Tenable Identity Exposure 2024 年オンプレミスリリースノート

Tenable Identity Exposure バージョン 3.59.8 には、以下のバグ修正が含まれています。

• 攻撃インジケーター (IoA)

  • 新しい基本モードとアグレッシブモード — 基本モードは、効率を重視した設定を希望するお客様向けに設計されており、設定時間を最小限に抑え、誤検出を減らして、不要なアラート発生を抑えます。これは、次の IoA に適用されます。

    • DCSync

    • 不審な DC パスワードの変更

    • ゴールデンチケット

    • NTDS 抽出

    • OS 認証情報のダンプ: LSASS メモリ

    • ローカル管理者の列挙

    • SAMAccountName のなりすまし

  • 危険な Kerberos 委任 — Tenable Identity Exposure は、「委任に対して保護されていない」という理由でコンピューターを逸脱としてフラグ付けすることはありません。既存の逸脱はすべて解決します。

• 露出インジケーター (IoE)

  • 新しい IoE

  • シャドウ認証情報 - 新しい IoE は、「Windows Hello for Business」機能とそれに関連する鍵認証情報のシャドウ認証情報のバックドアと設定ミスを検出します。

  • 管理サービスアカウントの危険な設定ミス — 新しい IoE は、管理サービスアカウントのデプロイメントと設定が適切であることを確認します。

  • 特権認証サイロ設定 — AD 管理者がティア 0 アカウントの認証サイロをインストールして設定するのを支援します。

  • RSOP ベースの IoE — パフォーマンスを上げるため、Tenable Identity Exposure は RSoP (ポリシーの結果セット) のライブチェックを除外します。代わりに、RSoP セキュリティチェックを 30 分ごとに 1 回でスケジュール設定し、RSoP プロセス中に必要な関連チェックをより適切に管理できるようにします。詳細については、RSOP ベースの露出インジケーターを参照してください。

  • シャドウ認証情報 - 新しい IoE は、「Windows Hello for Business」機能とそれに関連する鍵認証情報のシャドウ認証情報のバックドアと設定ミスを検出します。

  • KRBTGT アカウントで前回行ったパスワード変更 — Windows Hello for Business の krbtgt_AzureAD アカウントのサポートを追加しました (Cloud Trust デプロイメント)。

  • 可逆パスワード — PSO により属性 msDS-PasswordReversibleEncryptionEnabled で定義された可逆パスワードの検証が追加されました。

  • ローカル管理アカウントの管理 — 新しい Windows LAPS をサポートします。[インストールされている LAPS バージョン] という新しいオプションを導入し、ユーザーの選択に基づいて LAPS バージョンの設定を検証します。

• プロキシ — Tenable Identity Exposure のインストールまたはアップグレード中にプロキシ接続を定義できます。このプロキシ接続により、オンプレミス環境で Tenable One の機能を使用できるようになります。

• SMB 署名の強制 — Tenable Identity Exposure は、ドメインコントローラーや他のサーバーで適切な SMB 署名を強制します。[デフォルトドメインコントローラーポリシー] パラメーターを検証し、他のサーバーに正しい GPO 設定がないかチェックします。

• メールアラートは、有効な暗号化プロトコル、具体的には TLS 1.2 と 1.3 のみをサポートするようになりました。セキュアリレーをオーバーライドして、SSLv3 などの廃止された SMTP 暗号化標準を使用しているお客様は、そのオーバーライドを削除する必要があります。現在、許可される値は「Tls12」、「Tls13」、または「TLS12, Tls13」(サーバーバージョンに基づく自動切り替え) のみです。サポートされていない値を使用すると、リレーは開始しません。

• 10 時間の新しい「遅延期間」— この間に正当なユーザーを許可リストに追加し、誤検出の数を減らします。

• IoA 設定 — イベント分析をトリガーする前にイベント収集の期間を選択できます。値は 30 秒から 9 分までです。

• Active Directory — Tenable Identity Exposure が管理する AD オブジェクトのサイズ制限が引き上げられました。

• 露出インジケーター

  • 危険な Kerberos 委任 — 新しく追加された理由により、制限付き委任で使用される属性 (msDS-AllowedToDelegateTo) が存在しないサービスプリンシパル名 (SPN) を参照しているすべてのアカウントが報告されるようになりました。

  • ユーザープライマリグループ IoE - 理由が追加され、権限不足のために primaryGroupID 属性が空として表示されるアカウントをすべて報告するようになりました。

  • パスワードが決して期限切れにならないアカウント — 特権ユーザーと通常ユーザーを区別する新しい理由。

  • セキュリティプリンシパルの競合 — ユーザー、コンピューター、グループなど、重複している (競合する) オブジェクトがないことをチェックする新たな IoE。

  • 古いパスワードを使用しているユーザーアカウント、廃止になった OS を実行しているコンピューター、休止アカウント — 特権ユーザーと通常ユーザーを区別する 2 つの新しい理由。

  • コンピューター堅牢化 GPO のないドメイン

    • すべてのドメインコンピューターで null セッションが明示的に無効化されていることを確認するための新しいチェック

    • ドメインコントローラー (SYSVOL/NETLOGON 共有) に対して設定された堅牢化された UNC パスに関連する新しいチェック

    • すべてのドメインコントローラーで印刷スプーラーサービスが無効化されていることを確認するための新しいチェック

  • ユーザーアカウントの Kerberos 設定 — AS-REP ロースト攻撃の影響は受けないため、スマートカードを持つユーザーをセキュリティ問題とはみなさなくなりました。

  • 危険な Kerberos 委任 — 新しい理由が Microsoft Entra Connect アカウント (AZUREADSSOACC) の Kerberos 委任の現在の設定を検出します。

Tenable Identity Exposure バージョン 3.77 には、以下のバグ修正が含まれています。

Tenable Identity Exposure バージョン 3.59.7 には、以下のバグ修正が含まれています。

Tenable Identity Exposure バージョン 3.42.19 には、以下のバグ修正が含まれています。

• OpenSSL 3.0 のサポート - このリリースでは、OpenSSL をバージョン 3.0.x にアップグレードしています。その結果、SHA1 で署名された X.509 証明書は、セキュリティレベル 1 以上では機能しなくなりました。TLS はセキュリティレベル 1 にデフォルト設定されています。このため、SHA1 署名の証明書は、サーバーまたはクライアントの認証で信頼されなくなります。

  この変更に伴い、証明書をアップグレードする必要があります。証明書をアップデートせずにインストールを続行し OpenSSL 3.0 を使用すると、Tenable Identity Exposure インストーラーは以下のエラーメッセージを返し、修正方法を提案します。

  

  

  

• 詳細については、OpenSSL 3.0 のリリースノートを参照してください。

• バージョン 3.59.5 にアップグレードするには、Tenable Identity Exposure ユーザーガイドのアップグレード要件と手順を参照してください。

Tenable Identity Exposure バージョン 3.59.5 には、以下のバグ修正が含まれています。