OSS脆弱性レポート

この表は、OSS脆弱性レポートで顧客回答前に整理できる主な内容をまとめたものです。

この表は、クイックチェックレポートで確認できる主な内容と、詳細レポートで追加・具体化される内容をまとめたものです。クイックチェックでは顧客回答前の要点と確認観点を整理し、詳細レポートでは顧客向け文面、社内確認依頼、監査記録、改善提案を実務で使いやすい粒度まで整えます。

このページで最初に作成するクイックチェックレポートは、一次資料として自動作成するものです。詳細レポートでは、顧客向け文面案、社内確認依頼、監査記録、次回改善提案などをより具体的に整理します。CVSS詳細、EPSS、KEV、本番影響判断、到達可能性解析、法令または契約上の通知義務判断、専門家による個別確認は本レポート単体では取り扱いません。

DependabotやSCAツールの画面キャプチャではなく、対象リポジトリのlockfile、manifest、またはSBOMを準備してください。アラート画面は「何が検出されたか」を見るには便利ですが、レポート作成では依存関係データとして扱えるファイルが必要です。

• GitHubのDependabotアラートを見ている場合: 対象リポジトリの package-lock.jsonyarn.lockgo.modrequirements.txt などを準備します。
• Snyk、Trivy、Grypeなどを使っている場合: 可能であれば、CycloneDXまたはSPDX形式のSBOMを出力して使います。
• 複数リポジトリが関係する場合: まず、顧客から確認されたサービス、または本番影響が大きいサービス単位で1つずつ作成してください。

顧客からSBOMやCVE回答を求められている場合は、顧客に提出予定のSBOMそのもの、または対象システムの依存関係ファイルを準備してください。

• SBOMをすでに作成済みの場合: CycloneDX JSON/XML、SPDX JSON/tag-valueなどを使えます。
• SBOMがまだない場合: 対象アプリケーションのlockfileやmanifestを使ってレポートを作成できます。
• 顧客が特定CVEを指定している場合: そのCVEに関係しそうなサービスやリポジトリの依存関係ファイルを選んでください。

納品前や保守案件では、実際に納品・運用対象となるアプリケーションの依存関係ファイルを準備してください。開発用サンプルや古いbranchのファイルでは、顧客説明の材料として弱くなる場合があります。

• Webアプリケーション: フロントエンドとバックエンドを分けて作成するか、SBOMでまとめます。
• 受託開発案件: 納品対象のリポジトリ、または納品buildに対応するlockfileを使います。
• 監査・委託先審査: いつの時点の依存関係かを、社内で説明できるファイルを選びます。

次の順で選ぶと、判断しやすくなります。

1. 本番で使うアプリケーションのlockfile。
2. 対象サービスのSBOM。
3. lockfileがない場合は、manifestや依存関係定義ファイル。
4. 複数ある場合は、顧客から確認されたサービス単位で1つずつ。

versionが不明な形式や、推移的依存を完全に解決できない形式では、レポート内に「追加確認が必要」と表示される場合があります。

このページの説明だけを信じる必要はありません。このページにおける送信前加工、匿名化、secret検出、形式判定に関わるJavaScriptを公開しているのであなたの目で確認できます。

顧客からCVEの影響確認が届いた

対象OSSが依存関係上に含まれるかの確認材料、公開脆弱性候補、照合できなかった範囲、顧客回答前の確認観点を整理できます。

DependabotやSCAツールのアラートが多い

脆弱性検出ツールを置き換えるものではありませんが、lockfileやSBOMをもとに、候補数、依存種別、照合可否を整理し、開発チームへ確認依頼しやすい候補をまとめられます。

SBOMを提出する前に脆弱性説明も整理したい

SBOMに含まれるcomponent情報をもとに、公開脆弱性情報との照合結果、照合対象外の範囲、社内確認事項を整理できます。顧客提出向けの文面案が必要な場合は、詳細レポートで確認できます。

