Tenable Identity Exposure 2025 年オンプレミスリリースノート

• RabbitMQ — 切断された接続の自動復元を実装し、継続的なメッセージ処理を確保しサービスの中断を防ぐことで、レジリエンスが向上しました。

Tenable Identity Exposure バージョン 3.77.14 には、以下のバグ修正が含まれています。

• 新しいダッシュボードテンプレート — 新しいダッシュボードテンプレートは、組織が ACSC サイバーセキュリティ基準へのコンプライアンスを監視して改善するのに役立ちます。このテンプレートは、Active Directory 侵害の検出と軽減に関する最近の「ファイブアイズ」同盟レポートの内容を可視化し、大まかな概要と詳細なインサイトの両方を提供することで、修正の優先順位付けを可能にします。

• IoA デプロイメントプロセスの改善 — スケジュールされたタスクの長いコマンドブロックを、専用の PowerShell スクリプトに置き換えました。

  • 専用リスナーランチャー: 新しいデプロイメントでは、SYSVOL に保存されている署名済みのリスナー launcher.ps1 スクリプトを使用します。このスクリプトは、スケジュールされたタスクを簡素化し、セキュリティを改善します。

  • 証明書のデプロイメント: Tenable の証明書が、署名済みのスクリプト実行に必要なグループポリシー (GPO) 経由で自動的にデプロイされるようになりました。

• RabbitMQ — 切断された接続の自動復元を実装し、継続的なメッセージ処理を確保しサービスの中断を防ぐことで、レジリエンスが向上しました。

Tenable Identity Exposure バージョン 3.93.3 には、以下のバグ修正が含まれています。

Tenable Identity Exposure バージョン 3.77.13 には、以下のバグ修正が含まれています。

Tenable Identity Exposure バージョン 3.93.2 には、以下のバグ修正が含まれています。

• SMTP OAuth アラート- アラート機能のために Microsoft 365 の最新でセキュアな認証プロトコル OAuth を新しくサポートするようになりました。

  詳細については、Tenable Identity Exposure ユーザーガイドの Microsoft 365 SMTP OAuth 設定を参照してください。

Tenable Identity Exposure バージョン 3.77.12 には、以下のバグ修正が含まれています。

• エクスポージャーセンター — 組織のアイデンティティセキュリティ態勢を強化する機能です。Entra ID などの基盤となるアイデンティティシステムとそれらのシステム内にあるアイデンティティの両方をカバーして、アイデンティティリスクサーフェス全体における弱点や設定ミスを特定します。

  • [エクスポージャーの概要] 機能は、Active Directory や Entra ID のデータで動作します。

  • [エクスポージャーインスタンス] 機能は、現在 Entra ID データでのみ動作します。

• Identity 360— アイデンティティ中心の新しい機能は、組織のアイデンティティリスクサーフェス全体のすべてのアイデンティティの包括的なインベントリを提供します。Active Directory と Entra ID の両方のアイデンティティを統一することにより、リスク別に評価してランク付けし、環境内で最も脆弱なアイデンティティを素早く特定し、優先して対応することが可能になります。

  • [Identity 360] 機能は、Active Directory や Entra ID のデータで動作します。

  ヒント: Tenable クラウドベースの機能を使用するには、特定の設定をアクティブにして、分析のためにデータを Tenable クラウドに共有する必要があります。手順については、Identity 360、エクスポージャーセンター、Microsoft Entra ID のサポートのアクティブ化および Tenable クラウドのデータ収集を参照してください。

Active Directory (AD) 露出インジケーター (IoE)

• 機密性の高い Exchange のアクセス許可 — この IoE は、ドメイン内の Exchange グループとリソースに関連するアクセス許可を管理します。他の IoE における可読性を向上するため、Exchange を発信元または対象とするすべてのアクセス許可のみが表示されるようになりました。

