Windows

Never send credentials in the clear (暗号化されていない認証情報を送信しない)

Enabled (有効)

セキュリティ上の理由から、デフォルトで、Windows 認証情報を暗号化されていないテキストで送信することはできません。

Do not use NTLMv1 authentication (NTLMv1 認証を使用しない)

Enabled (有効)

このオプションが無効になっている場合、理論的には、NTLM バージョン 1 プロトコル経由でドメイン認証情報を使用し、Nessus を誘導して Windows Server へのログインを試みることが可能です。これにより、リモートの攻撃者は Nessus から取得したハッシュを使用できます。このハッシュは解読され、ユーザー名またはパスワードが特定される可能性があります。また、その他のサーバーに直接ログインするために使用される可能性もあります。スキャン時に [Only use NTLMv2] (NTLMv2 のみ使用) 設定を有効にすると、Nessus は強制的に NTLMv2 を使用します。これにより、悪意のある Windows サーバーが NTLM を使用してハッシュを受信することを防ぎます。NTLMv1 は安全なプロトコルではないため、このオプションはデフォルトで有効となっています。

Start the Remote Registry service during the scan (スキャン中にリモートレジストリサービスを開始する)

Disabled (無効)

このオプションは、スキャン対象のコンピューターでリモートレジストリサービスが実行されていない場合に、開始するよう Nessus に指示します。Nessus が Windows ローカルチェックプラグインを実行するには、このサービスが実行されている必要があります。

Enable administrative shares during the scan (スキャン中に管理共有を有効にする)

Disabled (無効)

このオプションにより、Nessus は ADMIN$ および C$ の管理共有にアクセスできます。これは、管理者権限で読み取ることができます。

注意: この設定が適切に機能するようにするには、管理共有を有効にする必要があります。ほとんどのオペレーティングシステムでは、ADMIN$ および C$ がデフォルトで有効になっています。ただし、Windows 10、Windows 11、およびそれ以降の Windows バージョンでは、デフォルトで ADMIN$ が無効になっています。したがって、レジストリエントリへのフルアクセスのためにこの設定を使用することに加えて、Windows 環境の ADMIN$ を手動で有効にする必要があります。詳細については、https://support.microsoft.com/kb/842715/en-us を参照してください。

有効になっている場合、スキャナーによって Windows Server サービスが一時的に有効になります。これによって、コンピューターはネットワーク上のファイルと他のデバイスを共有できます。スキャンが完了すると、サービスは無効になります。

デフォルトでは、Windows システムによって Windows Server サービスは無効になっており、この設定を有効にする必要はありません。ただし、ご利用の環境で Windows Server サービスを無効にし、SMB 認証情報を使用してスキャンする場合は、スキャナーがリモートでファイルにアクセスできるようにこの設定を有効にする必要があります。

CyberArk Host (CyberArk ホスト)

CyberArk AIM Web サービスの IP アドレスまたは FQDN 名。これは、ホスト、または 1 つの文字列にカスタム URL が追加されたホストにすることができます。

〇

Ports (ポート)

CyberArk API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

AppID

CyberArk API 接続に関連するアプリケーション ID。

〇

CyberArk ホストとの通信に使用される PEM 証明書を含むファイル

注意: Windows Server 2022 以降で CyberArk CCP をセルフホスティングしているお客様は、CyberArk クライアント証明書の認証の問題に関する Tenable のコミュニティの投稿に記載されているガイダンスに従ってください。

✕

○ (秘密鍵が適用されている場合)

○ (秘密鍵が適用されている場合)

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。デフォルトでは、Tenable は 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) Kerberos ターゲット認証が属するドメイン (該当する場合)。

〇

CyberArk API 認証情報を取得する方法。[アドレス]、[識別子]、[パラメーター]、または [ユーザー名] のいずれかです。

注意: [パラメーター] オプションの詳細については、パラメーターオプションの表を参照してください。

注意: ユーザー名のクエリ頻度は、ターゲットごとにクエリ 1 回です。識別子のクエリの頻度は、チャンクごとにクエリ 1 回です。この機能では、すべてのターゲットに同じ識別子が必要です。

([Get credential by] がユーザー名に設定されている場合) パスワードを要求する CyberArk ユーザーのユーザー名。

認証情報を取得するべき CyberArk のセーフ。

Use SSL (SSL を使用する)

