さまざまなソフトウェアが脆弱性対策情報を取得できる「MyJVN API」

　「有名企業や公共機関などのウェブサイトが改ざんされ、そのサイトを閲覧した利用者がウイルスに感染した可能性がある」という報道が2009年末から相次いでいます。一般的に「ガンブラー」と呼ばれているこの一連の攻撃の被害を受けないためには、利用しているソフトウェア製品の脆弱性対策情報を入手し、いち早く脆弱性を解消することが重要です。

　IPAでは、国内で利用されるソフトウェア等の製品（OS、アプリケーション、ライブラリ、組込み製品など）の脆弱性対策情報を中心に収集・蓄積する脆弱性対策情報データベース「JVN iPedia」を無償で公開しています^(*1)。従来、JVN iPediaに格納された情報の検索や表示などの機能はIPAが提供していましたが、ソフトウェア開発者から「独自に開発している脆弱性対策の管理ツールや検査ツールでJVN iPediaの情報を活用したいので、JVN iPediaの情報をプログラムから利用できる機能や情報の形式を定めたAPI（Application Programming Interface）^(*2)を提供して欲しい。」との要望がありました。

　これを受け、IPAではこの度、JVN iPediaから脆弱性対策情報を取得できるソフトウェアインタフェースとして「MyJVN API」を開発し、利用の手引きや動作確認支援ツールと共に公開しました。JVN iPediaでは、ソフトウェア開発者がオープンなインタフェースで情報を扱えるようにするため、脆弱性対策情報の表現形式の標準化を目指したSCAP^(*3)を適用しています。例えば、脆弱性の識別にはSCAPのCVE^(*4)を使用しており、2010年1月にはCVEを運用している米国MITRE社^(*5)からCVE互換認定を取得しています^(*6)。

　本インタフェースを用いることで、独自に開発されたソフトウェアでもJVN iPediaの脆弱性対策情報を利用することが可能になり、さまざまな脆弱性対策支援ソフトウェアで脆弱性対策情報を効率的に活用できます。JVN iPediaは、2010年1月のアクセス件数が月間400万件を突破するなど活用が進んでいますが、本インタフェースの公開によってJVN iPediaの脆弱性対策情報が更に活用され、脆弱性対策が促進されることを期待します。

　「MyJVN API」の利用の手引き、動作確認支援ツールについては次のURLから参照下さい。
http://jvndb.jvn.jp/apis/index.html

MyJVN APIで利用可能な機能：

表1. MyJVN APIで利用可能な機能一覧

＃	機能名称	メソッド名	概要
1	ベンダ一覧の取得	getVendorList	フィルタリング条件に当てはまるベンダ名のリストを取得する
2	製品一覧の取得	getProductList	フィルタリング条件に当てはまる製品名のリストを取得する
3	脆弱性対策概要情報一覧の取得	getVulnOverviewList	フィルタリング条件に当てはまる脆弱性対策の概要情報リストを取得する
4	脆弱性対策詳細情報の取得	getVulnDetailInfo	フィルタリング条件に当てはまる脆弱性対策の詳細情報を取得する

動作確認支援ツール：

　MyJVN API 動作確認支援ツール「getVendorList」のパラメタ入力画面を図1に示します。本ツールを用いると、「MyJVN API」を利用したソフトウェアを開発する際に、事前に具体的なAPIの出力値を確認することができます。

「MyJVN API」の活用事例：

　IPAでは、JPCERT/CCと協力して、MyJVN APIを利用したVRDA(Vulnerability Response Decision Assistance)フィード^(*7)の配信を開始しました(2010年6月2日)。 VRDAは、脆弱性対応のための意志決定支援システムであるKENGINE(ケンジン)^(*8)向けのデータ提供方式です。図2に示すMyJVN APIを利用したVRDAフィードの配信により、KENGINEでJVN iPediaの脆弱性対策情報を取り扱うことができるようになる予定です。

　また、IPAから公開しているMyJVN 脆弱性対策情報収集ツール^(*9)やMyJVNバージョンチェッカ^(*10)、MyJVNセキュリティ設定チェッカ^(*11)なども、このインタフェースを用いて開発しています。

脚注

プレスリリースのダウンロード

開発実施者

参考情報

本件に関するお問い合わせ先

報道関係からのお問い合わせ先

更新履歴