OSSの脆弱性調査ツール Vuls

==============================
OSSの脆弱性調査ツール Vuls
==============================
とりあえず、備忘録的に。
大昔はOSSでこういう事をよくやっていたものだ SATANとかあったな…


　　Vuls
　　https://vuls.io/ja/



　　脆弱性スキャナVulsで始めるセキュリティ対策
　　https://www.slideshare.net/TakayukiUshida/vuls-72163241



　　巷でナウな脆弱性スキャンツールVulsを試してみた！
　　https://www.nttpc.co.jp/technology/csirt_3.html



　　Vulsを使った脆弱性チェック運用【セキュリティ対策】
　　https://techblog.recochoku.jp/4036

　　Vulsを使った脆弱性チェック運用はじめるよ
　　https://techblog.recochoku.jp/4039




　　脆弱性診断ツール「Vuls」に有償版
　　http://www.risktaisaku.com/articles/-/4622



現実にはこういうツールを使っても素人は脆弱性診断ツールが出す結果を「どう読み解くべきか？」　その結果を踏まえて「どうすべきか？」を説明できない。　SIerであってもセキュリティにかなり特化していないとどうすべきかを言えはしない。


ITに疎いSIerは「無償のツールを使えばセキュリティ維持のコストを限りなく０にできる」という前提で提案してくるからこまる。　実際には上記の通り、セキュリティに疎いSIerがこの手のツールを使いこなせるはずがないのだ。　そういったSIerはその道に精通した専門家と協業するか、有償版とテクニカルサービスをセットで購入して顧客に提案するか、いずれにせよ責任ある提案をしないといけない。

無償ツールの採用で物品コスト＝０
わかりもしない内部人員を担当にしてツール代金を全部ポケットに入れる
などという提案をするようなSIerとは付き合うべきではない。

セキュリティ維持を提案してくる会社にはそれをどうやって実現するのか？　脅威に対してどうすべきなのか？　それをきちんと説明できるかを質さなければいけない。