J.A.R.V.I.S.計画第三十三話

ClearWingの検査結果を月次点検レポートにする手順

秘密情報を伏せ、候補を絞り、前月差分と優先度を社内説明へつなぐ実践編です。

ClearWingの結果は、候補の一覧を出した時点ではまだ完成ではありません。検査対象数、除外理由、要確認、前月差分、担当と期限へ読み替えて初めて、経営者と技術担当者が同じ資料で判断できます。

この記事の数字は、実顧客情報や本番の脆弱性件数ではありません。公開用に匿名化・再構成した検証サンプルです。実IP、実ドメイン、認証情報、脆弱性ログ全文、攻撃手順は掲載しません。

前回までの記事では、検証VMからClearWing基盤を作る考え方と、検査対象と秘密情報の伏せ方を整理しました。今回は、その次の工程である「結果の読み替え」に絞ります。

候補は危険確定ではない：機械抽出と人間確認を分けます。
除外理由を残す：想定内・生成物・重複を区別します。
前月差分を見る：件数増減だけでなく、増えた理由と未対応を追います。
最後は担当と期限：技術用語を、経営判断へ変換します。

1. 最初に、検査原本と公開用サマリーを分ける

月次レポートを作る時は、ClearWingの原本を上書きせず、読み取り専用で保存します。原本には技術担当者だけがアクセスし、社長・上司へ渡す資料は秘密情報を伏せたサマリーへ分けます。

ClearWingは、ネットワーク点検とソースコード確認の両方を扱える強力な基盤です。公式READMEも、所有または明示許可のある対象だけで使うことを求めています。月次運用でも、検査範囲と許可を先に固定します。

安全な確認コマンド例（既に出力済みのJSONを読むだけ）

find ./results -maxdepth 2 -type f -name '*.json' -print
shasum -a 256 ./results/monthly-summary.json
jq '{target_count,candidate_count,excluded_count,needs_review_count,difference,priority}' ./results/monthly-summary.json

これらは一覧、checksum、集計値を読む非破壊の確認です。公開URLへのスキャン、認証突破、負荷試験、修正実行は含みません。

2. まず4つの数字に分ける

検査結果は「対象」「検出候補」「除外」「要確認」の4つに分けます。候補14件をそのまま危険14件と呼ばないことが重要です。公開用サンプルでは、人間確認によって9件を除外し、5件を要確認へ残しました。

項目	件数	読み方
検査対象	42	ソース24、WordPress 11、公開URL 7。対象範囲の母数です。
検出候補	14	機械抽出の入口。脆弱性確定件数ではありません。
除外	9	想定内4、生成物3、重複2。理由を記録します。
要確認	5	人が業務影響と対応時期を判断する対象です。

ClearWingの検査対象42件、候補14件、除外9件、要確認5件を示す公開用検証サンプル — 候補をそのまま危険件数にせず、人間確認で除外と要確認へ分けます。

3. 前月差分は、件数より理由を読む

公開用サンプルでは、要確認が前月7件から今月5件へ2件減りました。しかし、減っただけで安全になったとは言い切れません。修正して減ったのか、対象範囲が狭くなったのか、除外ルールが変わったのかを確認します。

前月差分で必ず見ること

新規に増えた候補と、その発生理由。
前月から残った未対応と、持ち越し理由。
除外ルールの変更と、誤って隠していないか。
検査対象数が減っていないか。

4. 優先度A/B/Cを、担当と期限へ落とす

要確認5件は、優先度Aが1件、Bが2件、Cが2件という形に整理します。優先度だけでは実務が進まないため、必ず担当、期限、確認方法、切り戻し条件をセットにします。

優先度	件数	社内説明	次の対応
A	1	早めに人が確認すべき候補。	影響、バックアップ、切り戻しを確認して今週判断。
B	2	今月の保守計画へ入れる候補。	担当と期限を決め、変更前バックアップを取る。
C	2	経過観察または次月比較。	再確認日と悪化条件を残す。