納品前・保守契約中にOSS脆弱性説明が必要になった

納品対象や保守対象の依存関係から、確認すべき候補、未確認範囲、社内で補うべき論点を整理できます。

ISMS・SOC2・委託先審査の準備

自動照合の前提、照合結果、照合対象外の理由、作成条件を残し、検知後に何を確認し、どこが未確認かを説明する一次記録として使えます。

ありません。このページでは、クイックチェックレポート作成時も詳細レポート作成時も、ソースコード全文や選択した生ファイルを直接送信しません。依存関係ファイルやSBOMをブラウザ内で読み取り、レポート作成に必要な公開OSS名、version、分類などに加工したデータだけを送信します。

意味はあります。依存関係情報だけでも、公開OSS名とversion、公開脆弱性情報との照合結果、照合できなかった範囲、顧客回答前の追加確認事項を整理できます。ただし、本番利用有無、利用箇所、外部到達可能性、更新可否、契約上の通知義務などの最終判断には、社内確認が必要です。

クイックチェックレポートは顧客提出前の一次調査資料です。詳細レポートでは顧客向け文面案や社内確認依頼を追加できますが、どちらもそのまま提出できる完成保証文書ではありません。顧客へ提出する場合は、対象製品、対象version、確認日、社内確認結果、回答責任者を御社で補い、御社の責任で提出してください。専門家レビューが必要な場面には、エキスパートレビューを今後の選択肢として検討しています。

いいえ。クイックチェックレポートと詳細レポートはいずれもオンラインで自動作成され、ストラテジアエキスパート担当者による個別確認、署名付き見解、顧客提出文書としての保証は含みません。

取りません。Google Analyticsで収集しているのは、このページ上の操作状況などの行動データです。ファイル名、package名、version、CVE ID、OSV ID、private package名、URL、社内ドメイン、JSON本文、認証情報候補の実値はGoogle Analyticsへ送りません。

顧客、監査人、社内責任者からOSS脆弱性やCVEの影響確認を求められたとき、最初に確認すべき候補、未確認範囲、次に社内で確認する事項を整理するためのページです。依存関係ファイルやSBOMをブラウザ内で加工し、公開OSS名とversionなど必要最小限の情報だけを送信して、まずクイックチェックレポートを作成します。必要に応じて、その結果をもとに詳細レポートを購入できます。

クイックチェックレポートでは、顧客回答前に確認すべき候補、照合できなかった範囲、追加確認事項を整理します。顧客へ送る本文案そのものは詳細レポートで確認できます。詳細レポートの文面案も、社内確認結果を追記するためのたたき台であり、最終回答としてそのまま提出する前に、対象製品、対象version、確認日、回答責任者、契約上の要求を御社で補ってください。専門家レビューが必要な場面には、エキスパートレビューを今後の選択肢として検討しています。

代わりにはなりません。このページの成果物は、脆弱性検出ツールや継続監視を置き換えるものではありません。Dependabot、Snyk、Trivy、Grype、OSV-Scannerなどで得られた情報やlockfile、SBOMをもとに、顧客説明、社内確認、監査記録へつなげるための一次調査資料を作る位置づけです。

private package名は匿名化して扱います。private packageは公開脆弱性情報と同一package/versionとして照合できないため、レポートでは匿名化されたprivate packageとして件数や追加確認対象であることを表示します。社内packageの由来、fork元、社内既知脆弱性管理、利用箇所は御社側で確認してください。

このページのクイックチェックレポート作成では、認証情報やトークンの可能性がある文字列を検出した場合、送信用データを作成せず、送信へ進ませません。認証情報らしき文字列そのものは画面表示や送信をしません。御社側で対象箇所を確認し、必要に応じて削除、修正、ローテーションを行ってから再度利用してください。

照合精度が限定されます。requests>=2.28 や django のように実際のversionが確定しない場合は、公開脆弱性の該当version範囲と正確に照合できないことがあります。その場合は、version不明または追加確認が必要な項目として扱い、lockfile、ビルドログ、コンテナイメージ、SBOM再作成結果などで実際のversionを確認する前提で表示します。

