脆弱性対応、どこで線を引くか

2026/06/17 Go Connect #14

Transcript

1. 脆弱性対応、どこで線を引くか 2026/06/17 Go Connect #14 パンダム/rymiyamoto
2. パンダム/rymiyamoto(@rymiyamoto129) Go をメインにWeb 系を広く浅くやってる ゆるくインターネットが好きなオタクです 近況：超かぐや姫の最終公演の予約に完全敗北した
3. 前回のOST 、ありがとうございました
4. 今日の話 脆弱性スキャンの全部対応は本当に必要か どこで線を引くか、判断する2 つの軸の話
5. 検出されたものは全部潰す
6. ある時期、全部対応してた ECR スキャン(Inspector v2) を愚直に対応していた 内部ETL ツールの使用パッケージを全部上げた 正直しんどかった
7. これ、本当に必要だった？
8. 外部公開しているか
9. 外部 vs 内部でリスクが全然違う インターネットから叩けるかどうかで判断 攻撃者はまず社内ネットワークへの侵入が必要 同じ脆弱性でもリスクが全然違う
10. 実際に呼ばれているコードか
11. govulncheck は呼び出し経路まで静的解析する Go 公式ツール（golang.org/x/vuln ） 脆弱な関数が実際に呼ばれているかまで追う 呼ばれていなければ報告に出てこない govulncheck で行う脆弱性対応 / hon_d
12. govulncheck は Severity を出さない Trivy などは Critical / High / Medium でラベリング govulncheck はラベルなし 判断は開発者が持つ、という Go らしい設計思想 Trivy
13. govulncheck の出力例 検出あり 検出なし === Symbol Results === Vulnerability #1: GO-2025-XXXX Found in: golang.org/x/net@v0.30.0 Fixed in: golang.org/x/net@v0.33.0 Example traces found: #1: internal/api/handler.go:42 === Symbol Results === No vulnerabilities found.
14. 2 軸を組み合わせた判断マトリクス govulncheck 外部公開 内部のみ 検出あり 優先対応 早めに修正 対応する 次のリリースサイクルで 検出なし 低優先 記録して様子見 今は対応不要 呼ばれたら再判断
15. 判断を言語化する 外部公開しているか / 実際に呼ばれているコードか
16. 実際やってきた事例として govulncheck でコードレベルの脆弱性を監視 ECR スキャン通知も入れ、コンテナイメージレベル も継続監視 ECR イメージスキャンでコンテナの脆弱性を検知する / パンダム
17. 最後に Go Conference 2026 の CFP を出しているので、 採択されたら詳しく喋るよ
18. 宣伝：Vue Fes Japan 2026 CFP 募集中！
19. おわり