Tenable Vulnerability Management に関するよくある質問

Vulnerability Management は、ネットワークを完全に可視化して攻撃を予測し、重大な脆弱性に迅速に対応するためのリスクベースの脆弱性管理ソリューションです。継続的で常時接続型の検出と評価により、ネットワーク上の全資産と、そこに隠れた脆弱性を発見するのに必要な可視性が得られます。 組み込みの優先順位付け機能、脅威インテリジェンス、リアルタイムのレポートを使用することで、リスクを把握し、攻撃経路を未然に遮断できます。 最先端の Tenable Nessus テクノロジーをベースにしたクラウド管理製品であり、ネットワーク上の資産と脆弱性を完全に可視化できるので、リスクの迅速かつ正確な把握と、最初に修正すべき脆弱性の特定が可能になります。

Tenable Vulnerability Management は、Tenable のサイバーエクスポージャー管理プラットフォームである Tenable One に不可欠なコンポーネントです。 Tenable One は Tenable Vulnerability Management を基盤として構築されており、クラウドインスタンス、ウェブアプリケーション、Active Directory (AD) など、さらにはモバイルデバイス、仮想マシン、コンテナといった非常に動的な資産を含む、インフラ全体のセキュリティリスクに対する実用的なインサイトを提供します。 より良いサイバーリスク管理のために、アタックサーフェスの可視化、資産の重要度の評価、リスクベースのサイバーエクスポージャーのスコアリング、ピアベンチマークなどの追加の優先順位付け尺度や機能と、時間の経過に伴うリスク削減を追跡する機能も利用できます。

Tenable Vulnerability Management の詳細については、Tenable Vulnerability Management 製品ページにアクセスするか、今後のウェビナーに参加するか、Tenable 認定パートナーまたは Tenable 担当者にお問い合わせください。

https://www.tenable.com/try にアクセスして Tenable Vulnerability Management の無料評価版に登録してください。

Tenable Vulnerability Management アプリケーションを購入するには、最寄りの Tenable 認定パートナーと連携するか、Tenable の担当者に連絡するか、tenable.com にアクセスしてください。

はい。Tenable のアプリケーションは、個別にライセンスが付与できます。たとえば、Tenable Web Application Scanning の場合、Tenable Vulnerability Management の機能なしでも単独でライセンスを取得できます。

Tenable Vulnerability Management は年間サブスクリプションによってライセンスが付与され、IP アドレスではなく資産ごとに価格が設定されます。 そのため、二重にカウントされることなしにクラウドなどの新たなテクノロジーを利用できます。

価格設定およびライセンスの詳細については、 下記のセクションを参照してください。

エラスティック資産ライセンスの主な利点は次のとおりです。

• 膨大に増える IP の数ではなく資産の数に基づいて適正な数のライセンスを購入できます。
• お客様は使用しなくなった資産や意図せずスキャンされた資産からライセンスを回収するという、手間がかかる不正確な作業をする必要がありません。
• 資産に複数の IP アドレスが存在する場合でも、脆弱性が二重三重にカウントされて、脆弱性管理指標が誤った値になることはありません。

エラスティック資産ライセンスの主な利点は次のとおりです。

• 膨大に増える IP の数ではなく資産の数に基づいて適正な数のライセンスを購入できます。
• お客様は使用しなくなった資産や意図せずスキャンされた資産からライセンスを回収するという、手間がかかる不正確な作業をする必要がありません。
• 資産に複数の IP アドレスが存在する場合でも、脆弱性が二重三重にカウントされて、脆弱性管理指標が誤った値になることはありません。

はい、一時的に、ライセンスを購入した資産数を超えてもかまいません。もちろん、ライセンス数の超過が続く場合には費用の調整が必要となります。

はい、一時的に、ライセンスを購入した資産数を超えてもかまいません。もちろん、ライセンス数の超過が続く場合には費用の調整が必要となります。

資産とは、分析対象となり得るエンティティのことです。たとえば、デスクトップパソコン、ノートパソコン、サーバー、ストレージデバイス、ネットワークデバイス、電話、タブレット、VM、ハイパーバイザー、コンテナなどがあります。

When Tenable Vulnerability Management first discovers an asset, it gathers multiple identification attributes, which may include a BIOS UUID, the system's MAC Address, NetBIOS name, FQDN, and/or other attributes that can be used to reliably identify an asset. さらに、認証されたスキャンエージェントとNessusエージェントが、そのデバイスにTenable UUIDを割り当てます。Tenable Vulnerability Management が 2 回目以降に資産をスキャンするときには、その資産と前回検出した資産を比較します。 新たに検出した資産が前回検出した資産と一致しない場合、その資産は Tenable Vulnerability Management の資産インベントリに追加されます。

PCI ASVとは、四半期ごとに外部脆弱性スキャンを実行することを義務付ける、ペイメントカード業界（Payment Card Industry: PCI）のデータセキュリティ基準（Data Security Standard: DSS）の「要件とセキュリティ評価手順」の要件11.2.2のことです。この脆弱性スキャンは認定スキャンベンダー（Approved Scanning Vendor: ASV）による実施（または証明）が必要とされています。An ASV is an organization with a set of services and tools ("ASV Scanning Solution") to validate adherence to the external scanning requirement of PCI DSS Requirement 11.2.2.

PCI DSS では、カード会員のデータ環境に含まれている、スキャンユーザーが所有または使用する外部アクセス可能な (インターネットに接続した) すべてのシステムコンポーネント、およびカード会員のデータ環境につながるすべての外部接続システムコンポーネントの脆弱性スキャンを行うことを義務付けています。

ASV スキャンの主要なフェーズは以下によって構成されます。

• 範囲の設定:お客様が実行します。カード会員のデータ環境に含まれているすべてのインターネット接続システムコンポーネントを対象にします。
• スキャン:Tenable Vulnerability Management PCI 四半期外部スキャンテンプレートを使用します。
• レポート作成・修正:中間レポートの結果を修正します。
• 問題点の解決: お客様とASVが共同でスキャン結果の問題を文書化し、解決します。
• 再スキャン (必要な場合):問題点が解決されて例外が生成される合格スキャンまで行います。
• 最終レポート作成: 安全な形式で送信しおよび配信します。

ASV 脆弱性スキャンは少なくとも四半期ごとに必要です。また、新しいシステムコンポーネントの設置、ネットワークトポロジーの変更、ファイヤーウォールルールの変更、製品のアップグレードなど、ネットワークが大きく変更した後にも必要です。

承認されたスキャンベンダー (ASV) は、特に PCI DSS 11.2 に記載されている外部脆弱性スキャンのみを実行します。 認定セキュリティ評価者 (QSA) とは、PCI セキュリティ標準評議会 (SSC) が一般的な PCI DSS オンサイト評価を実行する資格を取得し、訓練を受けた評価会社を指します。

はい。Tenable は、加盟店とサービスプロバイダーのインターネット接続環境 (カード会員データの保存、処理、転送に使用される環境) の外部脆弱性スキャンを検証する認定スキャンベンダー (ASV) の資格を有しています。 ASV 認定プロセスは、3 つの部分で構成されています。最初の部分には、ベンダーとしての Tenable Network Security の認定が関係します。2 番目の部分に関係するのは、リモートの PCI スキャンサービスを実行する Tenable 従業員の認定です。 3 つ目の工程は、Tenable リモートスキャンソリューション (Tenable Vulnerability Management および Tenable PCI ASV) のセキュリティテストで構成されます。