Tenable One Vulnerability Management に関するよくある質問

Vulnerability Management は、ネットワークを完全に可視化して攻撃を予測し、重大な脆弱性に迅速に対応するためのリスクベースの脆弱性管理ソリューションです。継続的で常時接続型の検出と評価により、ネットワーク上の全資産と、そこに隠れた脆弱性を発見するのに必要な可視性が得られます。 組み込みの優先順位付け、脅威インテリジェンス、リアルタイムレポート機能により、リスクを把握し、攻撃経路を事前に阻止することができます。 最先端の Tenable Nessus テクノロジーをベースにしたクラウド管理製品であり、ネットワーク上の資産と脆弱性を完全に可視化できるので、リスクの迅速かつ正確な把握と、最初に修正すべき脆弱性の特定が可能になります。

Tenable One Vulnerability Management は、Tenable のエクスポージャー管理プラットフォームである Tenable One を構成する中核コンポーネントです。Tenable One は Tenable One Vulnerability Management を基盤として構築されており、クラウドインスタンス、Web アプリケーション、Active Directory (AD) をはじめ、モバイルデバイス、仮想マシン、コンテナなどの変化の激しい資産を含む、組織全体のインフラにおけるセキュリティリスクを実用的なインサイトとして提供します。より良いサイバーリスク管理のために、アタックサーフェスの可視化、資産の重要度の評価、リスクベースのサイバーエクスポージャーのスコアリング、ピアベンチマークなどの追加の優先順位付け尺度や機能と、時間の経過に伴うリスク削減を追跡する機能も利用できます。

Tenable One Vulnerability Management の詳細については、Tenable One Vulnerability Management 製品ページをご覧いただくか、今後開催予定のウェビナーにご参加ください。また、Tenable 認定パートナーまたは Tenable の担当者までお問い合わせいただけます。

Tenable One Vulnerability Management の無料評価版をご利用になるには、https://www.tenable.com/tryからお申し込みください。

Tenable One Vulnerability Management は、お近くの Tenable 認定パートナーまたは Tenable の担当者にお問い合わせいただくか、tenable.com にアクセスしてご購入いただけます。

はい。 Tenable のアプリケーションは、個別にライセンスが付与できます。たとえば、Tenable One Web App Scanning は、Tenable One Vulnerability Management の脆弱性管理機能を含めず、単独でライセンスを購入できます。

Tenable One Vulnerability Management は年間サブスクリプション形式でライセンスされ、IP アドレス単位ではなく、資産単位で価格が設定されます。そのため、二重にカウントされることなしにクラウドなどの新たなテクノロジーを利用できます。

価格設定およびライセンスの詳細については、 下記のセクションを参照してください。

エラスティック資産ライセンスの主な利点は次のとおりです。

• 膨大に増える IP の数ではなく資産の数に基づいて適正な数のライセンスを購入できます。
• お客様は使用しなくなった資産や意図せずスキャンされた資産からライセンスを回収するという、手間がかかる不正確な作業をする必要がありません。
• 資産に複数の IP アドレスが存在する場合でも、脆弱性が二重三重にカウントされて、脆弱性管理指標が誤った値になることはありません。

エラスティック資産ライセンスの主な利点は次のとおりです。

• 膨大に増える IP の数ではなく資産の数に基づいて適正な数のライセンスを購入できます。
• お客様は使用しなくなった資産や意図せずスキャンされた資産からライセンスを回収するという、手間がかかる不正確な作業をする必要がありません。
• 資産に複数の IP アドレスが存在する場合でも、脆弱性が二重三重にカウントされて、脆弱性管理指標が誤った値になることはありません。

はい、一時的に、ライセンスを購入した資産数を超えてもかまいません。もちろん、ライセンス数の超過が続く場合には費用の調整が必要となります。

資産とは、分析対象となり得るエンティティのことです。たとえば、デスクトップ PC、ノート PC、サーバー、ストレージデバイス、ネットワーク機器、スマートフォン、タブレット、仮想マシン (VM)、ハイパーバイザー、コンテナなどが含まれます。

Tenable One Vulnerability Management は、資産を初めて検出した際に、BIOS UUID、システムの MAC アドレス、NetBIOS 名、完全修飾ドメイン名 (FQDN) など、資産を一意に識別するための複数の属性を収集します。さらに、認証されたスキャンエージェントとNessusエージェントが、そのデバイスにTenable UUIDを割り当てます。その後、Tenable One Vulnerability Management が資産をスキャンするたびに、以前に検出された資産と照合します。新たに検出された資産が既存の資産と一致しない場合は、新しい資産として Tenable One Vulnerability Management の資産インベントリに追加されます。

一般的にはIPは資産の特性の1つであり、多くの資産には複数のIPが割り当てられています（DHCPデバイス、有線と無線の両方のインターフェースを装備したシステムなど）。

PCI ASVとは、四半期ごとに外部脆弱性スキャンを実行することを義務付ける、ペイメントカード業界（Payment Card Industry: PCI）のデータセキュリティ基準（Data Security Standard: DSS）の「要件とセキュリティ評価手順」の要件11.2.2のことです。この脆弱性スキャンは認定スキャンベンダー（Approved Scanning Vendor: ASV）による実施（または証明）が必要とされています。ASV とは、PCI DSS 要件 11.2.2 の外部スキャン要件への準拠を検証するための一連のサービスとツール (「ASV スキャンソリューション」) を有する組織です。

PCI DSS では、カード会員のデータ環境に含まれている、スキャンユーザーが所有または使用する外部アクセス可能な (インターネットに接続した) すべてのシステムコンポーネント、およびカード会員のデータ環境につながるすべての外部接続システムコンポーネントの脆弱性スキャンを行うことを義務付けています。

ASV スキャンの主要なフェーズは以下によって構成されます。

• 範囲の設定:お客様が実行します。カード会員のデータ環境に含まれているすべてのインターネット接続システムコンポーネントを対象にします。
• スキャン:Tenable One Vulnerability Management の「PCI Quarterly External Scan」テンプレートを使用する
• レポート作成・修正:中間レポートの結果を修正します。
• 問題点の解決: お客様とASVが共同でスキャン結果の問題を文書化し、解決します。
• 再スキャン (必要な場合):問題点が解決されて例外が生成される合格スキャンまで行います。
• 最終レポート作成: 安全な形式で送信しおよび配信します。

ASV 脆弱性スキャンは少なくとも四半期ごとに必要です。また、新しいシステムコンポーネントの設置、ネットワークトポロジーの変更、ファイヤーウォールルールの変更、製品のアップグレードなど、ネットワークが大きく変更した後にも必要です。

承認されたスキャンベンダー (ASV) は、特に PCI DSS 11.2 に記載されている外部脆弱性スキャンのみを実行します。 認定セキュリティ評価者 (QSA) とは、PCI セキュリティ標準評議会 (SSC) が一般的な PCI DSS オンサイト評価を実行する資格を取得し、訓練を受けた評価会社を指します。

はい。 Tenable は、加盟店とサービスプロバイダーのインターネット接続環境 (カード会員データの保存、処理、転送に使用される環境) の外部脆弱性スキャンを検証する認定スキャンベンダー (ASV) の資格を有しています。 ASV 認定プロセスは、3 つの部分で構成されています。最初の部分には、ベンダーとしての Tenable Network Security の認定が関係します。2 番目の部分に関係するのは、リモートの PCI スキャンサービスを実行する Tenable 従業員の認定です。 3 つ目は、Tenable のリモートスキャンソリューション (Tenable One Vulnerability Management および Tenable PCI ASV) のセキュリティテストです。