Contrast EOPでライブラリデータを更新する

本項の内容

Contrastエンタープライズオンプレミス版(EOP)で、ライブラリのCVE情報を更新する方法について説明します。

手順

ContrastEOPの3.6.4 以降のリリースでは、Proxy経由あるいはファイアウォール経由でhttps://ardy.contrastsecurity.com/production へのアクセスが許可されていれば、ライブラリのCVE情報は自動的に更新されます。

ネットへのアクセスが許可されていないEOPの場合でも以下の手順により、最新のライブラリのCVE情報をダウンロードして更新することができます (3.7.4 以降、かつ<EOP Install Dir>/data/librariesを含むストレージに20GB以上の空きが必要です)。  

1. Contrast Hubからライブラリデータをダウンロード

Contrast Hub (https://hub.contrastsecurity.com/h/download/all/typed.html)へアクセスし、DownloadsのLibrary Data Exportsから最新のCVE情報をダウンロードします (2020/12現在で2GB程度)。  

2. ダウンロードしたファイルをフォルダに配置

ダウンロードしたZIPファイルを解凍してできるCSVファイル (2020/12現在で解凍後5GB程度) をContrast EOPをインストールしたフォルダの下のdata/librariesフォルダに配置します。

• Windowsでは、デフォルトインストールで"C:\Program Files\Contrast\data\libraries"
• Linuxでは、デフォルトインストールで"/usr/local/contrast/data/libraries"

.NET framework などのCVE情報を含むCSVファイルは、OSの設定により名前の関係で隠れている場合がありますので、すべてのCSVファイルがこのフォルダに配置されていることを確認してください。  

(参考：Windowsの場合のイメージ)

3. Contrast EOPを再起動

Contrast EOPを再起動します。

• Windowsの場合は、サービスよりContrast Serverというサービスを再起動
• Linuxの場合は、sudo service contrast-server restart を実行してサービスを再起動  

(参考：Windowsの場合のイメージ)

4. CSVファイルの読み込み

Contrast EOPを再起動すると、バックグラウンドでCSVファイルに含まれるCVE情報を含むが読み込まれます。読み込みが完了したCSVファイルはフォルダから削除されます。

5. ログの確認

CSVファイルの読み込みがが完了したかどうかは、ログを確認します。以下のようなメッセージが、Contrast EOPをインストールしたフォルダの下のdata/logs/contrast.logにログとして出力されます。

例) 
Beginning CSV import from 'C:\Program Files\Contrast\data\libraries\java.csv' into 'artifacts_java'
Import temporary table 'artifacts_java' completed, time: 36.6886968s

関連する情報

弊社オンラインドキュメント：ライブラリデータの更新