Vigiles ファーストステップガイド「サンプル Yocto Manifest ファイルの登録手順」

2023 年 08 月 28 日 Vigiles サポート

背景

スマートデバイスやエッジデバイスなどの IoT 機器では Linux OS などの OSS が活用されることが一般的となっています。
近年それらの IoT 機器に対するサイバー攻撃が増えており、EUのサイバーレジリエンス法案では、

製品に悪用可能な脆弱性が含まれないこと
脆弱性とコンポーネントを特定するために SBOM (Software Bill Of Materials) の作成を行うこと

が定められています。
日本国内でも経済産業省から「ソフトウェア管理に向けた SBOM 導入に関する手引き」が策定されるなど、国内外で SBOM での脆弱性管理が求められています。

しかしながらソフトウェアの脆弱性は年々増加する傾向にあり、かつ不定期に突然発生することから、膨大なソフトウェアコンポーネントのサプライチェーンおよびそれに起因する脆弱性を人力で監視することは現実的ではありません。
リネオが提供する SBOM 管理・脆弱性通知サービス「Timesys Vigiles」では、SBOM をベースにしたお客様のソフトウェアプラットフォームに合わせセキュリティ通知と対策情報通知を行います。自動化されたセキュリティ脆弱性監視と対策パッチ通知により、ソフトウェアセキュリティの維持にかかる時間とコストを大幅に削減します

本ブログでは、「Vigiles ファーストステップガイド」として、Vigiles をご活用いただくための必要な情報を紹介いたします。
第一回は、「サンプル Yocto Manifest ファイルの登録手順」として、Vigiles トライアルユーザ向けに Vigiles を評価いただくためのサンプル Yocto Manifest ファイルを登録する手順を説明します。

Vigiles トライアルについて

Vigiles は 30 日間の無償トライアルを実施しています。
こちらのフォームよりお申込みください。

サンプル Yocto Manifest ファイルの登録手順

1. サンプル Yocto Manifest ファイルのダウンロード

以下のリンクからサンプル Yocto Manifest ファイルをダウンロードしてください。
（リンクを右クリックし、「名前をつけてリンクを保存」を選択してください）
サンプル Yocto Manifest ファイル

2. LinuxLinkサイトへログイン

以下のURLにアクセスし、右上 "Log in" をクリックし、ログイン画面を開きます。
その後、登録済みのユーザー情報を入力しログインしてください。
https://linuxlink.timesys.com/

3. Vigiles DashBoardの表示

LinuxLinkページ上部メニューから [Vigiles] をクリックし、「Vigiles Dashboard」のページを開きます。

4. Yocto Manifest ファイルの登録

[初回SBOM登録時]
SBOMが未登録の場合、「Vigiles Dashboard」を開くと「Generate SBOM」のポップアップが表示されます。
「Start Tracking Vulnerabilities for your Prosuct」を選択することで、手順4.2の1が完了した状態に遷移します。
Product を作成する場合はポップアップをクローズし、4.1の手順を実施ください。
※「Generate SBOM」のポップアップはSBOM登録以降は表示されません。

4.1 Product の作成

※Product の作成は必須ではありません。作成しない場合は "Private WorkSpace" を使用ください。

左メニュー内 [CreateProduct] をクリック
Product Nameを入力し、Saveをクリック

4.2 サンプル Yocto Manifest ファイルの登録

以下の手順で 1. で保存したサンプル Yocto Manifest ファイルを登録します。

左メニュー内の[New SBOM] を開き[Generate] をクリック
[Build System] - [Yocto Projectのロゴ] をクリック
[Already have an SBOM? You can upload it directly here] をクリック
[Uploading an SBOM will add it to the product you choose below] の下にある [Browse] をクリック
ファイル選択ダイアログにて、ダウンロードしたサンプル Yocto Manifest ファイルを選択し、[開く] をクリック
[Select product to upload SBOM to:] で登録先 Product が選択されていない場合は、ドロップダウンリストから登録先 Product を選択（項目がない場合はスキップしてください。）
[Upload] をクリック

ファイルがアップロードされ、指定した Product 下へSBOM が登録されます。
合わせて、アップロード後、自動的に CVE Scan が実行され、CVE DashBoard が表示されます。