Blog
脆弱性の情報は毎日出ます。深刻度が高いものも珍しくありません。それでも流れてきた1件が自分に関係あるのかどうかは、見ただけでは分かりません。
脆弱性の情報は毎日出ます。深刻度が高いものも珍しくありません。それでも流れてきた1件が自分に関係あるのかどうかは、見ただけでは分かりません。
関係あるかどうかを決めるのは、自分が何を使っているかです。ここが分からないと判断できません。
ところがこれを毎回思い出すのが大変です。サーバーで動いているもの、その上で使っている部品、昔入れてそのままのもの。稼働しているバージョンを全部思い出せる人はまずいません。調べれば分かりますが、1件のニュースごとに調べていられません。
結果どうなるかというと、読まなくなります。深刻度の高いものだけ拾おうとしても、深刻度は「世の中にとっての深刻度」なので、自分に関係あるかは別の話です。9.2 でも使っていなければ関係ありません。逆に 5 点台でも、まさに使っているものなら手を動かす必要があります。
やり方を変えました。1件ごとに調べるのをやめて、自分が使っているものを一度並べて渡しておくことにしました。
そのうえで毎朝、その日公表された分を集めて、渡した一覧と突き合わせた結果を表で出してもらいます。当社では04:00に動かしています。朝起きると照合済みの表が置いてある状態です。
頼むときに1つ足したことがあります。関係しないと判断したものは、その理由を1行書くようにしました。これが思っていたより効きました。
「3件が関係します」とだけ書かれた報告だと、残りをどう扱ったのかが分かりません。見落としたのか、見たうえで外したのかが区別できないからです。理由が1行ついていれば「これは別の製品の話」「当社はその機能を使っていない」と読めます。安心して読み飛ばせる、というのが大きいです。
この仕組みを入れた翌朝、前日に公表された件の評価が変わったという報告が上がってきました。前の日は一般的な注意喚起として見ていたものが、当社が使っている組み合わせではもっと重く見るべきだという内容に変わっていました。
自分で追っていたら、たぶん気づいていません。公表された日に一度読んで、終わったことにしていたと思います。脆弱性の情報は公表時点で確定するものではなく、後から評価が変わります。毎朝同じ照合を繰り返すことには、そこを拾えるという意味もありました。
この作業を人の手で続けるのは無理だと思います。毎日公表されるものを集めて、自分が使っているものと1件ずつ突き合わせる。1日分なら30分で終わるかもしれません。それを何も起きない日も含めて毎日続けることになります。どこかで抜ける日が出ますし、抜けた日に限って関係するものが出ます。漏れたかどうかも分かりません。
当社ではこれを miraiGen.™Cube の中で働く AI に任せています。任せてから変わったのは、作業が減ったことよりサーバーの運用に対する不安が減ったことでした。以前は何か公表されるたびに、見落としているものがあるのではないかという感覚が残り続けました。いまは毎朝、照合した結果が理由付きで置かれています。関係しないと書かれているものは、関係しないと思って進められます。この落ち着きは自分でサーバーを見ていた頃には無かったものです。
脆弱性の情報を追うのがつらいのは、量ではなく毎回ゼロから考え直すところだと思います。使っているものの一覧を1回作っておくと、そこが消えます。