有効にすると、スキャナーは安全な通信のために IIS を介して SSL を使用します。CyberArk が IIS を介した SSL をサポートするよう設定されている場合、このオプションを有効にします。

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、スキャナーは SSL 証明書を検証します。CyberArk が安全な通信のために IIS によって SSL をサポートするように設定されており、証明書を検証する場合、このオプションを有効にします。

✕

CyberArk Host (Delinea ホスト)

ユーザーの CyberArk インスタンスの IP アドレスまたは FQDN 名。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

〇

Ports (ポート)

CyberArk API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

〇

CCP Host (CCP ホスト)

ユーザーの Cyber Ark CCP コンポーネントの IP アドレスまたは FQDN 名。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

✕

CCP Port (CCP ポート)

Cyber Ark CCP (AIM ウェブサービス) API が通信するポート。Tenable はデフォルトで 443 を使用します。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

✕

AppID

CyberArk API 接続に関連付けられているアプリケーション ID。

〇

Safe (セーフ)

ユーザーは、オプションで Safe ボックスを指定してアカウント情報を収集し、パスワードをリクエストできます。

AIM Web Service Authentication Type (AIM ウェブサービス認証のタイプ)

この機能では、2 つの認証方法が確立されています。IIS 基本認証と証明書認証です。証明書認証は、暗号化することも非暗号化することもできます。

〇

CyberArk PVWA ウェブ UI ログイン名

CyberArk ウェブコンソールにログインするためのユーザー名。これは、PVWA REST API に認証したり、アカウント情報を一括収集したりする際に使用されます。

〇

CyberArk PVWA ウェブ UI ログインパスワード

CyberArk ウェブコンソールにログインするためのユーザー名のパスワード。これは、PVWA REST API に認証したり、アカウント情報を一括収集したりする際に使用されます。

〇

CyberArk プラットフォーム検索文字列

アカウント情報を一括収集するために PVWA REST API クエリパラメーターで使用される文字列。たとえば、UnixSSH Admin TestSafe と入力すると、TestSafe というセーフにある、ユーザー名 Admin を含むすべての Windows プラットフォームのアカウントを収集できます。

注意: これは完全一致ではないキーワード検索です。精度を向上させるために、CyberArk でカスタムプラットフォーム名を作成し、このフィールドにその値を入力することをお勧めします。

Use SSL (SSL を使用する)

有効にすると、スキャナーは安全な通信のために IIS を介して SSL を使用します。CyberArk が IIS を通して SSL をサポートするよう設定されている場合、このオプションを有効にします。

〇

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、スキャナーは SSL 証明書を検証します。CyberArk が IIS を通して SSL をサポートするように設定されており、証明書を検証する場合、このオプションを有効にします。

✕

Username (ユーザー名)

ターゲットシステムのユーザー名。

CyberArk AIM Service URL (CyberArk AIM サービス URL)

AIM サービスの URL。デフォルトでは、この設定は /AIMWebservice/v1.1/AIM.asmx を使用します。

Central Credential Provider Host (Central Credential Provider ホスト)

CyberArk Central Credential Provider の IP/DNS アドレス。

Central Credential Provider Port (Central Credential Provider ポート)

CyberArk Central Credential Provider がリッスンするポート。

Central Credential Provider Username (Central Credential Provider ユーザー名)

CyberArk Central Credential Provider が基本認証を使用するように設定されている場合は、この設定に入力して認証できます。

Central Credential Provider Password (Central Credential Provider パスワード)

CyberArk Central Credential Provider が基本認証を使用するように設定されている場合は、この設定に入力して認証できます。

Safe (セーフ)

取得する認証情報が格納されていた CyberArk Central Credential Provider サーバー上の金庫。

PolicyId

CyberArk Central Credential Provider から取得する認証情報に割り当てられたポリシー ID です。

Use SSL (SSL を使用する)

CyberArk Central Credential Provider が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合。

Verify SSL Certificate (SSL 証明書を検証する)

CyberArk Central Credential Provider が IIS 経由で SSL をサポートするように設定されていて、その証明書を検証する場合は、これを有効にします。自己署名証明書の使用方法については、custom_CA.inc ドキュメントを参照してください。

CyberArk Account Details Name (CyberArk Account Details 名前)

Delinea Login Name (Delinea ログイン名)

