FutureVuls's storyFutureVulsの物語

「Vuls」の生みの親である神戸（かんべ）は、弊社のエンジニアとして100台以上の自社サーバーを運用する業務を担っていました。

毎日発表されるCVE（脆弱性情報）を追いかける日々。CVSSスコアを読み解き、自社環境への影響度を考慮し、OSとミドルウェアのバージョンを手作業で確認したあと、脆弱性情報と照合するという運用に限界を感じていました。

CVEのほか、SNSの動向も見逃さずチェックし、悪意のある攻撃や検知された脆弱性に気を配っていたことで、週末も気が抜けない状況が続きました。

神戸は当時についてを「エンジニアとしての創造性を発揮する業務はゼロ。単純作業を毎日繰り返し、心身ともに完全に疲労していた」と振り返っています。

精神的に限界を迎えたタイミングで長期休暇を取得し、旅先に選んだのはネパールでした。旅の途中、ガンジス川のほとりで、ひとりの修行僧と出会います。

その修行僧は、ただひたすらに「世界平和」だけを願い、60年以上もの歳月を修行に捧げているというのです。

その事実に、神戸は『自分の悩みは、なんてちっぽけなんだ』と衝撃を受けました。そして、自分は世の中のために何を貢献できるのかを考え『彼が祈りで世界を救うなら、自分は技術でエンジニアを救おう』と閃いたといいます。

帰国して脆弱性スキャナーのOSSを探したところ、まだ世の中に存在せず、自分で開発しようと決意を固めました。その時の上司には『3か月だけ時間をください』と直談判をし、自宅に引きこもりOSSの「Vuls」を開発しました。

「ビジネスではない。同じ苦しみを持つシステム管理者を救いたい、という執念だけでコードを書いていた。3か月も自宅に籠って、泣かず飛ばずのものを作ったら会社には戻れないという覚悟だった」

開発後、GitHubにOSSの「Vuls」を公開したところ、セキュリティ業界に大きな衝撃を与えました。

当時の脆弱性対応は、ニュースや注意喚起を待つ「受け身」の姿勢が主流でした。しかし「Vuls」の登場により、自社システムの脆弱性をエンジニア自らが「能動的」に、そして「圧倒的な精度」で把握することが可能となりました。

GitHubでの公開後、「Vuls」は口コミで多くの方へ拡散され、立ち上げたSlackコミュニティでは日本人のみでなく、海外からも多く参加し、「Vuls」の活用方法やセキュリティ業界への貢献についての議論が行われるようになりました。

思いがけない拡散と好反応をきっかけに2016年9月、第一回Vuls祭りを開催しました。参加者はトータル100名を超え、JPCERT/CC様も参加して「Vuls」をどのように活用するか、という議論が活発に行われたイベントとなりました。

また、2016年10月1日には3,000万を超えるプロジェクトの中で「GitHub Trending」で第1位を獲得し、より注目度を集めています。

以降、活発にユーザーとの交流を重ねて頻繁に「Vuls」の アップデートを行っています。

この頃には、OSのパッケージだけでなくアプリケーションライブラリの検査や、多様な脆弱性情報を取得できるようになりました。

Githubで公開された「Vuls」は、度重なるアップデートやユーザー交流を行い、グローバルに活用・拡散しました。

2017年はHITCON Pacific 2017（台湾） と、Open Source Summit 2017 North America（ロサンゼルス）の２つの大規模な国際カンファレンスに招待・登壇を行っています。

OSSの「Vuls」が普及する一方、私たちは新たな課題に直面しました。それは「見つかりすぎる脆弱性をどのように管理するか」という運用の壁です。

数千台規模のサーバーで脆弱性を検知したあと「誰が」「いつまでに」「どの状態で」対応するのかというタスク管理は、「Vuls」の範疇を超えていました。

そこで誕生したのが、商用版の「FutureVuls」です。

「FutureVuls」は「Vuls」で搭載している脆弱性スキャン機能に加え、脆弱性管理に関するプロセスの自動化やリアルタイム監視、タスク管理機能などを実装し、2018年1月15日に企業・法人への提供をスタートしています。

また、この頃は「Vuls」の多くの導入実績から脆弱性スキャンの対象も広がり、GitHub Security Alerts連携のスキャン、WordPressスキャン、そして独自のポートスキャン機能という多様な環境へ適用したスキャナー機能を搭載しています。

2020年から「FutureVuls」をご活用いただいていた、株式会社マイナビ様をきっかけにSSVC（Stakeholder-Specific Vulnerability Categorization）による自動トリアージ機能を実装しました。

マイナビ様は数十種類のサービスを展開している中で数百種類以上のシステムが稼働しています。

大規模かつ限られたリソースで脆弱性管理をより効率的に行う必要があり、ビジネスインパクトに基づいた自動トリアージのSSVCの提案から議論をスタートしました。

その後、 マイナビ様との試行錯誤を重ねてSSVCの実装を行うことができました。実装後、マイナビ様への本番環境へ提供を行い、脆弱性検知後の対応判断が大幅に自動化されたことで、全社で導入をいただいています。

また、2022年11月には、Black Hat Middle East and Africa（中東）という大きなイベントにも参加をしています。

エンタープライズの法人向けに「FutureVuls」を提案していた際、株式会社東芝様との出会いから「FutureVuls」のPSIRTプランが生まれました。

製品を利用するユーザー企業は「公開済みの脆弱性情報」を管理する必要がある一方、東芝様のような製品を提供するメーカー企業は製品リリース後も脆弱性を修正するため「非公開の脆弱性情報」も管理する必要があります。

PSIRTプランでは、公開されている脆弱性情報だけでなく、開発過程で発生した製品独自の脆弱性情報の追加も可能となり一元管理を実現しました。

それに加えて、自社製品のソフトウェアや製品単位での構成情報の登録も可能となり、必要に応じてSBOMとして提供することも可能となりました。