Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Tenable ブログ

ブログ通知を受信する

アタックサーフェス全体を精査して継続的に評価する方法

攻撃される恐れのあるIT資産(アタックサーフェス)全体を完全に理解するには、資産タイプ別に必要な検知・評価ツールを選択することが基本

セキュリティ業界で数年以上の経験がある方ならば、従来のオンプレミス資産だけの IT 環境が、オンプレミスとクラウドベースの両方の環境を網羅した、複合的な環境に進化したことを目撃されていることでしょう。新しい資産タイプには、仮想プラットフォーム、クラウドサービス、コンテナ、ウェブアプリ、OT、IoT などがあります。進化そのものはセキュリティ担当者に充分理解されているものの、それに適応した対応、特に多種の最新デジタル資産を完全に検知して正しく評価できるように修正すること、にはまだまだ追いついていないようです。

その昔、物理的なオンプレミス IT 資産の集合であったときは、ネットワークのほぼ全体が企業のしっかりとした管理下にあるデータセンターと IP アドレススペースに位置していたので、ネットワークの脆弱性スキャナーを実行すれば、資産の全容も、露呈状況も充分把握できました。当時、脆弱性を悪用した攻撃のリスクを評価するには、「大は小を兼ねる」アプローチが一般的で、とにかく何もかも評価の対象にすればリスクが洗い出せるという考え方でした。しかし、資産タイプが多種にわたった今日では、目的に応じてツールを選び、アタックサーフェス全体を安全に、正確に可視化して、環境に存在する資産 1 つひとつのセキュリティ状態を深く理解する必要があります。

現代の資産タイプの大多数を検知して正確に評価するには、それぞれ特定の測定方法やツールが必要になります。いくつかの例をご紹介します。

  • クラウドコネクタ クラウド環境はネットワークに物理的に付随していないので、コネクタがないと脆弱性管理プラットフォームと接続状態を維持できません。

  • エージェント ラップトップ PC などの資産は、通常のスキャン時にはネットワークに接続されていない場合が多く、脆弱性があっても長期間見逃される危険があります。しかし、この問題は、ローカルでエージェントをインストールすれば、継続監視が可能になり、資産がネットワークに接続されたときに結果を送信できるので解決できます。

  •  OT デバイス用のアクティブクエリセンサーの導入  OT と IoT 環境の資産のほとんどは、特定の目的のために機能するシステムで、従来の IT 資産とは運用が非常に異なっています。 このため、安全にクエリできるセンサー (注意! スキャンではなくクエリ) を使うことが賢明です。ネイティブなコマンドの実行で、脆弱性や設定ミスの有無が判断できます。この方法では、潜在的な攻撃に対して常時監視できるばかりでなく、設定ミス、しきい値の誤りなども監視できます。
  • ウェブアプリ用スキャナー  ウェブアプリは従来の IT 資産とはさまざまな理由で見た目も挙動も異なります。ウェブアプリの脆弱性は、通常、 Common Weakness Enumerations (CWE) にカテゴリ分けされ、Common Vulnerabilities and Exposures (CVE)の区分に入りません。 従って、ウェブアプリのセキュリティ状態を理解するためには、特殊なスキャナーを使って検知、評価する必要があります。

  • コンテナ セキュリティ コンテナイメージのような現代のデジタル資産は、従来の方法では評価できません。しかし、コンテナ専用のセキュリティデバイスを使えば、コンテナイメージを保管して、イメージが生成される過程をスキャンして、脆弱性とマルウェアの検出ができます。また、継続的な監視とコンテナイメージの検証も可能です。

もちろん、セキュリティチームにとって、今日の大きな問題は、脆弱性の数です。とうてい手に追えない膨大な数の脆弱性が存在します。「大は小を兼ねる」アプローチは、ほとんどの企業にとっては人員や時間の制限によって実行不能です。その代わりに必要なのは、どの脆弱性が最重要システムに最大のリスクになるかを判断することです。そうすれば、修正作業を効果的に優先順位付けすることができます。

脆弱性の優先順位付けを効果的に実行するには、セキュリティデータを分析して、1 つひとつの脆弱性を関連したコンテキストで完全に理解することが必要です。ところが、分析するデータも膨大な量になり、しかも、手作業で分析されているケースが多いようですし、上述のセキュリティツールの 1 つひとつがさらに多くのデータを吐き出すので、問題は悪化するばかりです。以上の理由から、包括的な脆弱性管理プラットフォーム、すなわちすべての種類のセキュリティデータを取り込むことができ、自動化機能をつかって即座に分析できるプラットフォームが必要になるのです。 そのようなプラットフォームがあれば、必要なセキュリティインテリジェンスを素早く取り込めます。

ひとことで言えば、資産タイプに合った検知・評価ツールを選べば、ネットワーク全体の盲点が排除でき、アタックサーフェス全体が理解できるようになります。そして、さまざまなツールからインプットされる情報を処理できる脆弱性管理ツールを使えば、統合した視点から多種の資産を評価でき、脆弱性修正作業を正しく優先順位付けできます。

もっと詳しく

関連記事

最新のサイバー攻撃に対して脆弱ではありませんか?

