指標に関する可視性の強化： Tenable.ioに新しいダッシュボードが追加されました

Tenable.ioユーザーの皆様からのご要望に応え、Tenableのダッシュボードチームとレポートチームが共同で、サイバーエクスポージャーをより簡単に実装できる新しいダッシュボードをご用意しました。脆弱性の指標、リスクの軽減、エクスプロイトのレポートといった重要なトピックについて理解を深められるよう、Tenable.ioに新しい5つのダッシュボードを追加しました。

これら5つの新しいダッシュボードは、SecurityCenterで利用できる評判の高いダッシュボードを、 Cyber Exposure Lifecycleに合わせてアップデートしたものです。新しいダッシュボードそれぞれの内容を見ていきましょう。

#1.Executive Summaryダッシュボード

Executive Summaryダッシュボードでは、Tenable.ioで利用できる複数の指標を考慮に入れ、検索を少数の重要な指標（重大度、共通脆弱性識別子（CVE）、脆弱性の状態など）に絞り込めるようになっています。このダッシュボードは、 サイバーエクスポージャーの取り組みについて幹部に説明し、組織のサイバーリスクを評価する際に役立ちます。

このダッシュボードを見れば、幹部が簡単にセキュリティの指標を確認して分析し、サイバーエクスポージャーライフサイクルの達成度をより深く理解できます。セキュリティ責任者がサイバーエクスポージャーの規範を組織に導入する際は、最新のアタックサーフェスを評価し、サイバーリスクを正確に把握して軽減するために、このダッシュボードを利用できます。幹部は規範に従うことで、リスク軽減の取り組みとレポートを、業界で認められた指標を採用したものへと方向付け、注力できるようになります。Tenable.ioは、サイバーエクスポージャーライフサイクルの5つのステップを容易に実装して、脆弱性データを分析する共通の場となります。

#2.Exploitable Framework Analysisダッシュボード

セキュリティチームとサイバーエクスポージャーについて話し合う際には、エクスプロイトの可能性、つまり特定の脆弱性がどれだけ簡単に悪用され得るかという指標が重要になります。Exploitable Framework Analysisダッシュボードは、攻撃に際して最もセキュリティが侵害されやすい資産を予測するために必要な情報を提供します。

セキュリティチームは、しばしば内部侵入テストを実施して、ネットワークをさらに詳しく分析します。米国国立標準技術研究所（NIST）800-53で管理する「CA-8 Penetration Testing」では、侵入テストを「攻撃者が悪用する可能性のある脆弱性を識別するために、情報システムまたは個々のシステムコンポーネントに対して実施する特化されたタイプの評価」と定義しています。この特化された評価を支援するために、セキュリティチームはCore Impact、Canvasなどの攻撃再現フレームワークを使用しています。このダッシュボードでは、ネットワーク内の脆弱性に関して最もよく検出されるフレームワークを総体的に把握することができます。

#3. Measure Vulnerability Managementダッシュボード

Measure Vulnerability Managementダッシュボードを作成する際に私たちが目標としたのは、サイバーエクスポージャーの規範の進捗状況を完全に把握できるようにすることです。ダッシュボードの脆弱性管理データは、ITセキュリティチームが使いやすいように編成されています。

このダッシュボードは、新たに登場したセキュリティフレームワークの多くに要約されているガイドラインに従っています。まず、共通脆弱性識別子（CVE）マトリクスから、セキュリティアドバイザリーによって特定された脆弱性に簡単に照準を絞ることができます。次に、マトリクスに用意されているいくつかの保存済み検索を利用して、隠れた脆弱性を識別したり、セキュリティが侵害されたシステムを探したりすることもできます。このダッシュボードには、プロセスを実行中のソフトウェアや、システムリソースを使用している他のソースが列挙して表示されます。サーバー管理チームまたはセキュリティチームの一員として、これらのウィジェットから恩恵を受けられるはずです。

脆弱性管理チームをサポートすることを目的に、スキャンの実行方法や、とりわけ脆弱なシステムに関する有用なデータも利用できるようになっています。オペレーティングシステム別に脆弱性を分析する場合にお勧めの方法が、プラグインファミリーを使って、サポートチームとパッチ適用サイクルがしばしば共通している脆弱性を視覚化することです。この脆弱性データを、CVSS、エクスプロイトの可能性、パッチが利用可能かどうかという項目からなるエスカレーション別の列にさらにグループ化します。最後に、脆弱性を許容または改変した場合は、このダッシュボードがリスク許容状況を監視する上で役立つ情報を提供します。

#4. Mitigation Summaryダッシュボード

Mitigation Summaryダッシュボードは、サイバーエクスポージャーの進捗状況を経営陣に説明し、残りの作業を明らかにする際に役立ちます。このダッシュボード内の各ウィジェットは5つの列からなります。最初の列には、脆弱性の状態タグを使用して、修正済みの脆弱性のリストが示されます。他の4列は、残りの作業に関するインサイトを提供するためのものです。それぞれのマトリクスが、サイバーエクスポージャーの異なる側面にフォーカスしています。

リスクマネージャーはCVSSベースのスコアを使用することで、各脆弱性をコンピューターによるスコアで採点し、定量的な分析を行うことができます。サイバーエクスポージャーを監査人と話し合う際には、CVEも役立ちます。このダッシュボードでは、軽減されたCVEの数と、まだ解決されていないCVEの数を簡単に確認できます。さらに、脆弱性をオペレーティングシステムごとにグループ化すると、パッチ管理および変更管理業務を手配する際に役立ちます。グループ化された脆弱性情報を使用すれば、右側の未軽減の列から軽減済みの列に移動した脆弱性の数を確認するという方法で、パッチ展開プロセスを監視できます。

#5. Security Management Summaryダッシュボード

Security Management Summaryダッシュボードは、主に、軽減する必要がある脆弱性とサイバーリスクを識別するために使用します。このダッシュボードを使用すれば、ネットワーク上にあるTransmission Control Protocol（TCP）ポートを簡単に確認できます。さらに、ネイティブなドリルダウン機能を使って、各ポートのあらゆる脆弱性を容易に識別できます。

このダッシュボードでは、CVEを基準として、最も広まっている脆弱性を表示することもできます。このダッシュボードでのCVEは、簡単に優先順位を付けて軽減できるようになっています。私はこのダッシュボードを、最もリスクにさらされている共通のオペレーティングシステムとLinuxおよびWindowsホストを識別するために使用しています。要するに、これはリスクの軽減作業に優先順位を付けるのに役立つダッシュボードなのです。

まとめ

Tenable.ioには、マネージャー、セキュリティチーム、幹部が組織内のサイバーリスクを把握し、最小限に抑えるために利用できる豊富なデータが含まれています。ここで説明したダッシュボードを使用すれば、軽減された脆弱性、CVSSスコア、CVEをはじめとする有用な指標を、一元化されたビューでより総体的に確認することができます。このテクノロジーを利用することで、企業はサイバーリスクの識別と軽減において大きな成果を達成できるようになります。