Everybody Does Good Vulnerability Management When S#*t Hits the Fan 

危機に直面するとセキュリティチームの効率性が急に高まることがありますが、平常時でもセキュリティに対して同じアプローチを取る必要があります。To help you get started, here are four best practices — and a new Tenable.io feature. 

危機に直面したセキュリティチームが急に抜群の効率を発揮することにお気づきですか。たとえば、Log4j の脆弱性を悪用する攻撃が発覚したような場合、リスクを軽減するために全部門が一丸となって迅速に対応します。危機発生時は脆弱性の深刻度について議論したり、会議や変更のレビューを行ったりする時間はなく、潜在的な影響を最小限に抑えるために迅速なタスクの調整、目標設定、緊急作業にとりかかるからです。セキュリティチームは企業全体のサポートを受け、多くの場合、企業全体が初めて共通の目標を共有するのです。

Why is it that you can’t take the same approach to security at other times? なぜ、緊急時のパニックがないとInstead, why don’t you always have shared goals? Why doesn’t your leadership always share in the goal of all other critical Tenable Vulnerability Priority Rating (VPR) vulnerabilities? (Here’s a full discussion about the disconnect between business and cybersecurity.) なぜ、脆弱性の深刻度や公開された深刻な脆弱性を突いた攻撃が企業環境に与える影響についてまだ 議論しているのでしょうか。If we want to have an effective vulnerability management program you have to become less reactive and build a common set of policies and procedures. そうすれば、企業はプログラムを成長させ、成熟させることができます。Tenable has published several articles about how you can accomplish some of that here and here. 

In this blog, we’ll share four best practices for a successful vulnerability management program, and detail a new feature in Tenable.io that will allow our users to set better goals, as well as track progress when the next headline vulnerability gets a logo or even a theme song.

万が一のパンクに備える

出先でタイヤがパンクしてしまったことはありませんか? タイヤのパンクは予期せぬ時に起こります。修理するために、予定が崩れて一日が台無しになってしまうこともあります。パンクしたままでは走行できないので真っ先にタイヤを修理しなければなりません。

パンクを完全に未然に防ぐことはできませんが、その可能性を減らすには定期的な点検が有効です。We rotate the tires, make sure they’re properly inflated, patch them if needed and avoid construction zones littered with nails. タイヤの点検方法を知っていると、楽しい一日が台無しになってしまうリスクを減らすことができます。

脆弱性管理にも同じ原則が当てはまります。When a major vulnerability is disclosed, you work quickly to address it. You stop everything, run targeted scans, find assets with the vulnerability and work together to patch. But unlike the tire scenario, that's often where you stop. You forget about the ongoing maintenance that helps prevent a crisis in the future. 

Scanning often drives normal day-to-day patching. (ところで、このアプローチは重大な問題が何か、さらに重要なことには、探している脆弱性がわかっている場合にのみ効果的です。) You get a list of vulnerabilities and patch your way through them. You try (always unsuccessfully) to patch all the vulnerabilities on your network. 

どうするべきか？将来の危機を予防するにはどのようなメンテナンスが必要なのでしょうか。

成功する脆弱性管理プログラムの構築

We have four suggestions to help you start building a successful vulnerability management program.

1. Base your vulnerability management program on goals. Having specific and stated goals for your vulnerability management program, and knowing how you will measure and present them, is critical. 目標は、リスクや脅威の管理に関する場合もあれば、セキュリティパッチの監査を特定のレベルに維持することである場合 (または両方の場合) もあります。A goal helps everyone who is part of the vulnerability management program understand the purpose of the program. 
2. 成功を定義する戦略を立てる。成功を導くための戦略を策定するには、スキャンの頻度、報告の頻度、優先順位の設定が重要です。すべての利害関係者によって合意された明確なプロセスを使うことで、セキュリティチームは、成功がどのように測定されるかを確実に把握でき、タスクに集中して優先順位を付けることができます。
3. 事後対応から事前対応に移行する。Vulnerability management should be about making informed decisions, and proactively prioritizing which vulnerabilities to fix first based on the degree of risk to your organization. そのためには、ネットワーク上の深刻な脆弱性、脆弱性が存在する資産、および脆弱性が悪用される可能性を継続的に把握する必要があります。そして、リスクの高い脆弱性に最初に事前にパッチを適用します。
4. Know where vulnerability management fits in. A strong vulnerability management program is not a one-and-done type of actively. So many other IT and security solutions are projects: deploy a new firewall, set up Virtual Private Networks (VPNs), and move to the cloud (well that one is likely never done) — you get the point. The most successful programs treat scanning as an audit of the effectiveness of people, processes and technology — finding gaps, errors and areas to improve. たとえば、何にパッチを適用したらよいかがわかるのはスキャンではなくパッチのためのソリューションです。スキャンは、パッチが適用されなかったものを検出します。As a best practice, you should use other technologies to identify what patches are available in your environment, and then use vulnerability management to identify gaps between other technologies and scans.

Tenable.io remediation 

To help you move your vulnerability management program from reactive to proactive, Tenable is excited to announce a new capability in Tenable.io to drive your maintenance program and help you define goals and proactively work towards success. また、深刻度の高い脆弱性が報道されたときにも、効果的に追跡できます。

Remediation goals

Remediation goals help move your vulnerability management program from reactive to proactive. Using filters and tags you create ongoing program goals, assign them to individuals or teams and measure success against the goals. 目標が 30 日以内に 8 以上の VPR のすべての脆弱性にパッチを適用することである場合、目標に向けた進捗状況が示され、継続的に更新されるレポートで成功達成度が明らかになります。

Remediation projects

Remediation projects help you achieve project-based goals when a situation arises. フィルターとタグを使用して、作業を定義し、範囲 (修復済みまたは進行中) を決定し、プロジェクトを個人またはチームに割り当て、修復が完了するまで追跡できます。For example, a tactical fixed project would include patching all Log4j vulnerabilities within five days. パッチが適用されたらプロジェクトは完了します。また、進行中のプロジェクトを追跡することもできます。For example, to help maintain your vulnerability management program you could ensure that present and future critical Payment Card Industry (PCI) vulnerabilities are continuously assigned to the proper people and are remediated. 

まとめ

成功する脆弱性管理プログラムは、危機が発生するたびに絶えず対処しているとなかなか構築できません。脆弱性管理プログラム全体に焦点を合わせる必要があります。While, like the tire, no amount of maintenance will always prevent a flat, building a vulnerability management program with concrete goals is the best way to enhance cyber hygiene and proactively prevent s#*t from hitting the fan. 

Tenable を活用して、事前対応型の強力なメンテナンスプログラムを構築しましょう。詳細については、Tenable.io ユーザーガイドの修復のセクションをご覧ください。