下にメールアドレスをご記入ください。最新の情報が確認できる Cyber Exposure アラートがインボックスに送信されます。

tenable.io

最新のクラウドベースの脆弱性管理プラットフォームにフルアクセスし、これまでにない精度で全資産の表示および追跡が可能です。

tenable.io 購入

最新のクラウドベースの脆弱性管理プラットフォームの全機能にアクセスして、これまでにない精度で全ての資産を確認、追跡しましょう。 年間サブスクリプションをご購入ください。

65 資産

サブスクリプションオプションを選択してください。

今すぐ購入する

Nessus Professional を無料で試す

7 日間無料

Nessus® は、最も包括的な脆弱性スキャナーです。Nessus Professional は脆弱性のスキャンプロセスを自動化し、コンプライアンスサイクルを短縮し、お客様の IT チームが専念して活動できるようにします。

Nessus Professionalを購入する

Nessus® は、最も包括的な脆弱性スキャナーです。Nessus Professional は脆弱性のスキャンプロセスを自動化し、コンプライアンスサイクルを短縮し、お客様の IT チームが専念して活動できるようにします。

複数年ライセンスをご購入いただくと割引が適用されます。拡張サポートを追加すると、24 時間x365 日、電話、コミュニティ、チャットサポートにアクセスできます。

ライセンスをお選びください

複数年ライセンスをご購入いただくと割引が適用されます。

サポートとトレーニングを追加

Tenable.io

最新のクラウドベースの脆弱性管理プラットフォームにフルアクセスし、これまでにない精度で全資産の表示および追跡が可能です。

Tenable.io を購入する

最新のクラウドベースの脆弱性管理プラットフォームの全機能にアクセスして、これまでにない精度で全ての資産を確認、追跡しましょう。 年間サブスクリプションをご購入ください。

65 資産

サブスクリプションオプションを選択してください。

今すぐ購入する

Tenable.io Web Application Scanningを試す

Tenable.ioプラットフォームの一部として最新のアプリケーション用に設計された、最新のウエブアプリケーションのスキャンサービスの全機能にアクセス可能です。手作業による労力や重大なウエブアプリケーションの中断なしに、脆弱性のオンラインポートフォリオを安全に高精度でスキャンします。 今すぐサインアップしてください。

Tenable.io Web Application Scanningを購入する

最新のクラウドベースの脆弱性管理プラットフォームの全機能にアクセスして、これまでにない精度で全ての資産を確認、追跡しましょう。 年間サブスクリプションをご購入ください。

5 FQDN

3,578ドル

今すぐ購入する

Tenable.io Container Securityを試す

脆弱性管理プラットフォームに統合された唯一のコンテナセキュリティ製品の全機能にアクセス可能です。コンテナイメージの脆弱性、マルウェア、ポリシー違反を監視継続的インテグレーション/継続的デリバリー(CI / CD)システムと統合し、DevOps プラクティス、セキュリティ強化、および企業のポリシーコンプライアンスをサポートします。

Tenable.io Container Securityを購入する

Tenable.ioのContainer Securityは、ビルドプロセスと統合することにより、コンテナイメージのセキュリティ(脆弱性、マルウェア、ポリシー違反など)を可視化し、シームレスかつ安全なDevOpsプロセスを実現します。

Tenable Lumin を試用する

Tenable Lumin を使用して、Cyber Exposure を可視化および調査し、リスクの軽減を追跡し、競合他社に対してベンチマークしましょう。

Tenable Lumin を購入する

Tenableの担当者にお問い合わせいただき、企業全体に対するインサイトを得て、サイバーリスクを管理する上で Lumin がいかに役立つかについて、Tenable の営業担当者までお問い合わせください。

Tenable.cs を試してみる

製品のすべての機能にアクセスして、クラウドインフラの設定ミスを検出、修正して、実行段階の脆弱性を表示できます。今すぐ無料トライアルにご登録ください。

営業担当者に問い合わせて Tenable.cs

Tenable.cs Cloud Security について詳しくは営業担当者にお問い合わせください。クラウドアカウントのオンボーディングは簡単で、数分でクラウドの設定ミスと脆弱性が把握できます。

Nessus Expert を無料で試す

7 日間無料

最新のアタックサーフェス用に構築された Nessus Expert を使用すると、拡大された領域が可視化でき、IT やクラウド資産に潜む脆弱性から企業を保護できます。

すでに Nessus Professional をご使用ですか?
Nessus Expert にアップグレードすると、7 日間無料でご利用いただけます。

Nessus Expert を購入する

最新のアタックサーフェス用に構築された Nessus Expert を使用すると、拡大された領域が可視化でき、IT やクラウド資産に潜む脆弱性から企業を保護できます。

ライセンスをお選びください

プロモーション価格は 9 月 30 日に終了します。
複数年ライセンスの場合、よりお求めやすい価格でご購入いただけます。

7 つの追加サポート