Vulsを試してみたいと思います。VulsとはVulsとは、日々発生する脆弱性をスキャンし、結果を一覧にして分かりやすく表示、通知してくれるOSSです。Vulsには以下のような特徴があります。scoreが一定以上の脆弱性のみ通知するなど、柔軟な通知が可能スキャン結果はメール通知の他に、slackやブラウザ上でレポートとして表示が可能また、将来的にはSSH接続可能なネットワーク機器へのスキャンも可能になるとのこと。Vulsのslackチームもあり、こちらで質問を投げると結構な速さで返ってきます。\doneVulsサーバー側の準備はこれで完了です。今回はスキャン対象のホストがCentOSの為、対象のホストにyum-plugin-changelogが必要です。その他のディストリビューションについては、Githubを参照。yum-plugin-changelogまた、鍵を作成してSSHでnopasswdログイン可能な状態にしてください。スキャンを試すスキャンを実行する前に、設定ファイルを作成します。この設定ファイル内に、スキャン対象のサーバーや、メール送信先やslackの設定を記述します。今回はテストなのでrootでスキャンしてますが、本番環境で継続的にスキャンする場合は、別途ユーザーを作成し、vulsで使うコマンドのみ許可させて実行するのが望ましいです。docker設定ファイルを書き終えたら、スキャン可能になっているかテストします。下記のような出力になれば、スキャン準備完了です。below...test尚、yum-plugin-changelogが入っていない場合、下記のようなエラーが出ます。below...試しにスキャンしたところ、下記のような結果になりました。packagesまとめ今回の結果では脆弱性はありませんでしたが、実際の環境によってはたくさんのスキャン結果が出たりします。その状態でslack通知をONにしていると、チャンネルのログが埋め尽くされたりするので、注意が必要です。トレジャーデータを使うときに気を付ける点。@gmoap_engineer本ブログで発信される情報は、各エンジニア個人の見解であり、弊社の公式見解ではありません。本ブログに掲載、引用等をしている商品またはサービス等の名称は、各社の商標または登録商標です。その他の事項について一切責任を負いかねます。発表する情報には注意を払っておりますが、公式発表、見解については、弊社WEBサイトおよびプレスリリースなどをご確認ください。GMOインターネットグループにおけるソーシャルメディア運用ポリシーについては次のページをご確認ください。本ブログに掲載のあるソフトウェアのダウンロードは自己責任で御願い致します。ソフトウェアのダウンロードの結果、ご利用者に何らかの損失・損害が生じたといえども、当社ではその責任を負いかねます。本ブログに掲載のあるソフトウェアを扱う際は、各ソフトウェアの公式リファレンスを参照のもとご使用下さい。ソフトウェアの実行の結果、ご利用者に何らかの損失・損害が生じたといえども、当社ではその責任を負いかねます。