Delinea サーバーに認証されるときに使用するユーザー名。

〇

Delinea Password (Delinea パスワード)

Delinea サーバーに認証されるときに使用するパスワード。これは、指定した Delinea Login Name に関連付けられているものです。

〇

Delinea Secret Name (Delinea シークレット名)

Delinea サーバーのシークレットの値。シークレットには、Delinea サーバーでシークレット名のラベルが付けられています。

〇

Delinea Host (Delinea ホスト)

API リクエストに使用する Delinea シークレットサーバー IP アドレス。

〇

Delinea Port (Delinea ポート)

API リクエスト用の Delinea Secret Server ポート。Tenable はデフォルトで 443 を使用します。

〇

Checkout Duration (チェックアウト期間)

Tenable が Delinea からパスワードをチェックアウトする期間。期間は時間単位で、スキャン時間より長くしてください。

〇

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Windows ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) この Kerberos ドメインは、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

Use SSL (SSL を使用する)

Delinea Secret Server が SSL をサポートするように設定されている場合は有効にします。

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Delinea サーバーで SSL 証明書を検証します。

✕

Delinea Host (Delinea ホスト)

Delinea Secret Server ホスト。ここからシークレットをプルします。

〇

Delinea ポート

API リクエスト用の Delinea Secret Server ポート。Tenable はデフォルトで 443 を使用します。

〇

Delinea Authentication Method (Delinea 認証方式)

認証に、認証情報と API キーのどちらを使用するかを示します。デフォルトでは、[認証情報] が選択されています。

〇

Delinea サーバーに認証されるときに使用するユーザー名。

〇

〇

〇

指定されたフォルダー ID でアカウントにクエリを実行します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

Search Text (検索テキスト)

指定された検索テキストに一致するアカウントにクエリを実行します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

✕

Search Field (検索フィールド)

指定された検索テキストを使用して検索するフィールド。指定しない場合、クエリは name フィールドを検索します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

✕

✕

〇

✕

〇

✕

Password (パスワード)

なし

他の認証情報メソッドと同様に、これはターゲットシステムのユーザーパスワードです。これは必須の設定です。

Key Distribution Center (KDC) (キー配布センター (KDC))

なし

このホストは、ユーザーのセッションチケットを提供します。これは必須の設定です。

KDC Port (KDC ポート)

88

この設定を行うと、88 以外のポートで稼働している KDC に Nessus を接続させることができます。

KDC Transport

TCP

KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

Domain (ドメイン)

なし

KDC が管理する Windows ドメイン。これは必須の設定です。

Username (ユーザー名)

ターゲットシステムのユーザー名。

Hash (ハッシュ)

使用するハッシュ。

Domain (ドメイン)

指定されたユーザーの名前の Windows ドメイン。

Username (ユーザー名)

ターゲットシステムのユーザー名。

Hash (ハッシュ)

使用するハッシュ。

Domain (ドメイン)

指定されたユーザーの名前の Windows ドメイン。

QiAnXin Host (QiAnXin ホスト)

QiAnXin ホストの IP アドレスまたは URL。

〇

QiAnXin Port (QiAnXin ポート)

QiAnXin API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

QiAnXin API Client ID (QiAnXin API クライアント ID)

QiAnXin PAM で作成された埋め込みアカウントアプリケーションのクライアント ID。

〇

QiAnXin API Secret ID (QiAnXin API 秘密 ID)

〇

✕

Username (ユーザー名)

〇

Host IP (ホスト IP)

✕

Platform (プラットフォーム)

使用するアカウントを含む資産のプラットフォーム (資産タイプに基づく) を指定します。指定しない場合、認証情報のタイプに基づいてデフォルトのターゲットが使用されます (たとえば、Windows 認証情報の場合、デフォルトは WINDOWS です)。可能な値は次のとおりです。

• ACTIVE_DIRECTORY - Windows ドメインアカウント

• WINDOWS - Windows ローカルアカウント

• LINUX - Linux アカウント

• SQL_SERVER - SQL Server データベース

• ORACLE - Oracle データベース

• MYSQL - MySQL データベース

• DB2 - DB2 データベース

• HP_UNIX - HP Unix

• SOLARIS - Solaris

• OPENLDAP - OpenLDAP

• POSTGRESQL - PostgreSQL

✕

Region ID (リージョン ID)

