)」は、日本国内で使用されているソフトウェアの脆弱性対策情報を収集することにより、脆弱性関連情報を容易に利用可能とすることを目指しています。NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報、の中から情報を収集、翻訳し、2007年4月25日から公開しています。登録件数が、累計10,000件を突破しました。(表1、図1)近年スマートフォンの普及が加速しており、Androidで動作するソフトウェアも多くなっています。Motion(RIM)社の「BlackBerry」に関するもの10件の登録を行っています。iPedia英語版は、国内製品開発者から収集したもの1件(累計117件)、JVNから収集したもの24件(累計505件)、合計25件(累計622件)でした。iPedia日本語版の脆弱性対策情報10,211件を集計した結果、登録をしたベンダー数は計572ベンダー、製品数は計2,477製品となりました。システムの一種である監視制御システム(SCADA)といった様々な製品分野のソフトウェアの脆弱性対策情報を登録しています。表2は、登録されている脆弱性対策情報をベンダー別に上位15件を集計した結果です。1位がレッドハット社で3,528件、2位がオラクル社で2,292件となっており、広く利用されているベンダーやソフトウェアに関する登録を多く行っています。iPediaにて容易に脆弱性対策情報を利用することが可能です。製品利用者は、利用しているソフトウェアの脆弱性対策情報を日々収集し、ソフトウェアのバージョンアップまたはセキュリティ対策パッチの適用などを遅滞なく行う事が必要です。登録している脆弱性対策情報に関する注目情報~PCで広く利用されるソフトウェアの脆弱性対策情報が多数存在。速やかなバージョンアップを~近年、普段の業務や日常的に使用しているソフトウェアの脆弱性を突いた攻撃が頻発しています。この攻撃は「標的型攻撃」(*4)や脆弱性を利用したウイルスなどでも利用されることが多く、深刻な被害に発展するケースも発生しています。iPediaでは、共通脆弱性評価システムCVSS(*5)により、それぞれの脆弱性の深刻度(*6)を公開しています。」(*7)の3位に記載のある定番ソフトウェアを参考にして、ソフトウェア別の深刻度割合を集計したものです。件以上の脆弱性対策情報が多数存在しています。深刻度別の件数を集計するとレベルIII(危険、CVSS基本値=7.0~10.0)が70%、レベルII(警告、CVSS基本値=4.0~6.9)が26%、レベルI(注意、CVSS基本値=0.0~3.9)が2%となっています。図3は定番ソフトウェアの登録件数の年別推移です。Readerはそれぞれ17件から68件に増加)となっています。製品利用者は情報を日々収集し、製品のバージョンアップなどを遅滞なく行ってください。Adoption(OVAL準拠)認定を取得IPAでは、PCで広く利用されるソフトウェアの一部について、最新のバージョンかどうかを簡単に確認できるツール「MyJVNバージョンチェッカ(*8)」を無償で提供しています。Adoption(OVAL準拠)の認定を受けました。(*10)の脆弱性対策においても活用されています。現在、MyJVNバージョンチェッカおよびMyJVNセキュリティ設定チェッカで使用しているOVALデータ(脆弱性定義データ)はIPAにて作成していますが、共通仕様としてOVALの実装互換が確認されたことから、IPA以外の製品開発者が作成したOVALデータ(脆弱性定義データ)による脆弱性チェック・セキュリティチェックをすることが容易になります。促進を図ると共に、利用者側の客観的・効率的な脆弱性対策を目指した利活用基盤を整備していきます。脆弱性の種類を識別するための共通の脆弱性タイプの一覧です。CWEを用いると、ソフトウェアの多種多様にわたる脆弱性に関して、脆弱性の種類(脆弱性タイプ)の識別や分析、国内外での比較などが可能になります。iPediaへ今四半期に登録した脆弱性対策情報を、CWEで分類した、脆弱性の種類ごとの件数を示したものです。