到達可能性のチェックツール

Dependency-Trackを用いたSBOM管理で、コンポーネント数が10万以上もあると定期的な脆弱性更新チェックが停止してしまい、今回はもう少し軽量のコンテナーをいくつか取り込んでみました。ちゃんと動いています。（当然ではありますが）

実運用で商用のBalckDuckを使うと処理にとても時間がかかって遅いというので不評のようですが、保管しているSBOMデータ量が莫大になると、どんなツールであってもとんでもなく重くはなりますから、やむをえないかなと思います。

次に実務上面倒なのは、CVEがあるのはわかったがそれが本当に自分の対象コンポーネントの中で悪さをするのか（これを到達可能性といいます）を確認しないといけない。原則は、深刻度の大きいものから開発者がしらみつぶしに１件づつ確認すべきですが、なんとか楽したいわけです。

そこでそういう到達可能性をある程度自動チェックしてくれるツールがあって、今回はSnykというフリーのツールでやってみましたところ、まずます抽出してくれます。以下は抜粋ですが、Dependency-Trackで表示されるもののうち本当に侵害につながりそうなのはどれか　のあたりをつけるには便利です。但し本当に大変なのは、それがわかったとして、いつどう対処できるのかを誰の責任でやらないといけないのかです。

$ snyk container test debian:latest --file=/home/ubuntu/mnt/var/lib/dpkg/status
Testing debian:latest...
✗ Low severity vulnerability found in zlib/zlib1g
Description: Improper Validation of Specified Quantity in Input
Info: https://lnkd.in/gz9d3EDt
Introduced through: zlib/zlib1g@1:1.3.dfsg+really1.3.1-1+b1, dpkg@1.22.22, apt@3.0.3
From: zlib/zlib1g@1:1.3.dfsg+really1.3.1-1+b1
From: dpkg@1.22.22 > zlib/zlib1g@1:1.3.dfsg+really1.3.1-1+b1
From: apt@3.0.3 > apt/libapt-pkg7.0@3.0.3 > zlib/zlib1g@1:1.3.dfsg+really1.3.1-1+b1
and 1 more...
Image layer: Introduced by your base image (shell)

✗ High severity vulnerability found in attr/libattr1
Description: Link Following
Info: https://lnkd.in/gYzSeQKU
Introduced through: attr/libattr1@1:2.5.2-3, coreutils@9.7-3, shadow/passwd@1:4.17.4-2
From: attr/libattr1@1:2.5.2-3
From: coreutils@9.7-3 > attr/libattr1@1:2.5.2-3
From: shadow/passwd@1:4.17.4-2 > attr/libattr1@1:2.5.2-3

Agentic Coding は金次第？

VScodeにClineを入れて、Gemini APIキーを登録して、一度作成したWebコンテンツを自動的に改造作業をやらせようとしていましたが、生成AIがあまりにも　”守銭奴”　なのでウンザリしてきました。

index.html の１行だけ訂正させるだけなのに、ちょっと考えると　トークンを使い切りました。有料バージョンにアップグレードせよ　というメッセージが出ます。

無料枠は昨年2025年末に制限がかなり厳しめになったようで、１分間または１日あたり何回できる　ではなく、トークンをいくつ消費したか　にカウントが変更されたようです。何をすると、どのくらいトークンが消費されるのかもはっきりしませんが、ともかく言わんとするところは、「金を払え」　ということ。

業務でちゃんとしたWebコンテンツを、Agenticで回そうとしたら１日あたりいくらかかるのか、数十万円か百万オーダーかかるかもしれません。

Clineの設定のところで、モデルにいろいろ選べるのですがトップ候補に Deep Seek というアリババご用達のものがあり、これだと無料で使えるのかもしれないですが、さすがにためらわれる。

Dependency-Track

OWASPが開発したOSSのSBOM管理ツールのDependency-Trackをインストールし環境構築してみました。最新Verらしく、ググって出てくる情報といろいろと違いがあって環境構築に非常に手間取りました。でもようやくなんとかできました。

脆弱性スキャナはTrivyでやったのですが、どうやってもDependency-Trackが受け付けず、しかたないのでSyftに変更しSBOM生成したらすんなり受付ました。理由はよくわかりません。ちなみにDependency-TrackはCycloneDXしか対応していないのでSPDXはNGです。

次に各CVEをどう処置するかをAnalysis列に個別に設定するのですが、この画面からはどうやっても全くできず、別のメニューからたどらないといけないことがわかったのですが、これはググっても出てきませんで、数日かかってしまい試行錯誤で出来たというかんじです。

NVDから最新の脆弱性データを入手し、突合せチェックができるということなので、NISTのサイトでNVDのAPIキーを入手して設定するのですが、これまたググって出てくる話と違う　みたいなかんじでした。とりあえず、定期チェックしてWarning以上（これは選べますが）のがあったらメールに飛ばす　というところまではできたので、本当に来るか楽しみにしています。

補足：

Dependency-Track V5.1.1 は、米国KEVと欧州KEVはデフォルトで情報取り込みができる状態(Enable)になっています。しかし、日本のJVNは、設定できるようにはなっていますが、デフォルトではEnableになっていませんから、設定しておくのがよいでしょう。