4. 脆弱性管理における通知機能¶
本章では、脆弱性管理に通知機能を利用するための前提やマッチング、メール送信、データ登録コマンド用のCSVファイル出力について説明します。
4.1 通知機能を利用するには¶
通知機能を利用するためには、事前に機器システム情報と構成品目辞書を関連登録し、機器システム情報を現在の構成にする必要があります。 詳細については「2.6 メール通知機能を利用するには」を参照してください。
4.2 マッチングとは¶
脆弱性情報処理スクリプトが実行されることによりマッチング処理が行われます。
マッチング処理では、脆弱性情報処理スクリプトにより登録された脆弱性情報と、あらかじめ登録されている構成品目辞書を比較して脆弱性情報と構成品目辞書を自動で関連付けます。
マッチングの仕様については以下の通りです。
- 脆弱性情報のCPEと構成品目辞書のCPEが種別、ベンダ名、製品名、バージョンまで一致していれば、それらを関連付けします。
仕様補足
脆弱性情報および構成品目辞書には構成を特定するためのCPEを値として持っています。
cpe:2.3:{種別}：{ベンダ名}：{製品名}：{バージョン}：{アップデート}：{エディション}：{言語}：{ソフトウェアエディション}：{対象ソフトウェア}：{対象ハードウェア}：{その他}
マッチングではこの値を比較して脆弱性情報がどの構成品目辞書に関連しているかを決定します。
仕様補足
「種別、ベンダ名、製品名、バージョン」までは一致しているがバージョン以降が異なるデータの場合、脆弱性情報の対象ではない構成品目辞書がマッチングする場合があります。
仕様補足
脆弱性情報と構成品目辞書にあるCPEのバージョンが「*」または「-」の場合は、ワイルドカードとして扱われ、「種別、ベンダ名、製品名」までが一致しているとバージョンの値に関わらずマッチング対象となります。
4.3 脆弱性情報の自動メール送信¶
マッチング処理が実施されると、NVD・JVNの脆弱性情報が登録または更新されたことをメールで通知を行います。
メールで通知する内容については以下の通りです。
| メール送信先 | 送信タイミングとメール内容 |
|---|---|
| 脆弱性情報管理者 | 脆弱性情報にCPEが登録されていない、またはマッチングする構成品目辞書がなかった場合、脆弱性情報確認依頼メールを送信します。 |
| 機器システム情報管理者 | 脆弱性情報が登録された時、脆弱性情報とマッチングした構成品目辞書に機器システム情報が関連付けられている場合、脆弱性情報通知メールを送信します。 |
| 機器システム情報管理者 | 脆弱性情報が更新された時、脆弱性情報とマッチングした構成品目辞書に機器システム情報が関連付けられている場合、脆弱性情報通知メールを送信します。 |
仕様補足
脆弱性情報管理者とは、以下の制御情報に設定されているシステム・プロセスの管理者情報「主担当」に設定されているユーザーまたは職責を指します。
・[管理者メニュー > 制御情報 > 制御情報 > 共通 > 共通]
| 管理項目名 |
|---|
| 脆弱性管理機能-脆弱性情報システム設定 |
| 脆弱性管理機能-脆弱性情報プロセス設定 |
仕様補足
機器システム情報管理者とは、機器システム情報の連絡先担当者(関連要員)に登録されているユーザーを指します。 事前準備として、以下の設定を行うと「関連要員」項目のラベルが「連絡先担当者」となります。
仕様補足
送信されるメールテンプレートは以下の画面で設定することができます。
・[管理者メニュー > 機能別 > メールテンプレート > メールテンプレート(自動送信)]
以下のメールテンプレートを設定することができます。
・脆弱性情報登録
・脆弱性情報更新
・脆弱性情報確認依頼通知
仕様補足
機器システム情報管理者の設定可能人数はデフォルト設定では1名です。以下の制御情報により変更が可能です。
・[管理者メニュー > 制御情報 > 制御情報 > 利用者メニュー > 構成管理]
| 管理項目名 |
|---|
| 構成管理－関連要員登録可能最大件数(件) |
仕様補足
「現在の構成」の機器システム情報に設定されている機器システム情報管理者がメール送信の対象となります。
仕様補足
脆弱性情報のCPEがマッチングすると、CPEごとに対象となる機器システム情報に設定されたシステム単位でメールが送信されます。
対象となる機器システム情報が同じシステムの場合、一通のメールが送信されますが、
対象となる機器システム情報に複数のシステムが設定されている場合はシステムの件数分メールが送信されます。
仕様補足
脆弱性情報にマッチングした機器システム情報の担当者にメールを送信するためには以下の制御情報の設定が必要です。
・[管理者メニュー > 制御情報 > 制御情報 > 共通 > 共通]
| 管理項目名 | 設定値 |
|---|---|
| 脆弱性管理機能-脆弱性検知メール送信設定 | メールを送信する |
4.4 データ登録コマンド用のCSVファイル出力¶