• Exchange グループメンバー — この IoE は、機密性の高い Exchange グループのメンバーを追跡します。

• サポートされていない、または古くなった Exchange サーバー — この IoE は、Microsoft がサポートしなくなった古い Exchange サーバーや、最新の累積更新プログラムが適用されていない Exchange サーバーを検出します。安全で完全にサポートされている Exchange 環境を維持するには、廃止されたサーバーやパッチ未適用のサーバーにすぐに対処する必要があります。これを怠ると悪用されるリスクが高まり、組織がデータ漏洩やランサムウェア攻撃にさらされることになります。

• Exchange の危険な設定ミス — この IoE は、Exchange リソースやその基盤となる Active Directory スキーマオブジェクトに影響を与える設定ミスをリストします。

• Exchange グループメンバー — この IoE は、機密性の高い Exchange グループのメンバーを追跡します。

• ADCS の危険な設定ミス — この IoE は、プリンシパルが AD グループのメンバーになることを暗黙のうちに許可する発行ポリシー (エンタープライズ OID) を特定します。

• コンピューター堅牢化 GPO のないドメイン — この IoE は、GPO 設定「SMB による NTLM をブロックする」をチェックします。

その他の機能

• ヘルスチェック — 新しいドメインヘルスチェックは、ドメインごとに既知のエラーを特定して対処することで、攻撃インジケーターの信頼性を高めます。詳細については、Tenable Identity Exposure ユーザーガイドのヘルスチェックを参照してください。

• ユーザビリティ — Tenable Identity Exposure では、お客様が「5 Eyes (ファイブアイズ)」または自分が使う民間機関による最近のレポートを可視化できるようになりました。

露出インジケーター

• 単一メンバーの AD/Entra グループ — IoE の「重要である理由」の説明に、グループメンバーが表示されるようになりました。

• 認証情報を持つファーストパーティサービスプリンシパル — IoE の「重要である理由」の説明に、識別された認証情報の詳細が表示されるようになりました。

• 単一メンバーの AD/Entra グループおよび 空のグループ — これらの IoE では、より正確で意味のある結果を提供するために、直接のメンバーのみをカウントするようになりました。

• アカウントにマップされた証明書

  • この IoE は、AD CS ESC14 不正使用手法に対処するために、弱い明示的な証明書マッピングを報告するようになりました。

  • この IoE はこれまで、X509IssuerSubject および X509SubjectOnly の 2 種類のマッピングのみを持つ特権ユーザーを報告していました。今回、当初の範囲が拡大され、X509RFC822、X509IssuerSerialNumber、X509SKI、X509SHA1PublicKey のマッピングも含まれるようになりました。

• コンピューター堅牢化 GPO のないドメイン — メモリ内の認証情報を保護するために使用される、Windows Defender Credential Guard セキュリティ機能に関連する新しいチェック。

• SDProp の一貫性の確保 — 推奨事項を改善しました。

• シャドウ認証情報 — ROCA (Return of Coppersmith’s Attack) の修正の推奨事項を改善しました。「デバイスライトバック」機能が無効な場合に、Entra ID とのハイブリッド環境に関連する潜在的な誤検出を除外する新しいオプションが導入されました。これは、この IoE の [孤立している鍵認証情報] 理由に影響を与えます。

• 管理サービスアカウントの危険な設定ミス — この IoE の改善により、グループのサポートが追加され、gMSA へのアクセスの制御が効率化できるようになりました。

• セキュリティプロファイルのカスタマイズ — 該当する IoE の「許可されたオブジェクト所有者 (グループメンバーシップ別)」オプションの説明を改善しました。

• 次の 2 つの新しいオプションにより、グループメンバーシップによるオブジェクトの所有権とアクセス許可の管理が強化されています。

  • 許可されたオブジェクト所有者 (グループメンバーシップ別): グループメンバーシップを通じて、セキュリティプリンシパルをオブジェクト所有者として指定できます。

  • 許可されたトラスティのリスト (グループメンバーシップ別): グループメンバーシップに基づいて、セキュリティプリンシパルに特別なアクセス許可を割り当てることができます。

• Netlogon プロトコルの安全でない設定 — Tenable Identity Exposure は、[レジストリキーのチェックをスキップする] オプションのデフォルト値を [true] に設定するようになりました。この変更は、ユーザーが 2021 年 2 月 9 日の更新を適用していることを前提としています。この変更が適用されるのはデフォルトプロファイルのみで、カスタムプロファイルは影響を受けません。

