セキュリティの実績を作ろう！JVNへの報告

セキュリティ業界だけではないですが、実績を持つことは非常に重要です。

そこまで大きな実績ではなくても、持っているだけで少し安心したり、自信がついたりするものです。

今回は比較的取り組み易いと思われるJVNへの脆弱性報告について記事にしていきます。

なお、内容については個人的な見解を含んでいますので、予めご了承ください。

当時の状況について

私自身、IT業界自体が元々の研究と違っていたこともあり、何の実績も持たない状態で入社しました。

初年度、次年度は特に気にしていなかったのですが、三年目くらいからそろそろ実績というものが欲しいなと漠然と感じていました。

IPAの資格や今保持しているISACAの資格などがあれば少しは違ったかもしれませんが、当時は何も資格は持っていません。

案件等の調整などはやっていましたが、実績と呼ぶには自分で盛ることもできるので少し懸念がありました。

また、SCCON等の大会で上位に入る実力はありません・・・

そこで当時の自分は考えました！

今やっている仕事に直結しており、自分のペースで作業もでき、お金もかからない！それは・・・

JVNへの脆弱性報告だ！と
※脆弱性を探すものによってはお金かかります。

また、JVNはお金貰えないし、HackerOneの方がという意見も非常に分かりますが、HackerOneに参加していないものも多いので、状況を見てやることをオススメします。

脆弱性を見つけよう！その前に・・・

脆弱性を見つけるといっても、Googleで検索したサイトへ片っ端からアクセスして脆弱性を見つけるわけではありません。

CVE番号が付与される脆弱性を見つける必要がありますので注意が必要です。

共通脆弱性識別子CVE(Common Vulnerabilities and Exposures)は、個別製品中の脆弱性を対象として、米国政府の支援を受けた非営利団体のMITRE社が採番している識別子です。脆弱性検査ツールや脆弱性対策情報提供サービスの多くがCVEを利用しています。
個別製品中の脆弱性に一意の識別番号「CVE識別番号(CVE-ID)」を付与することにより、組織Aの発行する脆弱性対策情報と、組織Xの発行する脆弱性対策情報とが同じ脆弱性に関する対策情報であることを判断したり、対策情報同士の相互参照や関連付けに利用したりできます。
参考：IPA共通脆弱性識別子CVE概説

製品であることが必要なので、ご注意ください。

なお、脆弱性を見つける作業に入る前にIPAの以下のサイトをちゃんと読んでから実施してください。報告の仕方も紹介されています。

・IPA：脆弱性関連情報の届出受付

ちなみに私が報告した際は「ウェブ届出フォーム」は使用できず、メールで送信していました。