grypeは脆弱性検知ツールの一つであり，SBOMをスキャンすることで各ソフトウェアがどのような脆弱性に脅かされているかを検知できます。また，grypeの開発元はsyftと同じであり，syftと連携することを考え作られています。
grype公式ドキュメントには、grypeの様々な機能詳細や仕様、環境変数の設定について記述されています。この記事では、自分が使う上で、使用頻度の高い機能について、紹介します。
検証環境
- Ubuntu 22.04.3 LTS (WSL2)
| コンポーネント | バージョン | 使用用途 |
|---|---|---|
| Docker | 24.0.5 | コンテナイメージのビルド |
| syft | v0.91.0 | SBOM生成ツール |
| grype | v0.69.0 | 脆弱性検知 |
install方法
まず、grypeを使うためにそのインストール方法について説明します。インストール方法はsyftの場合とほぼ同じです。
0. 解凍用の一時的なファイルの作成
まず、grypeを解凍するための一時的なディレクトリを作成し、そのディレクトリへ移動します：
$ mkdir /tmp/grype/ && cd /tmp/grype/
1. grypeのバイナリファイルの取得
grypeのリリース情報から、アーカイブファイルを取得します。
今回は、grype-v0.69.0から、バージョン0.69.0のgrypeのアーカイブであるgrype_0.69.0_linux_amd64.tar.gzを取得します：
$ wget https://github.com/anchore/grype/releases/download/v0.69.0/grype_0.69.0_linux_amd64.tar.gz
2. grypeのバイナリファイルの解凍
そして、解凍行います：
$ tar xvf grype_0.69.0_linux_amd64.tar.gz
解凍後、以下のように結果が出力されます：
CHANGELOG.md
LICENSE
README.md
grype
3. grypeのpathを通す
最後にgrypeを実行するために適切な場所へgrypeバイナリを移動します：
$ sudo mv grype /usr/local/bin
今回は、/usr/local/binへgrypeを配置しました。
一時的なディレクトリ/tmp/grypeは必要ないので削除してしまってもよいです：
$ cd ~
$ rm -rf /tmp/grype/
grypeの場所とバージョンを確認し、以下のように出力されていれば、grypeのインストールは成功です：
$ grype version
Application: grype
Version: 0.69.0
BuildDate: 2023-09-20T20:56:04Z
GitCommit: da3de94842f51059f32409289d863792726f83ba
GitDescription: v0.69.0
Platform: linux/amd64
GoVersion: go1.21.1
Compiler: gc
Syft Version: v0.91.0
Supported DB Schema: 5
$ which grype
/usr/local/bin/grype
grype DB (データベース)
grypeは専用の脆弱性データベースを用いて、脆弱性のスキャンを行います。ここでは、grypeでスキャンをする前に、grype DBの使い方を説明します。grypeをインストール後、自分のローカル環境にgrype DBを配置する必要があります。grype dbコマンドを用いてgrypeデータベースに関する操作を行うことができます。
1. DBリスト取得
まず、以下のコマンドで、grype DBのリストを取得します：
grype db list
このとき、以下のようにgrype DBの一覧が取得できます
Built: 2023-10-06 01:24:11 +0000 UTC
URL: https://toolbox-data.anchore.io/grype/databases/vulnerability-db_v5_2023-10-06T01:24:11Z_3efb2852b6383a7809d2.tar.gz
Checksum: sha256:c38ff0785a05c528d2038333c397f4a1e2164bc0ebe5f429484110ffc9e5a980
Built: 2023-10-05 01:24:28 +0000 UTC
URL: https://toolbox-data.anchore.io/grype/databases/vulnerability-db_v5_2023-10-05T01:24:28Z_17b232c51ce3734f92f5.tar.gz
Checksum: sha256:d842e5fd5c1f2ca0a0864e8a98698727ca6b0fb49928cc55ec14f752bfaeda68
Built: 2023-10-04 01:25:27 +0000 UTC
URL: https://toolbox-data.anchore.io/grype/databases/vulnerability-db_v5_2023-10-04T01:25:27Z_22681858d0461218ab2a.tar.gz
Checksum: sha256:86afbdc332df0360e9775d71b97a75a0510dfe13529111abd9e206df1088034c
.............
.............
