脆弱性管理
主にSBOMやTrivy、Docker Scout、Vulsなどを取り扱っています。
こんにちは。 最近、雪が降ったり春らしい暖かさになったり、また雪予報が出てたりと、気温と天気の変化が大きくて体調管理が難しい日々が続いていますね。 新年に立てた目標を改めて見返しながら、進捗の悪さに焦りつつも、「来年度から」という都合がいい…
GitHubではパブリックリポジトリや、自分がアサインされているプライベートリポジトリでSBOMがエクスポートできます。 github.blog Insights > Dependency graph > Export SBOM の順に進んでいくとJSONファイルでダウンロードできます。 この機能をgh CLIか…
今回のとことんDevOps勉強会では「システムの脆弱性、把握してますか? 〜 これからはじめる脆弱性管理」ということで、システムに存在するセキュリティ的な脅威となるバグや設定不備の総称である脆弱性に対してどのように対策を取っていくのかをお話しさせて…
Docker Desktop 4.18がリリースされてこのバージョンでDocker Scoutが使えるようになったようなので、早速触ってみました。 Docker Desktop 4.18の主な変更点の一つであるDocker Scoutは、Dockerでコンテナイメージのスキャンをしてイメージの脆弱性をあぶり…
今年の４月にリリースされたDocker Desktop 4.7.0でSBOMが普通に使えるようになり、Docker DesktopユーザーはDocker単体でSBOMの調査やSBOMファイル作成が可能になっていました。 www.docker.com 筆者はこの機能はDocker Desktopでしか使えないのかなと勘違…
Trivyというと、コンテナイメージのスキャン用のツールとして有名だと思います。 例えばDocker Desktopなどの拡張機能を使って利用したり、コマンドラインで使ったり、CI/CDの中でスキャンするなどで利用していると思います。このブログでもtrivyについて、…
インストール方法は以下に書かれているとおり、何らかのLinuxにDockerをインストールしてそれぞれコマンドを実行していくだけで動きます。 シェルスクリプトを使ったインストールでは対応するOSが動いていることが必要でしたが、この場合はLinuxであれば何で…
今回は脆弱性スキャナーであるVulsを取り上げます。 弊社内でもVulsを使って本番環境や社内環境のサーバーの脆弱性検査を行い、結果を毎日Slackに通知しています。 Slackやメールで通知するには設定ファイルへの記述が必要です。詳細は以下をご覧ください。 …
DockerやKubernetesが当たり前に使われるようになって、ただこれらのコンテナーツールを便利に使うだけでなく、 安全に使うための工夫が必要になってきています。 コンテナーでアプリケーションを使う上で、コンテナーイメージは重要なパーツの一つです。 コ…
