株式会社ユービーセキュア（以下「ユービーセキュア」）は、国内市場でシェア1位¹のWebアプリケーション脆弱性検査ツール「Vex」において、2つの新機能を追加した新バージョン（8.0）を本日、販売開始します。

ユービーセキュアが自社で開発する「Vex」は、これまで、Webアプリケーションを高速開発する際にセキュリティ検査を統合するCI（Continuous Integration）ツール連携機能や、新たなセキュリティ上の脆弱性を検出するシグネチャ追加による検査精度の向上など、お客様のニーズに応える製品機能の強化を継続的に行ってきました。

新バージョンでは、「OpenAPI定義ファイルのインポート機能」と「脆弱性統合分析ツールとの連携機能」を追加し、さらに脆弱性のカテゴリや危険度をグローバル基準に対応させました。
新バージョンで追加した機能や改善点の特長は、以下の通りです。

OpenAPI定義ファイルのインポート機能

近年、スマートフォンアプリやSPA²など、Webシステムを利用するクライアントが多様化、複雑化することによって、アプリケーションの開発工数の増大が課題となっています。
一方、クライアントごとの開発が不要で、一つのインターフェースで対応可能なREST API³の普及が進み、REST APIを記述するためのフォーマットであるOpenAPIが、標準的に利用されるようになってきました。
今回の機能追加により、VexにOpenAPIの定義ファイルをインポートできるようになりました。従来の脆弱性検査は「①検査対象の登録と確認」「②検査内容の設定」「③検査の実行」「④検査結果の確認」という手順が必要でしたが、OpenAPIの定義ファイルをVexに直接取り込むことで、「①検査対象の登録と確認」が不要になります。登録時に起きうる検査対象の抜け漏れを防止することで、セキュリティ向上が図れることに加えて、検査にかかる時間を大幅に短縮できます。

脆弱性統合分析ツールとの連携機能

複数の検査ツールによるセキュリティ上の脆弱性検査の結果を、一元的に蓄積・管理・分析できる「脆弱性統合分析ツール（AVCツール⁴ ）」が登場し、ソフトウェアの高速開発とセキュリティ品質の両立が求められる企業で導入が進んでいます。
今回の機能追加により、脆弱性統合分析ツールを利用するお客様は、Vexの検査結果についてもツールに取り込んで、統合的に分析することが可能となります（図１）。

図1：脆弱性統合分析ツール（AVCツール）利用イメージ

脆弱性のカテゴリや危険度の分類をグローバル基準に対応

脆弱性のカテゴリを、CWE⁵などのガイドラインをベースに再編するとともに、危険度についてはVex独自仕様であった4段階から、CVSS⁶の基準値をベースとする5段階の評価に対応しました。
グローバルに広く利用されているガイドラインや基準値を採用することにより、脆弱性の判定基準をより明確にできるほか、ユーザや開発者、セキュリティベンダーなどの関係者間における共通理解が促進されます。

Vexの詳細については、以下のWebサイトをご参照ください。

https://www.ubsecure.jp/vex

• ¹  

  国内市場でシェア1位：
  富士キメラ総研　2018 ネットワークセキュリティビジネス調査総覧（セキュリティ検査ツール/Web アプリケーション型）より
  2015年度～2017年度実績）。

• ²  

  SPA（Single-Page Application）：
  単一のWebページのみで構成することにより、デスクトップアプリケーションのような快適な操作性を実現するWebアプリケーションのこと。

• ³  

  REST API（REpresentational State Transfer API）：
  Webシステムを外部から利用するための設計原則に従って策定された、プログラム呼び出し規約（API）の一つ。

• ⁴  

  AVCツール（Application Vulnerability Correlation）：
  脆弱性統合分析ツール。複数の検査ツールによる検査結果を一元的に蓄積・管理・分析し、情報セキュリティに関する脆弱性の検出状況を把握するためのツール。

• ⁵  

  CWE（Common Weakness Enumeration）：
  情報システムにおける脆弱性の種類を識別するための共通基準。

• ⁶  

  CVSS（Common Vulnerability Scoring System）：
  情報システムにおける脆弱性の種類を識別するための共通基準。