複数のリージョンを使用している場合のみ。

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Windows ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) この Kerberos ドメインは、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Tenable は、サーバーの SSL 証明書が信頼できる認証局によって署名されたものかどうかを検証します。

✕

Senhasegura Host (Senhasegura ホスト)

Senhasegura ホストの IP アドレスまたは URL です。

〇

Senhasegura Port (Senhasegura ポート)

Senhasegura API が通信に使用するポートです。Tenable はデフォルトで 443 を使用します。

〇

Senhasegura API Client ID (Senhasegura API クライアント ID)

Oauth 2.0 API 認証に適用される Senhasegura A2A アプリケーションのクライアント ID です。

〇

〇

✕

〇

Private Key File (秘密鍵ファイル)

A2A からの暗号化された機密データを復号するために使用される秘密鍵です。

注意: A2A アプリケーション認証で機密データの暗号化を有効にできます。有効にした場合、ユーザーはスキャン認証情報に秘密鍵ファイルを指定する必要があります。これは、Senhasegura の該当する A2A アプリケーションからダウンロードできます。

A2A アプリケーション認証で機密データの暗号化を有効にした場合には必須です。

HTTPS

このオプションはデフォルトで有効です。

〇

Verify SSL Certificate (SSL 証明書を検証する)

これはデフォルトでは無効になっています。

✕

Username (ユーザー名)

(必須) ターゲットシステムのユーザーのユーザー名。

Domain (ドメイン)

Thycotic サーバーで設定されている場合、ユーザー名のドメイン。

Thycotic Secret Name (Thycotic シークレット名)

(必須) Thycoticサーバーのシークレット名の値。

Thycotic Secret Server URL (Thycotic シークレットサーバー URL)

(必須) スキャナーの転送方法、ターゲット、ターゲットディレクトリを設定するときに Tenable Nessus が使用する値。この値は、Thycotic サーバーの [Admin] (管理者) > [Configuration] (設定) > [Application Settings] (アプリケーション設定) > [Secret Server URL] (シークレットサーバー URL) にあります。

たとえば、https://pw.mydomain.com/SecretServer と入力した場合、Tenable Nessus はこれが SSL 接続であり、pw.mydomain.com がターゲットアドレス、/SecretServer はルートディレクトリであると判断します。

Thycotic Login Name (Thycotic ログイン名)

(必須) Thycotic サーバーのユーザーのユーザー名。

Thycotic Password (Thycotic パスワード)

(必須) 指定した Thycotic ログイン名に関連付けられたパスワード。

Thycotic Organization (Thycotic 企業)

Thycotic のクラウドインスタンスで、Tenable Nessus クエリがターゲットにする必要がある企業を識別する値。

Thycotic Domain (Thycotic ドメイン)

ドメイン (Thycotic サーバーに設定されている場合)。

Private Key (プライベートキー)

有効にすると、Tenable Nessus はパスワード認証ではなく鍵ベースの認証で SSH 接続を行います。

Verify SSL Certificate (SSL 証明書を検証する)

有効にすると、Tenable Nessus は Thycotic サーバーの SSL 証明書を検証します。

自己署名証明書の使用の詳細については、カスタム SSL サーバー証明書を参照してください。

LAPS Host Address

Active Directory をホストし、LAPS を管理するドメインコントローラーの IP アドレス。

〇

LAPS Host Port

LAPS ホストとの通信に使用されるポート。デフォルトのポートは 445 です。

✕

Username (ユーザー名)

Active Directory から Windows LAPS 認証情報を取得するアクセス許可を持つアカウントのユーザー名。

〇

[ユーザー名] フィールドで指定されたアカウントのパスワード

Username (ユーザー名)

(必須) スキャンするホストにログインするためのユーザー名です。

BeyondTrust host (BeyondTrust ホスト)

(必須) BeyondTrust IP アドレスまたは DNS アドレスです。

BeyondTrust port (BeyondTrust ポート)

(必須) BeyondTrust がリッスンしているポートです。

BeyondTrust API key (BeyondTrust API キー)

(必須) BeyondTrust が提供する API キーです。

Checkout duration (チェックアウト期間)

(必須) BeyondTrust で認証情報のチェックアウト状態を保持する時間 (分) です。チェックアウトの期間は、Nessus における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