脆弱性情報インシデントの登録用CSVファイル出力にて出力されるファイルの内容と登録方法を説明します。
前提条件（制御情報の設定）
機器システム情報がマッチングした際にデータ登録コマンド用のCSVファイルを出力するには、以下の制御情報の設定が必要です。
※制御情報「脆弱性管理機能-脆弱性対応インシデント登録設定」で「登録用データを出力する」を設定する場合、「脆弱性管理機能-脆弱性対応インシデント対象プロセス」の設定もあわせて行ってください。
・[管理者メニュー > 制御情報 > 制御情報 > 共通 > 共通]
| 管理項目名 | 設定値 |
|---|---|
| 脆弱性管理機能-脆弱性対応インシデント登録設定 | 登録用データを出力する |
| 脆弱性管理機能-脆弱성対応インシデント対象プロセス | （対象のプロセスを設定） |
4.4.1 ファイルの出力仕様¶
脆弱性情報と機器システム情報のマッチングによるインシデントの登録状態によって、出力されるファイルの仕様が変わります。起票状態を確認して出力ファイルが決定されます。
| インシデントの登録状態 | 出力仕様 |
|---|---|
| インシデントが未登録 | 新規登録用データを出力する |
| インシデントが登録済み | 経過追加用のファイルを出力する |
4.4.2 ファイルの出力先¶
脆弱性対応インシデントの新規登録用ファイルおよび経過追加用ファイルは、%CCFSPWEBAPIHOME%フォルダの"files"フォルダ配下に出力されます。 出力されるファイル名は以下の通りです。
| ファイル区分 | ファイル名 |
|---|---|
| 新規登録用ファイル | incident_new_<ファイルの出力日時(年月日時分秒)>.csv |
| 経過追加用ファイル | incident_update_<ファイルの出力日時(年月日時分秒)>.csv |
4.4.3 CSVファイルの主要な項目¶
脆弱性対応インシデントにデータ登録コマンド用のファイルで登録される主要な項目は以下の通りです。
| 項目名 | 説明 |
|---|---|
| タイトル | 脆弱性対応インシデントチケットのタイトルです。 |
| 経過 | 脆弱性情報と機器システム情報がマッチングした際に、両者に共通していたCPE名が記録されます。 |
| テキスト41 | 脆弱性情報と機器システム情報がマッチングした際の脆弱性情報の内部IDです。 |
| テキスト42 | 脆弱性情報と機器システム情報がマッチングした際の機器システム情報の内部IDです。 |
| テキスト43 | 脆弱性情報と機器システム情報がマッチングした際の脆弱性情報のタイトルと識別番号です。 |
| テキスト44 | 脆弱性情報と機器システム情報がマッチングした際の機器システム情報の構成アイテムIDと構成アイテム名です。 |
4.4.4 コマンド実行のためのマッピングファイル準備¶
コマンドからデータ登録を行うには、マッピングファイルが必要です。
以下の通りテキスト形式のマッピングファイルをエンコード「UTF-8」、ファイル名「MappingItem.txt」で事前に作成してください。
新規登録コマンド用）
"データ種別ID","システム","レコードID","ステータス","タイトル","テキスト41","テキスト42","テキスト43","テキスト44","エスカレーション先","起票者","経過内容","経過対応日","経過対応時刻"
経過追加コマンド用）
"データ種別ID","システム","レコードID","経過内容","経過対応日","経過対応時刻"
4.4.5 コマンドの実行例¶
脆弱性情報インシデントの登録用CSVファイル出力にて出力されたファイルをデータ登録コマンドを利用してインシデントの登録することができます。
以下はコマンドの例示です。
(インポートファイルの内容がダブルクォート囲みあり、エンコードがUTF-8の場合)
新規登録コマンド例）
sjSPU_ImportData.exe -c プロセス管理 -M 001 -f incident_new_<ファイルの出力日時(年月日時分秒)>.csv -T <インシデント登録用マッピングファイル> -m 0 -C 1
経過追加コマンド例）
sjSPU_ImportData.exe -c プロセス管理 -M 101 -f incident_update_<ファイルの出力日時(年月日時分秒)>.csv -T <インシデント経過追加用マッピングファイル> -m 0 -C 1
仕様補足
データ登録コマンド用のファイルを利用したデータ登録の詳細については
コマンドガイド「2.5 データ登録コマンド（sjSPU_ImportData.exe）」を参照してください。
注意事項
脆弱性のマッチングWEBAPIにて新規登録用ファイルの出力後に経過追加用のファイル出力に失敗した場合、新規登録用ファイルが残ります。
脆弱性のマッチングWEBAPIの再実行で問題が解消した場合、新規登録用ファイルが2つとなり、両方を取り込むと同じインシデントが2重に登録されます。