公開するケースも散見されますが、その情報が悪用される可能性もあるため、むやみやたらに公開することは控えた方が良いでしょう。

︎脆弱性が公表された後
　自身が発見した脆弱性に関する情報をブログやSNSで共有したいと思うかもしれませんが、その際、脆弱性を確認した際のキャプチャやログファイル、また再現手順の詳細を共有する場合は注意が必要です。
脆弱性を確認するための情報は、場合によっては悪用される可能性があるため、その点に注意して取り扱う必要があります。詳細は、IPAの情報セキュリティ早期警戒パートナーシップガイドラインのページにある「資料のダウンロード」を参照いただければと思います。

︎おわりに
　前項で紹介したNVDやJVNを確認すると分かりますが、脆弱性というのは日々公表されており、その中でも危険な脆弱性については、世界的な規模で攻撃に悪用されるなどしております。自組織や自身で利用している製品に関する脆弱性情報が公表されていないか定期的に確認し、必要であればアップデートなどして対応しましょう。
もしくは、セキュリティベンダーによる定期的な脆弱性診断によって、脆弱性が無いか確認することも対策の１つとなります。弊社では、「早く」「広く」「安く」に主眼を置いたWEBアプリケーション診断サービス「SCUVA」を提供しております。脆弱性診断をご検討される際には、是非ご用命ください。

今回はこちらで終了です。
最後までお読みいただきありがとうございました。

東京都の新型コロナウイルスの感染者数も増加し、なかなか収束しない状況ですね。
コロナ禍の生活も2年目となり、私としては仕事においてもプライベートにおいても、良くも悪くも慣れてしまっていますが、皆さんはいかがでしょうか。

ワクチン接種予約システムから見る脆弱性
2021年3月以降、政府や各自治体による新型コロナウイルスのワクチン接種の予約が開始されましたが、それと同時に予約システムでは多くのトラブルが発生し、報告されました。
・アクセスできない！
・架空の接種券番号で予約ができる！
・未来の生年月日で予約ができる！
・期間外でも予約ができる！
・他人の個人情報が閲覧できる！　　etc…
複数のシステムで仕様や不具合による様々な問題の指摘や報告がされましたが、この中には大規模接種センターの予約システムで「SQLインジェクションを使って、データベースに不正アクセスができる可能性がある」という指摘がSNSでも拡散されました。
（実際は、SQLインジェクションの被害やデータの流出は報告されていません）

SQLインジェクションとは、Webサイトが想定していないSQL文（データベースへの命令文）を実行させることで、データベースを不正に操作する攻撃手法のことです。
データベースには、いろいろなデータが登録されており、それらが不正に操作される可能性があるということです。

「うちの会社はデータベースを使ってないから大丈夫」
そう思われている方々は、注意が必要です！
データベースを利用していないWebサイトでは、当然SQLインジェクションは起こりません。しかし、だからといって、脆弱性がない安全なWebサイトであると言い切ることはできません！
SQLインジェクション以外にも、Webサイトが持つ機能によって、どのような脆弱性が潜んでいる可能性があるか、3つのCASEを挙げてみます。

■CASE1：掲示板などユーザが入力した内容を表示するサイト
掲示板などはユーザが任意に入力した内容をそのまま表示できるのが一般的です。
→このようなサイトに、クロスサイトスクリプティング（図1）に対する脆弱性があれば、攻撃者によって、偽のページを表示させられたり、不正なスクリプトを実行させられたりという可能性があります。

図1　クロスサイトスクリプティング

■CASE2：ログイン機能のあるサイト
ログイン機能があるということは、個人が閲覧できる範囲が分かれているのが一般的です。
→このようなサイトに、認可制御（図2）に対する脆弱性があれば、攻撃者に他のユーザの個人情報を閲覧されてしまう可能性があります。

図2　認可制御

■CASE3：お問い合わせのできるコーポレートサイト
お問い合わせのできるサイトは、ログインしなくても個人情報などを入力して、企業担当者にその内容をメールで送るというものが一般的です。
→このようなサイトに、CRLFインジェクション（図3）に対する脆弱性があれば、攻撃者によってメールの内容を改ざんされる可能性があります。

図3　CRLFインジェクション

今回は3つのCASEを挙げてみましたが、Webサイト毎にどのような機能があるかによって、潜んでいる脆弱性は異なってくるのです。もちろん、Webサイトによって、ここで挙げた以外にも脆弱性が潜んでいる可能性があります。

Webサイトは作る前の計画段階から対策を考え、作っている間にも脆弱性が潜まないように作るのが望ましい手順と言えるでしょう。しかし、脆弱性が潜まないように作られたWebサイトであっても、意図せず脆弱性が潜んでしまうことがあります。そのため、インターネットに公開する前に、脆弱性が潜んでいるかチェックをすることをオススメします。

そのようなお客様のWebサイトに対して、多くの脅威から守るために、弊社はWebサイトに潜んでいるセキュリティリスクを発見するサービス「Webアプリケーション脆弱性診断『SCUVA（スキューバ）』」を提供しております。

SCUVA（スキューバ）ってなに？泳ぐの？
「スキューバ」という言葉からまず連想されるのは、タンクを背負って水中に潜るスキューバダイビング（scuba diving）かもしれません。しかし、『SCUVA（スキューバ）』とは、弊社が提供している「Webアプリケーション脆弱性診断」のサービスのことです。
Security CatchUp Vulnerability Analyzeの頭文字をとって、『SCUVA（スキューバ）』です。
水中には潜りませんので泳ぎません。Webの世界に潜り、脆弱性を見つけ出すというイメージから考えた造語です。

『SCUVA（スキューバ）』は、診断期間、コスト、診断内容の面でバランスのとれたサービスであり、” より多く”、”より早く”、”より安く”、 Webアプリケーション脆弱性診断をご提供します。

■より多く！
「ツールだけ！」「手動だけ！」の診断ではなく、「ツール＆手動」を使い分けて診断することで、効率良く、さらに幅広い範囲をカバーし、できるだけ多くの種類の脆弱性を検出するようにしています！
　
■より早く！
お申込みから診断の実施までの期間が短く、診断開始から納品までは5営業日と、スピーディーな脆弱性診断をご希望のお客様に最適です！

■より安く！
必要な項目を絞ることでコストカットを実現し、1サイト当たり49万円（税抜き）という価格にて提供しております！

このような特徴から、「今まで診断を依頼した事がない…」「今すぐに診断をして貰えない…」「見積りを取ったが費用が高い…」といったお客様のご要望を満たし、ご利用いただいております！
複数のWebサイトを保有されるお客様の定期チェックにもオススメです。
また、セキュリティサービスのリーディングカンパニーであるラックが、1995年から実施してきた診断サービスで培われた独自の診断文字列や手法が活用されているなど、品質面でも高い評価を頂いています。

※ご提供価格につきましては、お客様のWebサイトの仕様、実施時期やオプションによって変動いたします。

さいごに
サイバー攻撃のトレンドも変化し続けており、Webサイトにも対応が求められるようになっていますが、脆弱性診断を受けようとしても、内容によって期間や費用が異なり、迷うことが多いと思います。
そうしたお客様の課題を解決するために生み出されたのが『SCUVA（スキューバ）』です。
個別対応も実施しておりますので、詳細などにつきましては、下記お問い合わせフォームより、どうぞお気軽にご相談ください。

最後までお読みいただき、ありがとうございました。