スキャンテンプレート

Host Discovery (ホスト検出)

単純なスキャンを実行して、稼働中のホストと開いているポートを検出します。

このスキャンを起動して、ネットワーク上のホストと該当する関連情報 (IP アドレス、FQDN、オペレーティングシステム、開いているポートなど) を確認します。ホストのリストを取得した後、各脆弱性スキャンでターゲットにするホストを選択できます。

Tenable では、Tenable Nessus Network Monitor などのパッシブネットワーク監視のない企業がこのスキャンを毎週実行し、ネットワーク上の新しい資産を検出することを推奨しています。

注意: 検出スキャンによって特定された資産は、ライセンスに対してカウントされません。

Basic Network Scan (Basic Network スキャン)

任意のホストで使用できるフルシステムスキャンを実行します。Nessus のプラグインをすべて有効にした資産 (複数可) のスキャンには、このテンプレートを使用します。たとえば、所属する組織のシステムにおける内部脆弱性スキャンを実施することができます。

最も設定可能なスキャンタイプです。このスキャンテンプレートを、任意のポリシーとマッチするように設定することができます。このテンプレートのデフォルト設定は基本スキャンテンプレートと同じですが、追加の設定オプションを利用できます。

注意: Tenable は、プラグインがネットワークトラフィックに依存して検出を行う新しくリリースされたプラグインファミリーで、このテンプレートを自動的に更新します。

プラグインファミリーまたは個別のプラグインを手動で選択する代わりに、動的プラグインフィルターを設定できる、推奨事項のない詳細なスキャンです。Tenable が新しいプラグインをリリースすると、お使いのフィルターに一致するプラグインがスキャンまたはポリシーに自動的に追加されます。これにより、新しいプラグインがリリースされたときにスキャンを最新の状態に維持しながら、特定の脆弱性に合わせてスキャンを調整することが可能になります。

Malware Scan (マルウェアスキャン)

Windows と Linux のシステムで、マルウェアをスキャンします。

Tenable Nessus は、許可リストとブロックリストを組み合わせたアプローチを使用して、マルウェアの検出、既知の良好なプロセスの監視、既知の不良プロセスに対するアラートを行い、さらに詳細に検査するために未知のプロセスにフラグを立てることで両者の間のカバレッジギャップを特定します。

(Tenable Nessus Manager のみ)

Microsoft Exchange または MDM を使用してモバイルデバイスを評価します。

このテンプレートを使用して、対象のモバイルデバイスにインストールされているものをスキャンし、インストールされているアプリケーションまたはアプリケーションバージョンの脆弱性を報告します。

モバイルデバイススキャンプラグインにより、モバイルデバイス管理 (MDM) に登録されているデバイスから、および Microsoft Exchange Server の情報が保管されている Active Directory サーバーから情報を取得できます。

• 情報のクエリを行うには、Tenable Nessus スキャナーがモバイルデバイス管理サーバーに到達できる必要があります。Nessus スキャナーからこれらのシステムへのトラフィックをブロックするスクリーニングデバイスがないことを確認する必要があります。さらに、Tenable Nessus に Active Directory サーバーへの管理者認証情報 (例: ドメイン管理者) を与える必要があります。
• モバイルデバイスをスキャンするには、管理サーバーとモバイルプラグインの認証情報を Tenable Nessus に設定する必要があります。Tenable Nessus は管理サーバーへの認証を直接受けるので、特定のホストをスキャンするようにスキャンポリシーを設定する必要はありません。
• Microsoft Exchange Server のデータにアクセスする ActiveSync スキャンの場合、Tenable Nessus は過去 365 日以内に更新された携帯電話から情報を取得します。

Credentialed Patch Audit (認証パッチ監査)

ホストを認証し、不足している更新プログラムを列挙します。

このテンプレートを認証情報とともに使用して、Tenable Nessus にホストへの直接アクセスを与え、ターゲットとなるホストをスキャンし、欠落しているパッチ更新を列挙します。

