アクティブスキャンでのスキャンゾーン

完全なアクティブスキャンの設定には、スキャンゾーンが含まれます。これは 1 つ以上のスキャナーを、ネットワークの特定の領域へと関連付けます。あるゾーン内にある IP アドレスのスキャンでは、そのゾーンに割り当てられたスキャナー間で、負荷が分散されます。Tenable Security Center は、ゾーン内で最も負荷の低いスキャナーを容量上限まで割り当ててから、次のスキャナーに移ります。スキャン中は、ある時点で他のスキャナーよりもアクティブなスキャナーが存在する場合がありますが、スキャンが進むにつれて、割り当てられたすべてのスキャナーのワークロードは均等化されます。これをカスタマイズすることで、お客様独自のネットワークトポロジーに対応できます。たとえば、次のことが可能です。

• 事業部ごとに 1 つのゾーンを作成し、各ゾーンに 1 つのスキャナーを追加する

• 1 つの大きなゾーンを作成し、そのゾーンに複数のスキャナーを追加する

• 分離されたネットワーク (低帯域幅または高レイテンシ接続によって分離されたネットワーク) 用のゾーンを作成し、そのゾーンに 1 つのスキャナーを追加し、そのスキャナーを分離されたネットワーク内へと展開する

スキャンゾーンは、企業における Tenable Security Center のデプロイメントの成功に極めて重要です。スキャナーをスキャンゾーンへ割り当てることで、許可されたネットワークの範囲をスキャンするようにスキャナーを制限し、ファイヤーウォール 経由で、または WAN リンクを超えてスキャンを行うことで発生する問題を回避します。

デプロイメントの例

スキャンゾーンの IP アドレスは、単一の IP アドレス、IP アドレスの範囲、または CIDR 表記のサブネットとして指定できるので、論理グループ、物理的な場所、または IP アドレスの範囲によってネットワーク上のスキャンをセグメント化することができます。

一般に、大規模かつフラットなネットワークでは、Tenable Security Center がスキャン負荷を自動的にスキャナー全体に分散できるため、複数のスキャナーが最も効率的です。大規模な企業では通常、中核となるネットワークにいくつかのスキャナーを展開し、より区分されたネットワーク、またはリモートのネットワークに追加のスキャナーを展開します。また、お客様独自のネットワークインフラに適した、アーキテクチャの組み合わせを設計することもできます。

最適なデプロイメントは、ネットワークおよび企業のニーズによって左右されます。あらゆる状況に対応できるデプロイメント手法は存在しません。

たとえば、30 の物理的な拠点を有する 2 つの地方銀行で、最適なデプロイメントは異なるかもしれません。

• 銀行 A: 5 つのスキャナーをデータセンター内部で展開し、ネットワークリンク経由でのみスキャンを行う
• 銀行 B: 物理的な拠点のそれぞれに 1 つのスキャナーを展開する

さらに、ネットワークサイズに基づく最適な推奨もありません。

• お客様 A: 40 個の Tenable Nessus スキャナーを導入し、合計 300,000 個の IP アドレスをスキャン

• お客様 B: 300 の物理的な拠点に 300 個の Tenable Nessus スキャナーを導入し、ローカルスキャナーの要件を満たすことで、合計 37,000 個の IP アドレスをスキャン

大規模エンタープライズデプロイメントに関する推奨事項

大規模エンタープライズデプロイメントでは、 Tenable は次のことを推奨します。

• 最低でも、ゾーン内のアクティブな IP アドレス 5,000 個ごとに 1 つのスキャナーを追加する。

• 1 つのスキャナーを 1 つのゾーンに追加する。Tenable では、1 つのスキャナーを複数のゾーンに追加することは推奨していません。

• スキャンゾーンに重複する IP アドレスがある場合、自動スキャンディストリビューションを無効化する。

• 任意の IP アドレスを、お客様のネットワークの内部にあるスキャナーと外部にあるスキャナーの両方からスキャンして、その IP アドレスのデータを複数のリポジトリに格納する場合は、自動的なスキャン分散を無効にする。

• 複数のスキャン層または独立した Tenable Security Center インスタンスにまたがるスキャンゾーン設定を監視するには、Tenable Security Center Director を使用します。

センサープロキシスキャナーのディストリビューション (Tenable Security Center 6.9.x 以降)

Tenable Nessus Manager センサープロキシを介して接続されたスキャナーは、直接接続されたスキャナーとは異なるディストリビューションモデルを使用します。各スキャナーは、Tenable Security Center から作業を割り当てられるのではなく、固定された一定の間隔で追加のターゲットをリクエストします。すべてのスキャナーが同じレートでポーリングを行うため、スキャナー間で作業配分が不均等になっている場合、通常は、スキャナー数に対してスキャン対象の資産数が少なかったか、スキャンの一部の期間に 1 つ以上のスキャナーがオフライン、再起動中、または到達不能だったことを示します。調整すべき設定上の問題ではありません。