件数が多い脆弱性は、CWE-119(バッファエラー)が132件、CWE-399(リソース管理の問題)が66件、CWE-20(不適切な入力確認)が60件、CWE-189(数値処理の問題)が37件、CWE-264(認可・権限・アクセス制御の問題)が26件、CWE-200(情報漏えい)が21件、CWE-79(クロスサイト・スクリプティング)が19件、などとなっています。これらは広く認知されている脆弱性の種類です。製品開発者は、これらの脆弱性に関してIPAが公開している「セキュア・プログラミング講座(*12)」などを参考に、ソフトウェアの企画・設計段階からセキュリティ実装を考慮する必要があります。実習形式による脆弱性体験学習ツール「AppGoat」(*13)でも効果的な学習が可能です。iPediaに登録済みの脆弱性対策情報について、製品開発者やセキュリティポータルサイト等が脆弱性の対策情報を公開した日を基にした、脆弱性の深刻度別の件数の公開年別推移を示したものです。2011年は56%を超える割合になっています。公開開始から2011年3月31日までの割合は、レベルIII(危険、CVSS基本値=7.0~10.0)が47%、レベルII(警告、CVSS基本値=4.0~6.9)が45%、レベルI(注意、CVSS基本値=0.0~3.9)が8%となっています。深刻度の高い脆弱性が多数公開されていることから、製品利用者は情報を日々収集し、製品のバージョンアップやセキュリティ対策パッチの適用などを遅滞なく行うことが必要です。iPediaに登録済みの脆弱性対策情報について、その製品の種類別件数の公開年別推移を示したものです。Explorer、Firefoxなどのデスクトップアプリケーションや、Webサーバ、アプリケーションサーバ、データベースなどのミドルウェア、また、PHP、Javaなどの開発言語といったアプリケーションの脆弱性対策情報の公開が年々増加しています。毎年、数多くのアプリケーションが新しく開発され、それらにおいて脆弱性が発見されており、アプリケーションのセキュリティ対策は重要度を増しています。Acquisition)についても脆弱性の対策情報が公開されています。件、合計33件のSCADAに関する脆弱性対策情報を公開しています。シェルの脆弱性(MS10-046)を悪用して感染を拡げるウイルスStuxnet(*14)も発見されています。製品利用者は脆弱性対策情報を日々収集し、バージョンアップやセキュリティ対策パッチの適用などを遅滞なく行うことが必要です。iPediaに登録済みの脆弱性対策情報について、オープンソースソフトウェア(OSS)とOSS以外のソフトウェアの公開年別推移を示したものです。OSSの割合の年別推移を見ると、近年では2008年以降のOSSの割合が減少傾向となっており、2011年では20%の割合になっています。全体件数から見た割合は、OSSが32%、OSS以外が68%となっています。iPediaに登録済みのソフトウェアの開発者(ベンダー)に関して、OSSのベンダーの内訳とOSS以外のベンダーの内訳をそれぞれ示したものです。OSSは、国内ベンダーが65、海外ベンダー(日本法人有り)が24、海外ベンダー(日本法人無し)が234、合計323ベンダーとなっています。合計249ベンダーとなっています。OSSに関しては、日本法人の無い海外ベンダーの脆弱性対策情報が数多く登録されています。OSSを利用する場合、製品のバージョンアップやセキュリティパッチの適用などのノウハウを持たない製品利用者は、製品のサポートサービスの活用、保守契約上の取り決め等の考慮が必要です。万件のアクセスがあります。iPediaの脆弱性対策情報を、アクセス数の多い順に上位20件まで示しています。Serverなどは、脆弱性対策情報の公開から時間が経過しても多数のアクセスがあり、利用者が注目している情報となっています。表4は国内の製品開発者から収集した脆弱性対策情報のアクセス数上位5件を示しています。脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。科学技術分野における計測と標準に関する研究を行う機関。NISTが運営する脆弱性データベース。http://nvd.nist.gov/home.cfm(*4)標的型攻撃。企業の内部情報を盗むことなどを目的にして特定のターゲットを狙う攻撃のこと。System、共通脆弱性評価システム。