注意 : BeyondTrust でパスワードの変更間隔を設定し、パスワード変更によって Nessus スキャンが中断されないようにします。スキャン中に BeyondTrust がパスワードを変更すると、スキャンは失敗します。

Use SSL (SSL を使用する)

有効にすると、Nessus は安全な通信のために IIS を介して SSL を使用します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

Verify SSL certificate (SSL 証明書の検証)

有効にすると、Nessus は SSL 証明書を検証します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

Use private key (プライベートキーの使用)

有効にすると、Nessus はパスワード認証ではなく秘密鍵ベースの認証で SSH 接続を行います。失敗した場合は、パスワードが要求されます。

Use privilege escalation (権限昇格の使用)

有効にすると、BeyondTrust は設定された権限昇格コマンドを使用します。コマンドから何かが返された場合は、それをスキャンに使用します。

〇

✕

Lieberman の IP/DNS アドレス。

注意: Lieberman インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

〇

〇

〇

〇

Lieberman のオーセンティケーターに使用されるエイリアス。この名前は Lieberman で使用される名前に一致する必要があります。

注意: このオプションを使用する場合は、[Lieberman ユーザー] オプションにドメインを追加してください (例: domain\user)。

Lieberman ホストとの通信に使用される PEM 証明書を含むファイル。

注意: このオプションを使用する場合は、[Lieberman ユーザー]、[Lieberman パスワード]、[Lieberman 認証] の各フィールドに情報を入力する必要はありません。

Lieberman が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合。

✕

Lieberman が IIS 経由で SSL をサポートするように設定されていて、その証明書を検証する場合は、これを有効にします。自己署名証明書の使用方法については、custom_CA.inc ドキュメントを参照してください。

✕

✕

WALLIX Host (Delinea ホスト)

WALLIX Bastion ホストの IP アドレス。

〇

WALLIX ポート

WALLIX Bastion API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

Authentication Type (認証タイプ)

[Basic] (基本) 認証 (WALLIX Bastion ユーザーインターフェースのユーザー名とパスワードが必要) または [API Key] (API キー) 認証 (ユーザー名と WALLIX Bastion 生成の API キーが必要)。

✕

WALLIX Bastion ユーザーインターフェースのログインユーザー名。

ターゲットシステムへのログインに使用するデバイスが関連付けられているアカウント名。

注意: デバイスに複数のアカウントがある場合、認証情報を取得するアカウントの特定のデバイス名を入力する必要があります。入力しないと、システムから誤ったアカウントの認証情報が返される可能性があります。

複数のアカウントがあるターゲットやデバイスを使用している場合にのみ必要です。

HTTPS

これはデフォルトで有効です。

注意: HTTPS を無効にすると、統合が失敗します。

〇

Verify SSL Certificate (SSL 証明書を検証する)

これはデフォルトで無効になっており、WALLIX Bastion PAM 統合ではサポートされていません。

✕

Elevate Privileges with (権限昇格方法)

これにより、WALLIX Bastion 特権アクセス管理 (PAM) が有効になります。ドロップダウンメニューを使用して、Elevate Privileges with (権限昇格方法)を選択します。この機能をバイパスするには、このフィールドを [Nothing] (なし) に設定されたままにします。

警告: PAM を有効にするには、WALLIX Bastion アカウントで、WALLIX Bastion スーパー管理者がアカウントの「認証情報回復」を有効にしている必要があります。有効にしないと、スキャンから結果が返されない可能性があります。詳細は、WALLIX Bastion ドキュメントを参照してください。

注意: su、su+sudo、sudo など、複数の権限昇格オプションがサポートされています。たとえば sudo を選択すると、[sudo user] (sudo ユーザー)、[Escalation Account Name] (昇格アカウント名)、[Location of su and sudo] (su と sudo の場所) のフィールドが追加で表示され、これらのフィールドに入力することで WALLIX Bastion PAM による認証と権限昇格をサポートできます。権限昇格を完了するには、[Escalation Account Name] (エスカレーションアカウント名) フィールドに入力する必要があります。

注意: サポートされている権限昇格タイプと各タイプに伴うフィールドの詳細については、Tenable Nessus ユーザーガイドを参照してください。

権限昇格を行う場合に必要です。

Database

✕

Auth Type (認証方法)

