お知らせ

CRA 対応を支援する脆弱性管理ツール「MIRACLE Vul Hammer」最新版を提供開始

～ SBOM の階層管理と CPE の補完機能を実装～

2025 年 5 月 21 日

サイバートラスト株式会社は、欧州サイバーレジリエンス法（CRA）対応を支援する脆弱性管理ツール「MIRACLE Vul Hammer」の最新版を 2025 年 5 月 21 日より提供開始します。最新版では、SBOM の階層管理によりリスクコントロールを効率化したほか、ソフトウェアやハードウェア製品を一意に識別するための標準フォーマットである CPE ^※1 の補完機能を実装し、セキュリティリスク管理の精度を向上しています。

MIRACLE Vul Hammer は、SBOM を利用して、内在する脆弱性を可視化する脆弱性管理ツールです。複数のベンダーから提供される固有の拡張タグを含む SBOM を、1 つのツールで統合管理でき、日々新たに発見される脆弱性への対応を支援し、システム運用コストの削減を実現します。

SBOM を利用する企業において、複数の製品の SBOM を一元管理したり、一つの製品に関わるサプライチェーンの SBOM を管理したり、組織や製品ごとにさまざまなグループピングの方法があります。このため、開発構造やサプライチェーン構造を踏まえた複数部門での管理や、製品構造に合わせた管理をする際には、ニーズに応じた階層化が求められていました。
また、SBOM による脆弱性マッチングでは、一意となる識別子の情報を利用して脆弱性データベースとマッチングを行いますが、部品 ID 標準が複数併存することで、ID の一意性によるマッチングの課題が想定されています。SBOM における部品情報の網羅性、部品 ID の一意性が確保されていないことなどから、脆弱性情報の検出漏れや誤検知が発生してしまう可能性があります。
これらの課題を改善するため、SBOM のグループを階層管理可能にしたほか、一意となる識別子の一つである CPE を補完するためのアップデートを行いました。

最新版の「MIRACLE Vul Hammer」は、以下の機能を実装しています。

複数の SBOM をまとめてグループ単位で階層管理する機能
グループの関連性を視覚化し、サプライチェーンの階層ごとや組織の階層ごとに SBOM を管理可能にしたことで、リスクコントロールを効率化
CPE の情報が含まれない場合に推論により補完する機能
手動で SBOM を生成する際や SBOM 生成ツールによって CPE の情報が含まれない場合に脆弱性検査ができない課題に対し、CPE を推論で追加可能にすることで脆弱性情報の検出漏れを防ぎ、誤検知の削減を可能に

最新版の MIRACLE Vul Hammer により、サプライチェーンにおける脆弱性管理のためのさまざまな SBOM の統合管理を効率化します。