はじめに
セキュリティ知識を深めるために、世の中の脆弱性情報を収集・解析したいと考えました。
日本の脆弱性対策情報ポータルである「JVN」を調べたところ、脆弱性情報を簡単にフィルタリング・収集できる公式ツール「mjcheck4」が提供されていたので、実際に使ってみました。
試しに、多くの人が使っているマイクロソフト製品の脆弱性情報を集めてみましたので、手順を紹介します。
1. mjcheck4のダウンロードとインストール
まずはツールの準備をします。
MyJVN - mjcheck4のページ にアクセスし、ツールをダウンロードします
ページ内に記載されている手順に沿ってインストールを行います
💡 Tips: ダウンロードしたフォルダ内には詳細な「マニュアル.pdf」も同封されているので、細かい仕様を確認したいときはそちらも参考になります。
mjcheck4を立ち上げます。
【注意】データ収集の待ち時間について
MyJVNのサーバーから最新の脆弱性データを引っ張ってくるため、データ収集に少し時間がかかります。 フリーズしているわけではないので、そのまま少し待ちましょう。
2. グループの作成と製品登録
起動したら、まずは情報を収集したい製品をまとめる「グループ」を作成します。
ステップ1：グループの新規作成
画面左上にある「グループ設定」をクリックします。
「新規追加」ボタンを押し、分かりやすいグループ名（例：マイクロソフト製品）を入力して登録します。
ステップ2：製品（ベンダ）の追加
「製品の選択」ボタンで、作成したグループに、脆弱性を追いたい製品を紐付けます。
「マイクロソフト」で検索して出てきた製品を「全選択」して「グループに反映」して製品を追加します。
🚨 つまずきポイント：「Microsoft」では検索できない！
検索時、アルファベットで Microsoft と入力してもヒットしませんでした。
必ずカタカナで マイクロソフト と検索してください。
検索すると「マイクロソフト」と「日本マイクロソフト」の2つがヒットします。
「日本マイクロソフト」側には1製品しか登録されていませんが、今回は両方のベンダの全製品を登録しました。
3. 脆弱性情報の確認とフィルタリング・CSV出力
設定が完了すると、メイン画面の「脆弱性対策情報」の部分に、作成したグループがタブや一覧として登録されます。
作成したグループをクリックすると、右側のパネルから「深刻度（CVSSスコア）」や「公表日」など、様々な条件でフィルタリングが可能です。
画面右下にある「CSV出力」ボタンを押すことで、表示されている脆弱性情報の一覧をCSV形式でダウンロードして、Excel等でじっくり解析することができます。
4. ⚠️ 知っておくべき重要な仕様と注意点
インストール日より前の過去データは表示されない
過去の日付でフィルタをかけても、「ツールをインストールして、初めてデータ収集をした日」より前の古い脆弱性情報は画面に出てきません。
mjcheck4は、インストールした日以降の最新データを日々ローカルに「蓄積」していくツールだからです。
過去のデータを丸ごと集めて解析したい場合は？
もし、ツールを入れる前の過去の脆弱性情報（数年分など）を一括で収集・解析したい場合は、以下のページから過去の脆弱性情報を一括ダウンロードするのがおすすめです。
※ただし、ここではデータが XML（.rdf）形式 で提供されています。これらをExcel等で扱いやすいCSV形式に変換する方法については、また次回の別記事で詳しくまとめたいと思います！
データの引用について
本記事で紹介した「JVNiPedia」のデータ引用については、公式サイトのデータ利用についてのご注意に以下のように記載されています。
“引用については問題ありませんが、できれば引用したことをご連絡ください。”
ブログやQiitaで解析結果などを公開する際は、公式のルールに従って適切に利用・連絡をしましょう。
まとめ
mjcheck4を使うことで、自分がチェックしたい製品だけの脆弱性情報を自動で集約し、簡単にCSVとして手元に持ってくることができました。
検索キーワードのコツさえ掴めば、とても便利なツールです。