データベースインスタンスにアクセスするために Tenable が使用するアカウントの種類。

• SYSDBA
• SYSOPER
• NORMAL

✕

✕

データベースインスタンスの SID 値または SERVICE_NAME 値。

入力する [Service] (サービス) 値は、[Service Type] (サービスタイプ) オプションのパラメーターとして選択した値と一致する必要があります。

〇

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

Hashicorp Vault IP アドレスまたは DNS アドレス。

注意: Hashicorp Vault インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

インスタンスに接続するための認証タイプとして、[App Role] (アプリロール) または [Certificates] (証明書) を指定します。

[証明書] を選択すると、[Hashicorp Client Certificate] (Hashicorp クライアント証明書) (必須) および [Hashicorp Client Certificate Private Key] (Hashicorp クライアント証明書の秘密鍵) (必須) の追加オプションが表示されます。クライアント証明書と秘密鍵にそれぞれ適切なファイルを選択してください。

App Role を構成したときに Hashicorp Vault によって生成される GUID です。

認証エンドポイントへのパス/サブディレクトリ。This is not the full URL. (これは完全な URL ではありません。)たとえば、

/v1/auth/approle/login

〇

Tenable Nessus バージョン: KV1、KV2、AD、LDAP。Tenable Nessus バージョンの詳細については、Tenable Nessus のドキュメントを参照してください。

(KV1) Tenable Nessus が KV1 エンジンへのアクセスに使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(KV2) Tenable Nessus が KV2 エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(AD) Tenable Nessus が Active Directory エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(LDAP) Tenable Nessus が LDAP エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

Domain Key (Windows) (ドメイン鍵 (Windows))

(Kerberos ターゲット認証が有効な場合は必須。) ドメインが保存される秘密鍵の名前です。

〇

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須。) このホストは、ユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。デフォルトでは、Tenable は 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (Windows) (ドメイン (Windows))

(Kerberos ターゲット認証が有効な場合は必須。) Kerberos ターゲット認証が属するドメイン (該当する場合)。

〇

Realm (SSH) (領域 (SSH))

(Kerberos ターゲット認証が有効な場合は必須。) Realm は、通常標的のドメイン名として記録されている認証ドメインです (例: example.com)。

〇

スキャンの実行時に追加の権限を使用するには、su や sudo などの権限昇格手法を使用します。

注意: Tenable では、権限昇格のために su、su+sudo、sudo などの複数のオプションを使用できます。たとえば sudo を選択すると、sudo ユーザー、昇格アカウントの秘密名、sudo の場所 (ディレクトリ) のフィールドが追加で表示され、これらのフィールドに入力することで Tenable Nessus による認証と権限昇格をサポートできます。

注意: サポートされている権限昇格タイプと各タイプに伴うフィールドの詳細については、Nessus ユーザーガイドおよびTenable Vulnerability Management ユーザーガイドを参照してください。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

Centrify Host (Centrify ホスト)

(必須) Centrify IP アドレスまたは DNS アドレスです。

注意: Centrify インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

Centrify Port (Centrify ポート)

API Key (API キー)

Authentication URL (認証 URL)

Centrify で認証情報のチェックアウト状態を保持する時間 (分)。

チェックアウトの期間は、 Tenable Nessus Manager における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

注意 : Centrify でパスワードの変更間隔を設定し、パスワード変更によって Tenable Nessus Manager スキャンが中断されないようにします。スキャン中に Centrify がパスワードを変更すると、スキャンは失敗します。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

Arcon host (Arcon のホスト)

(必須) Arcon IP アドレスまたは DNS アドレスです。

注意: Arcon インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

Arcon port (Arcon ポート)

Arcon がリッスンするポート。

(必須) Arcon が提供するAPIユーザーです。

(必須) Arcon が提供するAPIキーです。

Password Engine URL (パスワードエンジン URL)

Tenable Nessus Manager が Arcon のパスワードへのアクセスに使用する URL。

(必須) Arcon で認証情報のチェックアウト状態を保持する時間 (時間)です。

チェックアウトの期間は、Tenable Vulnerability Management における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

注意 : Arcon でパスワードの変更間隔を設定し、パスワード変更によって Tenable Vulnerability Management スキャンが中断されないようにします。スキャン中に Arcon がパスワードを変更すると、スキャンは失敗します。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。