grypeのデータベースは毎日更新されています。
2. grype DBの設置
リストを取得後、以下のコマンドを用いて最新のデータベースを取得し、配置します：
$ wget https://toolbox-data.anchore.io/grype/databases/vulnerability-db_v5_2023-10-06T01:24:11Z_3efb2852b6383a7809d2.tar.gz
$ grpye db import <脆弱性DBのtar.gz>
Vulnerability database imported
自分の場合、脆弱性DBのtar.gzはvulnerability-db_v5_2023-10-06T01:24:11Z_3efb2852b6383a7809d2.tar.gzでした。
これで、ローカル上にgrype DBを設置することができました。DBの場所はユーザーのディレクトリhome/usr名の.cache/grypeというディレクトリに存在しています。
3. grype DBのバージョン確認
以下のコマンドを実行すると、現在使用しているgrype DBの情報を見ることができます：
$ grype db status
Location: /home/usr名/.cache/grype/db/5
Built: 2023-10-06 01:24:11 +0000 UTC
Schema: 5
Checksum: sha256:bf2bcf8cedf4230cb37bf1e3a322a1d251a51683829968bd7554ff8e81995930
Status: valid
grype DB管理用のコマンド
gryoe DBを管理するためのコマンドをここでまとめておきます
grype db status : 現在のgrype DBの状態を確認できる。DBの場所、ビルドされた日付、checksumを確認できる。
grype db check DBに対して、アップデートが可能かどうかを見ることができます。
grype db update : 最新のlatestのDBが.cacheディレクトリへダウンロードされる。デフォルトでgrypeではスキ—ャンするたびに最新のDBにアップデートされる。
grype db list : ダウンロード可能なDB、そのURLを確認することができる。
grype db import : grype DBのアーカイブを使って、DBをダウンロードできる。
grype db --help : コマンドに関する情報を確認することができる。
grype DBの注意点
grype DBは毎日最新のDBに更新されており、正確な脆弱性状を手に入れるために、grypeスキャン時に最新のDBにアップデートしていく必要があります。また、ローカルのDBが過去5日以内にbuildされていない場合、grypeのスキャン実行に失敗するため注意が必要です。
grypeでSBOMをスキャンしてみる
チュートリアルとして、SBOM生成ツールsyftで生成したSBOMをスキャンし、脆弱性データを見ていきます。前回の記事SBOM生成ツールSyftの使い方で作成したディレクトリsyft-testへ移動してください。そこに前回作成したSBOM syft-python.jsonがあるはずです。そのSBOMに対して、以下のコマンドを実行することでスキャンできます：
$ grype sbom:./syft-python.json -o table=scan.txt
✔ Vulnerability DB [no update available]
✔ Scanned for vulnerabilities [791 vulnerability matches]
├── by severity: 3 critical, 60 high, 227 medium, 30 low, 453 negligible (18 unknown)
└── by status: 21 fixed, 770 not-fixed, 0 ignored
grype DBから791件の一致する脆弱性が発見されたことがわかります。
スキャン結果scan.txtを見てみると、以下のようになっています。今回は抜粋して掲載します：
NAME INSTALLED FIXED-IN TYPE VULNERABILITY SEVERITY
apt 2.6.1 deb CVE-2011-3374 Negligible
libc-bin 2.36-9+deb12u1 2.36-9+deb12u3 deb CVE-2023-4911 High
libwmf-dev 0.2.12-5.1 deb CVE-2007-3476 Low
linux-libc-dev 6.1.52-1 deb CVE-2023-25775 Critical
python3.11 3.11.2-6 deb CVE-2023-40217 Medium
...........
...........
...........
ここで、スキャン結果の注目すべき特徴について説明します。まず、スキャンテーブルのヘッダーの項目はそれぞれ以下を表しています：
- NAME : パッケージの名前
- INSTALLED : インストールされているパッケージのバージョン
- FIXED-IN : ソフトウェアの脆弱性が修正され、セキュリティパッチが適用されたバージョン
- TYPE : パッケージのタイプ
- VULNERABILITY : 脆弱性に対してつけられた識別子が出力される。今回のスキャンでは、CVE識別番号と呼ばれる識別子がつけられている。
- SEVERITY : Critical, High, Medium, Low, Negligibleのレベルで分類されており、HighやCriticalと判定されたパッケージに対しては、その脆弱性を調べ、対策することを推奨されている。
重要なFIXED-INについて、詳しく説明します。日本語では「修正された」という意味です。「修正された」とは、ソフトウェアの脆弱性が修正され、セキュリティパッチが適用されたことを意味します。つまり、脆弱性に対するセキュリティアップデートが提供されており、FIXED-INでは、そのアップデートが適用されたバージョンが存在しており、そのバージョンについて記述されています。
例えば、今回の例を見てみましょう：
NAME INSTALLED FIXED-IN TYPE VULNERABILITY SEVERITY
libc-bin 2.36-9+deb12u1 2.36-9+deb12u3 deb CVE-2023-4911 High
ここでは、libc-binというパッケージのバージョン 2.36-9+deb12u1 に対して、脆弱性が検知されています。そして、バージョン 2.36-9+deb12u1 に存在した CVE-2023-4911という脆弱性が、バージョン 2.36-9+deb12u3 で修正され、セキュリティの問題が解決されたことを意味しています。
したがって、すでに修正された脆弱性については、ユーザーがFIXED-INを見て、そこに記述されたバージョンをインストールすることで、脆弱性によるセキュリティの問題を解決することができる。一方、FIXED-IN項目が空欄になっている、すなわち、「修正されていない」脆弱性は、セキュリティアップデートがまだ提供されておらず、脆弱性が依然として存在する状態を指しています。
脆弱性が修正されたパッケージのみを出力したい場合は、grypeのコマンドにフラグ--only-fixedを使えばよく、一方、脆弱性が修正されていないパッケージのみを出力したい場合は--only-notfixedフラグを使います。
実行例でも見たようにgrypeによるスキャンは、大量の脆弱性を検知します。そのため、FIXED-IN項目や脆弱性のレベルを観測し、重要なものだけ抽出することで確認すべき脆弱性の数を減らせることができ、これらがgrypeの運用において重要になります。