Vuls

Vuls は、サーバーにインストールされているパッケージを調べ、既知の脆弱性に当たるものを教えてくれるツールです。日本のフューチャーアーキテクトで生まれた OSS で、日本の脆弱性データベース JVN の情報も使えます。

この記事は、Linux サーバーを自分で管理している人に向けています。読み終えると、次のことができるようになります。

• 自分の Linux マシンを SSH なしでスキャンする
• 結果を一覧やターミナル画面で読む
• SSH で別のサーバーをスキャンする仕組みを理解する

##Vuls でできること

公式 README では、Vuls の役目を次のように説明しています。

• システムに関係する脆弱性を知らせる
• どのサーバーが影響を受けるかを知らせる
• 検出を自動化して、見落としを防ぐ
• cron などで定期的にレポートを作る

脆弱性の情報源には NVD と JVN、各ディストリビューションの OVAL などを使います。スキャン対象として、公式の対応表には Ubuntu、Debian、RHEL、AlmaLinux、Rocky Linux、Amazon Linux などの Linux のほか、FreeBSD、Windows、macOS が載っています。対応しているバージョンは対応表で確かめてください。

##3 つのスキャン方法

公式ドキュメントは、スキャンの方法を 3 つに分けています。

リモートスキャンでは、SSH のパスワード認証は使えません。鍵認証を設定し、対象サーバーのホスト鍵を事前に known_hosts に登録しておきます。

##安全な試し方：自分のマシンをローカルスキャンする

最初は、自分の Linux マシン（または自分で作った仮想マシン）1 台だけを対象にします。外部のサーバーにはつながないので、相手を間違える心配がありません。

1. 公式の vulsctl でホストに入れる手順に従い、sudo bash install.sh で Vuls を入れます。スクリプトの中身は実行前に読んでおきます。

2. update-all.sh で脆弱性データベースを取得します。全部取ると時間がかかるので、公式は必要なものだけ取るよう勧めています。

3. ホームディレクトリに config.toml を作り、次のように書きます。port = "local" がローカルスキャンの指定です。

   [servers]
   
   [servers.localhost]
   host = "localhost"
   port = "local"

4. vuls configtest で設定と環境を確かめます。

5. vuls scan でスキャンします。

6. vuls report -format-list で結果の一覧を表示します。

##結果を読む

vuls report には出力形式を選ぶオプションがあります。公式のチュートリアルに載っているものを挙げます。

一覧には CVE 番号ごとに CVSS のスコアが付きます。数字が大きいものから確かめ、更新できるパッケージがあればアップデートを検討します。

##スキャンの重さを選ぶ

config.toml の scanMode で、対象サーバーへの負荷と必要な権限を選べます。

• fast：root 権限なしで、対象サーバーにほとんど負荷をかけずにスキャンします
• fast-root：root 権限でスキャンします。こちらも負荷はほとんどかかりません
• offline：fast や fast-root と組み合わせて、インターネットにつながらないサーバーをスキャンします

##注意点

##次に読む

• cd ../trivyTrivyコンテナイメージや依存ライブラリの脆弱性を調べるツール
• cd ../wazuhWazuhエージェントでログや脆弱性をまとめて監視する仕組み
• cat ~/guides/lab-setup.md安全な検証環境の作り方