tag
脆弱性管理
このタグの記事 3 件
2026-09-11
VPN機器はランサムウェアの主な侵入口：デジタル庁GSS事案から考えるリモートアクセスの守り方
VPN機器はインターネットから組織の内部ネットワークへ接続するための機器で、国内のランサムウェア被害でも侵入経路の約3分の2を占める、最も多い侵入経路。デジタル庁GSSの事案も、VPN機器の脆弱性で侵入され、保守運用担当者のアカウントで大量のファイルにアクセスされた。当サイトの結論：VPN機器を持つかどうかは、更新し続けられる体制があるかで決める。対策は、パッチの速さ、侵入された後の権限の狭さ、大量アクセスの検知の3点で考える。
2026-09-04
CVE の直す順番はどう決めるか — CVSS・EPSS・KEV の使い分け
CVSSは深刻度、EPSSは悪用される確率、KEVは実際に悪用されている事実。測っているものが違うので、どれか1つで優先順位は決まらない。当サイトの実データ＝KEV掲載1,695件のうち64%はCVSS9未満、24%はEPSS0.1未満。だから『高スコアだけ直す』も『EPSSが低いから放置』も破綻する。順序は KEV→高EPSS→高CVSS、そして期限は自分の環境の到達可能性で決める。
2026-09-04
osv-scanner の実務Q&A — pnpm対応・CVEの除外・オフライン実行・つまずくエラー
導入の次に出てくる実務の疑問だけを集めた。要点＝pnpm-lock.yamlは対応済み、除外は osv-scanner.toml の IgnoredVulns（期限付きで書ける）、オフラインは3つのフラグの関係を理解すれば迷わない。当サイトの考え：スキャナが知らせるのは既知の脆弱性だけで、自分で固定したバージョンが古くなったことは教えてくれない。そこは別の仕組みで見る必要がある。