対応しています。DESCRIPTIONでは依存関係名と依存制約を取得できますが、実際にインストールされているversionとは限らないため、versionはunknownとして扱います。renv.lockでは固定されたpackage versionを取得できるため、CRAN packageやBioconductor packageの名称とversionを一次照合に使います。private package候補は匿名化し、公開脆弱性情報との自動照合対象外として扱います。

クイックチェックレポート、詳細レポートのいずれも、KEV、EPSS、CVSS、悪用状況、修正版候補の外部連携評価を自動では行いません。レポートでは、OSV IDなど公開脆弱性情報との照合結果をもとに、候補package、照合対象外範囲、社内で確認すべき観点を整理します。悪用状況や悪用可能性まで判断する場合は、社内確認または専門家確認を行ってください。

いいえ。クイックチェックレポート、詳細レポートのいずれも、CVSSだけで優先度や影響有無を断定しません。候補数、利用場面、直接依存か間接依存か、照合可否をもとに初動で見る順番を整理します。CVSS、EPSS、KEV、悪用状況、修正版候補は、必要に応じて社内で追加確認する事項として扱います。

クイックチェックレポートおよび詳細レポートは取得可能になった時点で、利用者自身で速やかに保存してください。レポートの再取得は原則としてできません。システムトラブルに備えた参考データとして、作成したレポートとその関連データは、作成からクイックチェックレポートは3日、詳細レポートは14日を目安に保存します。それを過ぎると自動削除します。保存期間経過後はトラブルシューティングや再発行を保証できません。またこのことを理由にする返金は行いません。自動削除処理の都合により、物理削除には時間差が生じる場合があります。

クイックチェックレポートや詳細レポートの範囲で解決できない高度な判断、契約上の通知義務、顧客提出前レビュー、影響なし判断、専門家確認が必要な場合は、社内で追加確認を行ってください。顧客提出向け文面の整理はクイックチェックレポート出力後に購入できる詳細レポートで補えますが、専門家確認や署名付き見解は含みません。専門家確認はエキスパートレビューの今後の選択肢として検討しています。

OSS脆弱性レポート 詳細レポート 標準版

生成AIを使わずに、依存関係情報と公開脆弱性情報をもとに作成します。

OSS脆弱性レポート 詳細レポート AI補助版（準備中）

AI補助版は、入力情報をもとに生成AIで文章を整える作成方式です。顧客説明や社内確認に使いやすい文面へ整えることを目的としており、専門家による個別確認や署名付き見解は含みません。現在は購入できません。

OSS脆弱性レポート エキスパートレビュー付き（今後提供予定）

エキスパートレビュー付きは、詳細レポートをもとに専門家が確認範囲、補足所見、顧客回答時の留保事項、追加確認事項を追補する上位メニューです。本文をもう一度長く書き直すのではなく、専門家が確認した結果と見解を追加します。現在は申し込めません。

AI補助版とエキスパートレビュー付きの違い

AI補助版は文章を整える作成方式です。エキスパートレビュー付きは、専門家が確認して所見を付ける上位メニューです。AI補助版が専門家レビュー済みになるわけではありません。

月次OSS脆弱性監視レポート（今後検討）

単発対応ではなく、継続的に顧客説明・監査証跡を残したい企業向けに検討しています。

Agencyプラン（今後検討）

受託開発会社、Web制作会社、セキュリティ診断会社、情報システム支援会社など、自社顧客向け成果物としてOSS脆弱性レポートを使いたい企業向けに検討しています。

顧客からのCVE影響確認に対応するため

顧客からOSS脆弱性およびCVE影響確認を求められており、回答文および社内確認資料の作成が必要です。
手作業での調査・文書作成には開発担当者およびセキュリティ担当者の工数が発生するため、OSS脆弱性レポートを利用し、確認済み事項・未確認事項・対応優先度など、顧客向け回答案の整理を効率化します。

監査・委託先審査の証跡を整備するため

脆弱性検知後の一次確認、未確認事項、対応方針、顧客回答準備の記録を残すことで、ISMS・SOC2・委託先審査等における脆弱性管理の説明資料として活用します。