製品の中に脆弱性がないかを管理しないと罰金をとられる世の中になってきました。
欧州のサイバーレジリエンス法、通称CRAといいますが、欧州の法律で、IoT製品はすべからく脆弱性を管理しないとビジネスができなくなってきました。
この脆弱性をSBOMというデータベースで管理しないといけないわけで、有償ツールとしてBlack Duck というのがあります。しかしこれがバカ高い。そこでフリーのツールでできないかというと、これがあるんですね。
Trivyといって、OSやファームウェアのバイナリを読んでその中に脆弱性がないかをチェックしてくれます。テスト的に古くなったJetsonやRaspberyPiに使っているmicroSDがあり、まだそのままOSが入っているので、試しに マウントしてからrootfsの箇所をTrivyで解析すると、数千以上のCVEメッセージが出ます。CRITICALとHIGHに限定してもかなりの量で、どれが自製品に直接関係あるかを確認するだけでも気が遠くなりそう。
かなり昔のIoT装置だから脆弱なのはわからないでもないが、しかしOTシステムなど機械装置などの制御コントローラはパソコンみたいに３年程度で更新せず、10年以上は使うわけで、毎年こんなに警告出されてもなぁ とも思います。
CRAやPSIRTの運用では気楽に、SBOMで脆弱性を定期監視して対処せよということを言われますが、対象機器が大量にあると、見て確認するだけでも大変です。全部が関係するわけないとは思うのですが、CRAとかはなぜそうなのかの判断根拠を持てと言われるわけで、こんなこと人間がやってられるか という気にもなりますから、AIをうまく使って、どれが自分の製品に関係あるかを探らせたくなりますね。