• パスワード管理リスク — 弱いパスワードの検出 IoE ウィジェットをダッシュボードテンプレートに追加しました。

• DCSync のような攻撃を許してしまうルートオブジェクトのアクセス許可 — [MSOL_* アカウントを保持する] という新しいオプションが追加されました。このオプションにより、これらのアカウントを除外し、誤検出を減らすことができます。デフォルトでは、このオプションはセキュリティプロファイルで無効になっているため、IOE は MSOL_* アカウントを逸脱としてフラグしません。

攻撃インジケーター

• ゴールデンチケット IoA — 攻撃手法のテキストを改善しました。

• DCSync は、ソースがプレフィックス MSOL_ を持つユーザー名に由来する場合は、アラートをトリガーしません (ハードコードされていて、基本モードの場合のみ有効)。

• ローカル管理者の列挙は、ターゲット IP が不明な場合、アラートをトリガーしません。

• ゴールデンチケットは、攻撃者が TGT を偽造した後に認証した場合にのみ、アラートをトリガーします (基本モードのみ)。

• OS 認証情報ダンプ - LSASS メモリは、ツールが Arctic Wolf Network に属する場合、アラートをトリガーしません (基本モードのみ)。

• 以下の IoA は、次の場合にアラートをトリガーしなくなりました。

  • DC 同期 - ソースが Azure ADConnect ツールに関連するユーザーまたはホスト名である場合 (基本モードのみ)

  • NTDS 抽出 - ソースツールが VSS Requestor または Veeam (正規のバックアップツール) のいずれかである場合

  • ローカル管理者の列挙 - IoA がソースユーザーの SID を見つけられない場合 (基本モードのみ)

  • Petit Potam - IoA が関連するログオンイベントを取得できない場合

  • ゴールデンチケット - IoA がソースベクトルをフェッチできない場合 (基本モードのみ)

その他の機能強化

• [Identity 360] と [エクスポージャーの概要] で関連する弱点をドリルダウンすると、[エクスポージャーインスタンス] ページにリダイレクトするようになりました。

• ディレクトリサービスのトラスト属性とタイプ

  • trustType 属性が、TTAAD (TRUST_TYPE_AAD) 値をサポートするようになりました。

  • trustAttributes 属性が、TDAV (TRUST_ATTRIBUTE_DISABLE_AUTH_TARGET_VALIDATION) 値をサポートするようになりました。

• Tenable One コンテナの変更 — 最適な製品エクスペリエンスを確保するために、新しいライセンスファイルをアップロードする際、Tenable Identity Exposure は異なる Tenable One コンテナへの切り替えを防止するようになりました。

• エクスポート機能 — ユーザーは CSV エクスポートを実行する際にセパレーター (コンマまたはセミコロン) を選択できるため、さまざまな用途に合わせて柔軟に対応できます。その後のエクスポートで使用できるよう前回使用したセパレーターがブラウザに記憶されます。

• Identity 360 — [アクセス] と [権限] タブの資産の詳細などのページの読み込み時間を改善しました。

• AD ドメインデータを収集するためのアクセス許可 — ユーザーインターフェースで特権分析が無効になっている場合、「特権データを収集するアクセス許可が付与されている」の詳細が非表示になりました。この機能を使用するには、リレーが最新の状態であることを確認してください。

Tenable Identity Exposure バージョン 3.93 には、以下のバグ修正が含まれています。

Tenable Identity Exposure バージョン 3.77.10 には、以下のバグ修正が含まれています。

• Tenable Identity Exposure では、環境を以前の状態に効果的に戻すためにロールバックプロセスが合理化され、不要なデータや不整合が残らないようにします。

  新しい前提条件: ロールバック手順を開始する前に、ストレージマネージャーに少なくとも 20 GB のディスクスペースがあることを確認してください。詳細については、Tenable Identity Exposure ユーザーガイドのリソースサイジングを参照してください。

Tenable Identity Exposure バージョン 3.77.9 には、以下のバグ修正が含まれています。