脆弱性スキャナ

製品の中に脆弱性がないかを管理しないと罰金をとられる世の中になってきました。

欧州のサイバーレジリエンス法、通称CRAといいますが、欧州の法律で、IoT製品はすべからく脆弱性を管理しないとビジネスができなくなってきました。

この脆弱性をSBOMというデータベースで管理しないといけないわけで、有償ツールとしてBlack Duck というのがあります。しかしこれがバカ高い。そこでフリーのツールでできないかというと、これがあるんですね。

Trivyといって、OSやファームウェアのバイナリを読んでその中に脆弱性がないかをチェックしてくれます。テスト的に古くなったJetsonやRaspberyPiに使っているmicroSDがあり、まだそのままOSが入っているので、試しに マウントしてからrootfsの箇所をTrivyで解析すると、数千以上のCVEメッセージが出ます。CRITICALとHIGHに限定してもかなりの量で、どれが自製品に直接関係あるかを確認するだけでも気が遠くなりそう。

かなり昔のIoT装置だから脆弱なのはわからないでもないが、しかしOTシステムなど機械装置などの制御コントローラはパソコンみたいに３年程度で更新せず、10年以上は使うわけで、毎年こんなに警告出されてもなぁ　とも思います。

CRAやPSIRTの運用では気楽に、SBOMで脆弱性を定期監視して対処せよということを言われますが、対象機器が大量にあると、見て確認するだけでも大変です。全部が関係するわけないとは思うのですが、CRAとかはなぜそうなのかの判断根拠を持てと言われるわけで、こんなこと人間がやってられるか　という気にもなりますから、AIをうまく使って、どれが自分の製品に関係あるかを探らせたくなりますね。

キリンのAI役員

キリンAI役員は１２人の人格があって忖度せず議論する　という記事が出ています。

もちろん、人間のリアル役員もいるのですが、言いにくいようなこともAIなのでどんどん発言してくるのでしょう。

これをぜひ、我が国の省庁、国会に導入してほしい。人間を一度にゼロにせよとはいわないが、AI職員、AI室長、AI局長にAI議員に忖度しない議論をやらせるべきである　と思います。

学生の頃の想いで

大学生の頃、学部などは全く違う同級生とよく海に行ったことがありました。

なんでそうなったかはあまり記憶してないのですが、彼が以前三浦半島の逗子に近いところに住んでいたためか、夏になるとシュノーケリングをしに、三浦半島の西側の磯場に行って、潜っていました。

海藻が多く、透明度もそれほどではないですが、きらびやかな魚もたくさんいて面白かった。自動車も持ってなかったので、フィンとかマスクとか担いでいったのでしょうか、よくあんなことできたものだと思います。

三浦半島なのでスイカ畑がそこかしこにあり、畑の畝ではなく、売り物にならないと判断されたとおぼしき割れたやつとか、小さいものなどが畝の脇に投棄されていて、それを拾ってはかぶりついてました。

かれはその後、TV局に就職し、「この業界というところはな、倒れるまで徹夜するんだ」とか言ってましたが、その後どうしているか。