開発者として脆弱性を管理する

このドキュメントでは、次の方法について説明します。

• 1 つまたはいくつかの正常なアプリケーション/サービスを維持する
• ソフトウェア スタック内の最も差し迫った脆弱性を特定する
• 脆弱性の深刻度を理解する
• 日常のワークフローでセキュリティ チームのタスクを明確にすることで、少ない労力でより安全なソフトウェアを簡単に提供できます。

このワークフローが気に入らない場合は、セキュリティ チームとしての脆弱性の管理に関するドキュメントをご覧ください。

前提条件

統合の 1 つを介して送信された脆弱性データ。

アプリケーションの脆弱性の健全性を維持する

脆弱性データが New Relic に流入し始めると、さまざまな範囲のビューからデータにアクセスできます。

特定のアプリケーションまたはサービスの健全性を監視するには、 one.newrelic.com > All capabilities > APM & services > (select an entity) > Triage > Vulnerability Managementに移動して、エンタープライズ スコープ ビューを使用します。 より広い範囲については、セキュリティ チームとしての脆弱性の管理に関するドキュメントを参照してください。

エンティティのセキュリティ概要ページでは、アプリケーションまたはサービスのセキュリティの概要を確認できます。 キュレーションされたダッシュボードでは、次のようなアプリケーションまたはサービスの全体的なセキュリティが提供されます。

• 脆弱性合計
• 脆弱性露出期間
• 優先順位による脆弱な上位5つの地域
• 脆弱性の種類別内訳
• ライブラリの重大度の内訳
• トップライブラリのアップグレード

脆弱性をトリアージ、優先順位付け、修復する

サービスまたはアプリケーションに公開されているすべての脆弱性を表示するには、エンティティ セキュリティの概要ページからVulnerabilitiesタブを選択します。

このページには、すべての未解決の脆弱性が表示され、重大度やソースなどの属性でフィルタリングできます。 特定の脆弱性をクリックすると、その重大度、ソース、脆弱性ステータスの変更ログなどに関する詳細情報が表示されます。

脆弱性アラートを設定する

設定された重大度の脆弱性が発生したときに通知を受け取るには、Slack または Webhook を介してアラートを設定します。

脆弱性管理画面で、 Manage security notifications

Slackをセットアップする 集計

1. Add a Slackを選択します。
2. Slack settingsの下で、目的地を選択するか、クリックして目的地を作成します。 。
3. Slack settingsの下で、通知を送信するチャネルを選択します。
4. Notification rulesの下で、さまざまな重大度レベルの脆弱性に関する通知を受信するためのルールを構成します。

Webhookを設定する

1. Add a Webhookを選択します。
2. Webhook settingsの下で、目的地を選択するか、クリックして目的地を作成します。 。 Webhook 宛先の作成の詳細については、こちらをご覧ください。
3. Webhook settingsの下に、チャネル名を作成します。
4. Notification rulesの下で、さまざまな重大度レベルの脆弱性に関する通知を受信するためのルールを構成します。