ウェブアプリケーションの検出結果の詳細

必要なユーザーロール: 読み取り専用、基本ユーザー、スキャンオペレーター、標準ユーザー、スキャンマネージャー、管理者

[検出結果] ページでウェブアプリケーションの検出結果をクリックすると、詳細ペインが開きます。次に、 をクリックしてペインを展開します。

[ウェブアプリケーションの詳細] ペインの上部には、以下の情報が含まれています。

属性

説明

脆弱性名

詳細ペインのタイトルとして表示される脆弱性の名前。

検出結果 ID

特定の検出結果インスタンスの一意の識別子。

Web App Scanning プラグイン ID

脆弱性を検出した Web Application Scanning プラグインの ID。この ID をクリックすると、[Tenable プラグイン検索] ページでプラグインの詳細が開きます。

深刻度

色分けされたバッジで表示される、脆弱性の深刻度レベル。可能な値: 重大、高、中、低、情報。

状態

検出結果の現在の状態。可能な値: アクティブ、新規、再表面化、修正済み。

VPR

悪用される可能性を示す 脆弱性優先度格付け スコア (0〜10)。

CVSSv2

CVSSv2 基本値 (0～10)。

ACR

(Tenable One / Tenable Lumin のライセンスが必要) Tenable 定義の ACR (資産重要度の格付け) の 1 から 10 までの整数。

ACR は、最も重要な資産に影響を与えている脆弱性を特定することで、修正の優先順位付けを支援します。

[ウェブアプリケーションの詳細] ペインの下部は複数のタブに分割されています。

[詳細] タブ

[詳細] タブには、ウェブアプリケーションの検出結果に関する内訳情報が表示されます。セクションは、検出結果に関連データが含まれている場合にのみ表示されます。

セクション

説明
説明 脆弱性の中身や潜在的な影響など、プラグインからの脆弱性のサマリー。[続きを読む] を選択して、説明の全文を展開します。
プラグイン出力 プラグインがターゲット URL の脆弱性を検出したときに返す未加工の出力。内容はプラグインによって異なります。
脆弱性の情報

脆弱性に関する情報。以下が含まれます。

  • 深刻度 — 深刻度レベル: 情報、低、中、高、重大。
  • 次のもので悪用 — 脆弱性のエクスプロイトを含むと知られているフレームワークまたはツール (例: Canvas、Metasploit)。
  • マルウェアによる悪用 — 脆弱性が既知のマルウェアによって悪用されているかどうかを示します。
修正

脆弱性の修正情報。以下が含まれます。

  • ソリューション — プラグインが提供する推奨修正アクション。
  • 関連項目 — 脆弱性に関連する外部資料やアドバイザリへのリンク。
脆弱性検出タイムライン

脆弱性がいつ検出されたかを示すタイムラインデータ。以下が含まれます。

  • 初回確認日 — Tenable がこの資産で脆弱性を最初に検出した日時。
  • 最終確認日 — Tenable がこの資産で脆弱性を検出した直近の日時。
  • 脆弱性 SLA 日 — 設定された SLA ポリシーに基づく、脆弱性を修正するための SLA 期限日。
  • 経過日数 — Tenable が最初に脆弱性を検出してから経過した日数。
VPR の主な要因

VPR スコアに寄与する要因。以下が含まれます。

  • VPR — VPR (脆弱性優先度格付け) のスコア (0～10)。
  • CISA KEV の VPR の主な要因 - 脆弱性が CISA の既知の悪用された脆弱性カタログに載っているかどうかを示す。
プラグインの詳細

脆弱性を検出した Web Application Scanning プラグインに関する技術面の詳細。以下が含まれます。

  • プラグイン公開日 — Tenable がプラグインを最初に公開した日付。
  • プラグインの更新日 - Tenable がプラグインを最後に更新した日付。
  • プラグインファミリー — プラグインファミリーのカテゴリ (例: Cross Site Request Forgery)。
リスク情報

脆弱性のリスクスコアと分類。以下が含まれます。

  • リスクファクター — 全体的なリスク分類 (例: 重大、高、中、低)。
  • CVSSv4 基本値 - CVSSv4 基本値 (0～10)。
  • CVSSv4 攻撃元区分 - スコアリング特性を説明する CVSSv4 攻撃元区分文字列。
  • CVSSv3 基本値 - CVSSv3 基本値 (0～10)。
  • CVSSv3 攻撃元区分 - スコアリング特性を説明する CVSSv3 攻撃元区分文字列。
  • CVSSv2 基本値 - CVSSv2 基本値 (0～10)。
  • CVSSv2 攻撃元区分 — CVSSv2 攻撃元区分文字列。
  • 修正されたリスク - 変更ルールまたは許容ルールによってリスクが変更されたかどうかを示す。
添付ファイル ウェブアプリケーションスキャン中にキャプチャされ、検出結果に添付されたファイル (例: HTTP リクエストファイル、応答ファイル)。ファイル名をクリックしてダウンロードします。
識別

スキャンされたターゲットを識別する情報。次のものが含まれます。

  • URL - Tenable が脆弱性を検出したターゲットウェブアプリケーションの URL。
  • HTTP リクエスト - 検出結果をトリガーした HTTP リクエスト。リクエスト方法、パス、ヘッダーを含む。[続きを読む] を選択して、リクエスト全文を展開します。
リファレンス 脆弱性に関連付けられた外部セキュリティ基準の識別子。CAPEC、CWE、DISA STIG、OWASP、OWASP API、OWASP ASVS、NIST、HIPAA、PCI DSS、ISO 識別子など。

[資産のサマリー] タブ

[資産のサマリー] タブには、検出結果に関連付けられている資産に関する詳細が含まれています。

セクション 説明
資産

影響を受けている資産に関する情報。以下が含まれます。

  • 資産名 — 資産の名前 (通常はターゲットドメインまたはホスト名)。
  • 資産 ID — 資産の一意の識別子。
  • パブリック —資産がパブリックでアクセス可能かどうかを示す。
  • IPv4 アドレス — 資産に関連付けられている IPv4 アドレス。
  • 関連する検出結果 - 同じ資産に関連付けられている他の検出結果の数。

[資産で開く] をクリックして、[調査] > [資産] で資産のフルレコードを表示します。
タグ 資産に適用されているタグ。資産に割り当てられている場合のみ、タグが表示されます。
最終確認日

影響を受ける資産がスキャンでいつ最後に特定されたかに関する情報。以下が含まれます。

  • 初回確認日 - スキャンが最初に資産を検出した日時。
  • 最終確認日 - スキャンが資産を検出した直近の日時。
  • 最終ライセンススキャン日 - 資産に対してライセンススキャンが実行された直近の日時。
  • ソース — 資産を観察してきたスキャンソース (例: ウェブアプリケーション)。