脆弱性確認方法のスタンダードを目指す

脆弱性の存在確認を自動化する「OVAL」～非営利企業MITREが発表

■URL
http://www.mitre.org/news/articles_02/oval12_10_02.html
http://oval.mitre.org/

　米MITREは10日、コンピューターの脆弱性を確認するための言語を含む環境「Open Vulnerability Assessment Language」(OVAL)を発表した。OVALは公開されており、無償で利用できる。

　MITREは米国政府と関連がある非営利企業で、国家の安全保障にかかわる問題をエンジニアリング手法を用いて解決するためのさまざまな活動を行なっている。これまでコンピューターに含まれる脆弱性の存在を確認するためには、各ソフトウェアベンダーや政府機関、セキュリティー企業が提供する脆弱性情報をシステム管理者が読み取り、手作業でその脆弱性がシステムが存在するかどうかを確認しなければならなかった。

　OVALはこうした方法で提供される脆弱性情報を見直し、リレーショナルデータベースで広く利用されているSQL言語で記述される「OVAL Query」形式で脆弱性情報を提供することで作業を自動化する。OVAL Queryを、MITREが無償で提供している「Query Interpreter」や、これからベンダーによって開発されるであろうOVAL対応スキャナに入力すると、コンピューターにインストールされているOSの種類、設定、インストールされているアプリケーションの種類とその設定情報、レジストリキー設定、ファイル属性、コンフィギュレーションファイルの有無などを自動的に確認する。

　この環境において脆弱性情報はOVAL Queryの形で提供されるが、現在公開されているOVAL Queryは、MITREがすでに公開しているデータベース「Common Vulnerabilities and Exposures」(CVE)により作成されている。CVEは国際的なセキュリティーコミュニティの協力のもとでMITREが編纂している、さまざまなシステムに存在する脆弱性情報のデータベースである。今後新たな脆弱性が発見された場合、発見者がOVAL Queryのドラフトを書き起こし、MITREを含むOVAL役員会の承認を経て、正式に公開される。OVAL Queryを記述するための枠組みは「OVAL Schema」として公開されており、このスキーマに基づいてOVAL対応スキャナをサードパーティーが実装できるようになっている。現在、OVALのWebサイトで「Windows 2000」などの脆弱性情報がOVAL Queryの形式で公開されている。

　これまでこうした作業を自動化するスキャナをセキュリティーベンダーやOSベンダーが提供することはあったが、多くの場合実際に脆弱性を突くソフトウェアコードがなければならなかった。OVALはこうしたことを行なわず、むしろ脆弱性が存在するかどうかだけを問題にし、システム管理者に存在する脆弱性のレポートを提供することで必要な修正パッチを速やかに当てることができるようにする。

　公開されたOVALは、現在Windows NT4.0/2000、Solaris7/8をサポートし、RedHatLinuxのサポートはドラフト段階として公開されている。

　これまで脆弱性情報はベンダーによって名前や記述方法が異なるなど、利用者にとって不便なことが多く、結果としてシステムの脆弱性を招いていた。OVAL環境により、こうした状況が改善され、将来は脆弱性を確認するための標準的な方法となる可能性がある。

(2002/12/11)

[Reported by 青木 大我 (taiga@scientist.com)]