ヤサイブログ

徒然と

Vuls祭り行ってきた!そしてVuls使ってみた!

vuls-jp.connpass.com
今回はFuture Architect様主催です。
今をときめく脆弱性検知ツール、Vulsのお祭り第1回です。

f:id:yasay:20161001234659j:plain

ツールの内容が脆弱性検知ツールだけに、
セキュリティの専門家の方が参加されているように見受けられました。
手軽に使える脆弱性検知ツールでしかもオープンソースということで、
これからどんどん使用されていく可能性がありそうですよね!

何より日本人の方が開発してて、
Vulsに貢献したいと思ってしまいますね!

今回のVuls祭りはケータリングの料理とビール・アルコールを頂きながら、
LTを拝聴したりして、とても楽しかったです!(しかしなぜソフトドリンクがないのか(笑))

・・・なんと、このVuls祭りから1週間後、
GithubのTrendランク1位になったらしい。
f:id:yasay:20161001235458p:plain
ヤバい日本始まってる(大袈裟)。

  • 使ってみた

実際に使ってみます!
今回はmacをvuls実行のホストOSとし、
ゲストOSにVirtualBox上のUbuntuを使い脆弱性をチェックしてみました。

Vuls自体は、本当に簡単に導入できます。
今回はどちらかというと下記のような環境構築手順に時間を取ってしまいました。
(めちゃくちゃ勉強になった)

上記トピックについては別記事として今後書きたいと思います。
※ちょっとスクショの画質が悪いので、後ほど改善したいと思います。
以下、Vuls導入の手順的な↓


  1. go言語のインストール・環境変数の設定
  2. breawを使用してgo言語をインストールして、環境変数を設定しました。(SS省略)
  3. go-cve-dictionalyの取得
  4. 脆弱性情報を取得するためのツールを取得しました。(SS省略)
  5. cve情報の取得
  6. これが結構時間かかるけど、初回だししょうがない。インジケータ見るの楽しい。 f:id:yasay:20161003011438p:plain
  7. Vulsのインストール
  8. コマンド実行してインストールするだけ。
  9. 接続先サーバーの設定
  10. ここのssh接続で時間を取りました。次回以降はすぐ終わらせられるし、いい学習になりました。(SS省略)
  11. prepareコマンドの実行
  12. スキャン前にprepareコマンドを実行します。ここでもsudores関連で少しつまづいたところがあり、VulsのSlackで質問させていただきました。無事に解決して準備完了! f:id:yasay:20161003011925p:plain
  13. スキャン実行
  14. いよいよスキャン開始だぜー! f:id:yasay:20161003012324p:plain
    ↑おー、もりもりチェックしていく!

    f:id:yasay:20161003012551p:plain
    ↑結果は・・・ありゃ、今回は脆弱性検知なし。

  15. tui情報の確認
  16. 脆弱性検知の結果ファイルがあれば下記のようなイケてるTUIを使えるのですが、今回はお預けでした。 f:id:yasay:20161003012852j:plain


以上で、Vuls祭り & Vuls使ってみたレポートを終わります。
今後は、Vulsで下記のようなことをやってみます!

  • VulsRepoの導入
  • Vuls実行専用ユーザーの作成(標準化に準拠させる的な)
  • Slack連携
  • Dockerコンテナの脆弱性チェック

Vuls祭りのLTでも触れていましたが、
単純にSlackと連携すると大量の脆弱性情報が連携されてきて
情報が埋もれる可能性もあるということで、
特定のキーワードでフィルタをかけたり、視覚的に見れるVulseRepoを導入したいですね。

今後もVulsの動向を積極的に追っていこうと思います!


  • 参考リンク

■公式ドキュメント
vuls/README.md at master · future-architect/vuls · GitHub
vuls/README.ja.md at master · future-architect/vuls · GitHub

■Vuls関連ドキュメント
あなたのサーバは本当に安全ですか?今もっともイケてる脆弱性検知ツールVulsを使ってみた - Qiita
脆弱性検知ツールVulsの導入まで - Qiita
話題の脆弱性検知ツールVULSのインストール手順、使用方法の紹介 – ZacoDesign
vuls初歩的なエラーへの対処まとめ – ZacoDesign
(比較的)標準化をした Vuls/VulsRepo の導入 - Qiita

VIrtualBox関連
MacのVirtualBoxにLinuxのUbuntuをインストールする方法 / Inforati
VirtualBoxにUbuntu12.04をインストール | karakaram-blog

ssh, open-ssh関連
VirtualBox VMに入れたLinuxに、SSHで繋いだよ。 | Ginpen.com
Virtualbox上のUbuntuにSSHで接続するための設定手順 | youria blog
Ubuntuでsshdの設定をしてリモートから接続できるようにする - そ、そんなことないんだから!
入門OpenSSH / 第4章 OpenSSH を使う

■sudoersコマンド関連
一般ユーザーを sudo できるようにする - maruko2 Note.
sudoでNOPASSWD設定しても反映されない現象に遭遇 – hello-world.jp.net