Intel AMT セキュリティバイパス

CVE-2017-5689 のリモートチェックとローカルチェックを実行します。

Active Directory の設定ミスをスキャンします。

このテンプレートを使用して、Active Directory をチェックし、Kerberoasting 攻撃、脆弱な Kerberos の暗号化、Kerberos 事前認証の検証、有効期限のないアカウントパスワード、制約のない委任、null セッション、Kerberos KRBTGT、危険な信頼関係、プライマリグループ ID の整合性、空白のパスワードがないかを調べます。

サードパーティのクラウドサービスの設定を監査します。

このテンプレートを使用して、監査するサービスの認証情報を提供すると、Amazon Web Service (AWS)、Google Cloud Platform、Microsoft Azure、Rackspace、Salesforce.com、Zoom の設定をスキャンできます。

Internal PCI Network Scan (内部 PCI ネットワークスキャン)

内部 PCI DSS (11.2.1) の脆弱性スキャンを実行します。

このテンプレートでは、PCI コンプライアンス要件を満たす継続的な脆弱性管理プログラム向けの内部 (PCI DSS 11.2.1) スキャン要件に準拠するために使用可能なスキャンが作成されます。これらのスキャンを使用して、継続的に脆弱性を管理したり、結果が合格またはクリーン (問題解消) となるまで再スキャンを実行したりすることができます。不足しているパッチとクライアント側の脆弱性を列挙するために認証情報を提供することができます。

注意: PCI DSS では、スキャンの結果が合格または「クリーン」である証拠を少なくとも四半期に 1 度提供することが義務付けられています。また、ネットワークに重大な変更を加えた後にもスキャンを実行する必要があります (PCI DSS 11.2.3)。

モバイルデバイスマネージャーの設定を監査します。

MDM 設定監査テンプレートは、パスワード要件、リモートワイプ設定、テザリングや Bluetooth などの安全でない機能の使用など、さまざまな MDM 脆弱性についてレポートします。

ネットワークデバイスの設定を監査します。

オフライン設定監査により、Tenable Nessus はネットワーク経由のスキャンや認証情報を使用することなく、ホストをスキャンできます。企業のポリシーが、セキュリティ上の理由から、デバイスをスキャンしたり、ネットワーク上のデバイスの認証情報を取得したりすることを許可していない場合があります。オフライン設定監査では、ホストからのホスト設定ファイルを使用してスキャンします。これらのファイルをスキャンすることで、ホストを直接スキャンすることなく、デバイスの設定が監査に準拠しているかを確認できます。

Tenable では、安全なリモートアクセスをサポートしていないデバイスや、スキャナーがアクセスできないデバイスのスキャンに、オフライン設定監査を使用することを推奨しています。

Unofficial PCI Quarterly External Scan (PCI 四半期外部スキャン (非公式))

PCI で義務付けられている四半期ごとの外部スキャンを実行します。

このテンプレートを使用すると、PCI DSS の四半期スキャンの要件を満たす外部スキャン (PCI DSS 11.2.2) をシミュレーションできます。ただし、このテンプレートのスキャン結果を Tenable に送信して PCI 検証を行うことはできません。Tenable Vulnerability Management のお客様だけが、PCI スキャンの結果を Tenable に送信して、PCI ASV 検証を受けることができます。

ポリシーコンプライアンス監査

既知の基準値に照らしてシステム設定を監査します。

注意: 1 つの [Policy Compliance Auditing] (ポリシーコンプライアンス監査) スキャンに含めることができる監査ファイルの最大数は、監査ファイルが必要とする合計実行時間とメモリによって制限されます。この制限を超えると、スキャン結果が不完全になったり失敗したりする可能性があります。Tenable では、想定される影響を限定的なものにするため、スキャンの範囲とコンプライアンス要件を明確にしたうえで、スキャンポリシーで対象となる監査を選択することを推奨しています。

コンプライアンスチェックにより、Windows オペレーティングシステムのパスワードの複雑さ、システム設定、レジストリ値などのカスタムセキュリティポリシーに対して監査を行うことができます。Windows システムの場合、コンプライアンス監査は、Windows ポリシーファイルで記述できるものの大部分をテストできます。Unix システムの場合、コンプライアンス監査では、実行中のプロセス、ユーザーセキュリティポリシー、ファイルのコンテンツがテストされます。

