2．ソフトウェアインベントリとは？

図3：システムにおけるソフトウェアの種別

インベントリ情報とはソフトウェアやハードウェアの製品情報、バージョン情報といった資産情報を指します。
インベントリ情報のうち、ソフトウェアに関するものをソフトウェアインベントリと呼びます。ソフトウェアの種別としては、アプリケーション、ライブラリ、ミドルウェア、OS、NW機器などがあります（図3）。ソフトウェアに関する脆弱性情報は公開頻度が高く、脆弱性管理の主な対象となっています。脆弱性管理では、システムに用いられるソフトウェアの情報を正しく記録することが求められます。また変更時や廃止時には情報を更新することが求められます。さらに、関係者が必要に応じてアクセスできるように共有することも重要です。これらのソフトウェアインベントリ管理を行うことで、脆弱性情報と照合を行うことができます。

ソフトウェアインベントリのうち、アプリケーション、ライブラリに関してはSBOM（Software Bill of Materials）を活用して把握できます。SBOMはソフトウェアを構成するアプリケーション、ライブラリを一覧にし、その依存関係も含めて記述したもので、SCA（Software Composition Analysis）ツールなどによって自動生成可能です。2023～2024年に経済産業省がソフトウェア脆弱性管理のためのSBOM導入に関する手引書を策定・改訂したこともあり（※4）、注目を集めています。SBOMはサプライチェーンの透明性向上やセキュリティリスク管理への利用が考えられており（※5）（※6）、脆弱性管理にも活用できます。

現在、SBOMの主な対象はアプリケーション、ライブラリです。理論的には、SBOMの対象外となるOS、ミドルウェア、NW機器などのソフトウェアインベントリ情報もSBOMとして決まったフォーマットで記述することは可能ですが、現在主流のSBOM取得手法やツールでは一般的な手段とは言えず別の手段で生成します。例えば、既存の資産管理ツールやOSコマンドスクリプトを組み合わせることで、ソフトウェアインベントリ情報を収集可能です。これらの利用が難しい場合は、既存の構成管理・資産情報やEDR製品など社内データを活用しながら、最低限のデータを手動で作成することも選択肢の一つです。

システムのアプリケーション、ライブラリに関しては SBOM 取得ツールを使い、SBOMの対象外となる情報はツールやスクリプトを用いることで、効率的にソフトウェアインベントリ情報を収集できます。このようにして取得したソフトウェアインベントリ情報を活用すれば、新規公開された脆弱性の情報を照合し、管理するシステムが脆弱性の対象かどうかを迅速に確認できます。さらに、組織全体で利用するツールを統一し、取得した情報を一元管理できれば、脆弱性管理者が組織全体のインベントリ情報を把握して、脆弱性の対象システムを特定することも容易になります。

NTTDATAではソフトウェアインベントリ情報の取得や活用、統合管理システムの実現に向けて検証を開始しています。次章では、ソフトウェアインベントリを活用する際の脆弱性対応フローや、脆弱性管理者とシステム担当者それぞれに対する効果について解説します。

3．ソフトウェアインベントリ活用の効果

図4：ソフトウェアインベントリ情報の活用フロー

ソフトウェアインベントリ情報を管理し活用することで、脆弱性管理者と現場のシステム担当者の双方が、脆弱性対応における効果を得ることができます。
管理・活用プロセスの一例を紹介します（図4）。

• 現場の各システム担当者は前述した手段を用いて、ソフトウェアインベントリ情報を作成します。
• 作成した情報はデータベースに集約して一元管理します。
• これに加えて、新規公開脆弱性情報を収集して同様にデータベースに蓄積します。
• ソフトウェアインベントリ情報と新規公開脆弱性情報を突合します。

脆弱性起因のインシデントリスクを最小限にするには、製品を限定せず、あらゆる新規公開脆弱性情報を収集することが理想ですが、費用対効果の観点からは対象製品を絞って運用を開始し、段階的に拡大させていくことを推奨します。

（1）脆弱性管理者への効果

この仕組みにより、セキュリティ部門の脆弱性管理者は、自組織内で利用しているソフトウェアと新たに公開された脆弱性情報の双方を照合できるようになります。危険度の高い脆弱性情報が公開された場合には、対象ソフトウェアの利用状況をデータベースで検索し、脆弱性の影響を受けるシステムのみを特定できます。

実態と不整合のない正しいシステム一覧にいつでもアクセス可能な状態になるため、緊急の対応が発生した際に情報更新や確認の時間を省略して迅速に対応可能です。システム数や組織の規模の大きさによって省略できる時間の効果も大きくなります。
また、自組織でどのようなソフトウェアを利用しているかを把握することで、新規公開脆弱性情報を収集する対象製品の見直しや拡大を検討する材料としても活用できます。

（2）各システム担当者への効果

一方で各システム担当者は、稼働負担を軽減し、脆弱性対応の網羅性・迅速性を向上できます。セキュリティ部門からの脆弱性対応指示が、影響を受けるシステムに限定されることで、影響を受けない大半のシステムは不要な確認稼働から開放されます。

また、データベース内のソフトウェアインベントリ情報と脆弱性情報を突合することで、利用中の製品に該当する可能性が高い脆弱性情報だけを抽出できます。こうして、突合した情報だけを各システムへ通知して、素早く共有することが可能です。これにより、日々公開される脆弱性情報を各システムが個別に収集している場合に比べ、収集作業の負担を大幅に軽減できます。また、各システム担当者はセキュリティ部門からの注意喚起を待たずに、突合結果の通知から迅速かつ網羅的に脆弱性対応を開始できます。

ソフトウェアインベントリ情報の管理・活用に用いる機能、特に突合処理と通知の機能はできる限り自動化することが望ましいです。ただし、2章で紹介したツールやスクリプトをただ組み合わせるだけでは表記揺れや記載基準の差異が生じ、検索や突合が煩雑になったり、想定通り実行できなかったりする場合があります。

現在、NTTDATA-CERTでは、ソフトウェアインベントリ情報の一元管理システムの実証実験を進めています。この実証では、インベントリ情報を生成する際には組織内で同じツール・スクリプトを用い、表記やフォーマットのルールを決めるといった工夫をすることで、可能な限り統一された表記・基準と各機能の自動化を実現しようとしています。

4．まとめ

本稿では、脆弱性対応の迅速化に資するソフトウェアインベントリ情報の管理と活用について紹介しました。脆弱性起因のインシデントの発生リスクが高まっている昨今では、組織全体として最適化された脆弱性対応体制が必要です。

ソフトウェアインベントリ情報を活用することで、セキュリティ部門の脆弱性管理者や現場のシステム担当者にとってより良い脆弱性管理を目指すことができます。さらに、ソフトウェアインベントリ情報をシステムで一元管理したり、その機能を自動化したりすることでより迅速な脆弱性対応を実現できます。

ソフトウェアインベントリ情報の効果を最大限得るためには、一元管理や自動化を見据えて、組織全体の脆弱性管理体制を見直すことが有効です。