Vuls祭り#7

遂に、「サイバーセキュリティ月間」に合わせてVuls祭りを開催することにしました！

（まだ応募が受領されてはいませんので、非公式、かも。）

• SNS等でのつぶやきは、 #vulsjp や #vuls をご利用ください。
• 新型感染症等の状況により、中止もしくはライブ配信に変更する可能性があります。

開催概要

脆弱性スキャナVulsや、脆弱性対応についての知見を深める祭りです。

また、NISC サイバーセキュリティ月間の趣旨である「サイバーセキュリティについての関心を高め、理解を深めていただくため」を目的としています。

githubで公開しているvulsの最新情報を提供するとともに、システムを運用をしている方に脆弱性にどのように対応するかの知見を共有していこう、という趣旨のイベントです。

Vulsとは

Vuls とは VULnerability Scanner の略で、Linux/FreeBSD向けの脆弱性スキャンツールです。

• GitHub： https://github.com/future-architect/vuls
• Vulsマニュアルページ： https://vuls.io/
• 日本語Twitter： https://twitter.com/vuls_ja
• Slack： https://vuls-github.slack.com/　参加はこちらから。

開催日時、場所

日時

• 2023年02月24日（金曜） 19:00 - 21:00（開場18:40、完全撤収22:30）
• 各発表で時間がずれ込んだら、最大で60分延長可能（22:00迄に終わらせる）

場所

• ハイブリッド開催
• ：オフライン：Future株式会社
• ：オンライン：Zoom（脆弱性対応研究会様提供アカウント）

※後段の「諸注意」を確認ください。

開催概要

発表者による、発表内容とサマリは以下のとおりです。決まり次第更新します。

決まり次第随時更新。（もちろん企業の宣伝LTとかは、させません）

発表概要

招待講演１：サイバーセキュリティ戦略　～自由、公正かつ安全なサイバー空間に向けて～

内閣官房内閣セキュリティセンター　基本戦略第1グループ 参事官補佐　野村至 様による講演を予定しています。

「本講演では、近時のサイバー空間における環境やリスクの変化、我が国を含め世界的に深刻なサイバー事案に触れつつ、サイバーセキュリティ強化のための政府の取組みをまとめた「サイバーセキュリティ戦略」の概要をお伝えし、「自由、公正かつ安全なサイバー空間」を確保するための施策をご紹介します。」

招待講演２：Vuls(の主におもしろさ)を継いでいこう

情報通信研究機構サイバーセキュリティ研究所　ナショナルサイバートレーニングセンター　情報処理推進機構 ほか、の　園田道夫 様による講演を予定しています。

「Vulsの主におもしろさというものはどこにあるのか。なぜVulsは祭りを7回もできちゃってるのか。その謎？解きからVulsの後を継ぐものが出現する可能性まで、とにかくいろいろ語ってみます。」

Talk 1 「SSVCに関する話（仮）」

PwCコンサルティング合同会社の村上様から、SSVCについてお話を頂きます。

• pwc様ウェブサイトで、SSVCの概要が公開されています

Talk 2 「SSVCでの運用へ切り替えを進めている話」

株式会社アカツキゲームスの宮下様から、SSVCでの運用へ切り替えを進めている話　のお話を頂きます。

Talk 3 「VulsのWindows対応について（仮）」

vuls開発者から、新たに追加されるWindowsスキャン機能について説明します。

Talk 4 「ネットワーク機器のCPEをSSHせずに取得する方法の検討と報告」

ネットワーク機器の脆弱性管理について、CPEの登録を簡略化するための手法を検討したので、共有します。

SSHでのスキャンはクレデンシャル盗難のリスクがあり、あまりお勧めしたくはないと考えています。その為、別の方法で外部からアクセスし、ファームウェアのCPE/ハードウェアのCPEを取得する方法を検討しています。これについて共有します。

LT 1 「OWASP"アジャイル開発におけるセキュリティ|パターン・ランゲージ”の概要(仮)」

OWASP"アジャイル開発におけるセキュリティ|パターン・ランゲージ”の執筆に参加された、株式会社エーアイセキュリティラボの関根様による発表です。 ドキュメント全体の概要と、プラットフォーム等の脆弱性管理になる"10. 利用環境の脆弱性管理"あたりの説明を頂きます。

• OWASPの 当該ドキュメント
• ISOG-Jでもリリースが出ていました

LT2 「VDP(vulnerability disclosure program)とは何なのか、またなぜ必要なのか?」

オープンソース開発者支援サービス「IssueHunt」などを開発/提供している、BoostIO株式会社のJunyoung Choi様による発表です。

VDP(Vulnerability Disclosure Program)は脆弱性開示プログラムの略称です。 善意の報告者が、どこに報告すべきか、また法的な責任などはどうなるのかを説明頂きます。

• VDP自体の説明、必要性、事例などのご紹介を頂きます。

諸注意

オンライン

開催数日前に、ZoomのURLをconnpassメールで送付します。

オフライン（現地参加）

新型感染症の状況により、中止・ライブ配信になる可能性があります - 現地開催なし等の判断は、1週間前には行い、通知予定です

感染症対策の為、以下の行動をお願いします。（2022/12中旬時点での標準的な対策）

• 咳が出る、熱がある方は、現地参加をお控えください。
• 「密」の回避、大声での会話の自粛、マスク着用の徹底、をお願いします。
• 入り口での手指の消毒をお願いします。
• 上記対策を拒否される方は、本イベントへの参加を拒否します。
• 接種証明書をお持ちの方は、持参ください。

感染症が発生した場合は、connpassのメール経由で連絡をします。

• イベント後に感染症となった場合、運営までご連絡ください。connpassでの連絡か、tw:hogehuga までお願いします。