SCAP および OVAL 監査

SCAP と OVAL の定義を使用してシステムを監査します。

アメリカ国立標準技術研究所 (NIST) の Security Content Automation Protocol (SCAP) は、政府機関における脆弱性管理とポリシーコンプライアンスのためのポリシーです。OVAL、CVE、CVSS、CPE、FDCCポリシーなど、複数のオープンスタンダードおよびポリシーが使用されています。

• SCAP コンプライアンス監査では、実行可能ファイルをリモートホストに送信することが義務付けられています。
• セキュリティソフトウェア (例: McAfee Host Intrusion Prevention) を実行しているシステムでは、監査に必要な実行可能ファイルがブロックまたは隔離される可能性があります。そのようなシステムでは、ホストまたは送信される実行可能ファイルを例外として設定する必要があります。
• SCAP および OVAL 監査テンプレートを使用する場合、NIST の Special Publication 800-126 で指定されているように、Linux および Windows の SCAP チェックを実行してコンプライアンス基準をテストできます。

Basic Agent Scan (基本のエージェントスキャン)

任意のホストで使用できるフルシステムスキャンを実行します。Nessus のプラグインをすべて有効にした資産 (複数可) のスキャンには、このテンプレートを使用します。たとえば、所属する組織のシステムにおける内部脆弱性スキャンを実施することができます。

最も設定可能なスキャンタイプです。このスキャンテンプレートを、任意のポリシーとマッチするように設定することができます。このテンプレートのデフォルト設定は基本スキャンテンプレートと同じですが、追加の設定オプションを利用できます。

Malware Scan (マルウェアスキャン)

Windows と Linux のシステムで、マルウェアをスキャンします。

Tenable Nessus Agent は、許可リストとブロックリストを組み合わせたアプローチを使用して、マルウェアの検出、既知の良好なプロセスの監視、既知の不良プロセスに対するアラートを行い、さらに詳細に検査するために未知のプロセスにフラグを立てることで両者の間のカバレッジギャップを特定します。

Apache Log4j の Log4Shell 脆弱性 (CVE-2021-44228) をローカルチェックで検出します。

Policy Compliance Auditing (ポリシーコンプライアンス監査)

既知の基準値に照らしてシステム設定を監査します。

注意: 1 つの [Policy Compliance Auditing] (ポリシーコンプライアンス監査) スキャンに含めることができる監査ファイルの最大数は、監査ファイルが必要とする合計実行時間とメモリによって制限されます。この制限を超えると、スキャン結果が不完全になったり失敗したりする可能性があります。Tenable では、想定される影響を限定的なものにするため、スキャンの範囲とコンプライアンス要件を明確にしたうえで、スキャンポリシーで対象となる監査を選択することを推奨しています。

コンプライアンスチェックにより、Windows オペレーティングシステムのパスワードの複雑さ、システム設定、レジストリ値などのカスタムセキュリティポリシーに対して監査を行うことができます。Windows システムの場合、コンプライアンス監査は、Windows ポリシーファイルで記述できるものの大部分をテストできます。Unix システムの場合、コンプライアンス監査では、実行中のプロセス、ユーザーセキュリティポリシー、ファイルのコンテンツがテストされます。

SCAP および OVAL 監査

SCAP と OVAL の定義を使用してシステムを監査します。

アメリカ国立標準技術研究所 (NIST) の Security Content Automation Protocol (SCAP) は、政府機関における脆弱性管理とポリシーコンプライアンスのためのポリシーです。OVAL、CVE、CVSS、CPE、FDCCポリシーなど、複数のオープンスタンダードおよびポリシーが使用されています。

• SCAP コンプライアンス監査では、実行可能ファイルをリモートホストに送信することが義務付けられています。
• セキュリティソフトウェア (例: McAfee Host Intrusion Prevention) を実行しているシステムでは、監査に必要な実行可能ファイルがブロックまたは隔離される可能性があります。そのようなシステムでは、ホストまたは送信される実行可能ファイルを例外として設定する必要があります。
• SCAP and OVAL Auditing テンプレートを使用する場合、NIST の Special Publication 800-126 で指定されているように、Linux および Windows の SCAP チェックを実行してコンプライアンス基準をテストできます。