Tenable Vulnerability Management スキャンの評価設定

場合によっては、欠陥が存在するかどうかをTenable Vulnerability Managementがリモートで判断できません。パラノイアレポートが [Show potential false alarms] (誤ったアラームの可能性を表示) に設定されている場合、リモートホストに影響があると疑われる場合でも、毎回欠陥が報告されます。反対に、パラノイアの設定が [Avoid potential false alarms] (誤ったアラームの可能性を回避) になっていると、リモートホストに関する不確実性の要素があるときには、Tenable Vulnerability Managementは常に欠陥を報告しません。これら2 つの設定の中間の場合は、この設定を無効にします。

Tenable Vulnerability Management は、各 SMTP デバイスを介してこのフィールドにリストされているアドレスにスパムを送信しようとします。このサードパーティのドメインアドレスは、スキャンされるサイトまたはスキャンを実行するサイトの範囲外にある必要があります。それ以外の場合は、SMTP サーバーによってテストが中止される場合があります。

SMTP サーバーに送信されたテストメッセージは、このフィールドで指定されたアドレスから発信されたように表示されます。

Tenable Vulnerability Management は、このフィールドにリストされているメール受信者宛てにメッセージの送信を試みます。ほとんどのメールサーバーで有効なアドレスであるため、ポストマスターのアドレスはデフォルト値になっています。

Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0)

Tenable Vulnerability Management がスキャン中に偽装するウェブブラウザの種類を指定します。

/

テストされる最初のページの URL です。複数のページが必要な場合は、コロン区切り文字を使用してページを区切ります(例: /:/php4:/base)

クロール対象から除外するウェブサイトの一部を指定します。たとえば、/manual ディレクトリとすべての Perl CGI を除外するには、このフィールドを次のように設定します。(^/manual) <> (\.pl(\?.*)?$)

Tenable Vulnerability Management は文字列の照合と処理のため、Perl 互換の正規表現 (PCRE) と同様に POSIX の正規表現をサポートしています。

1000

クロールするページの最大数です。

6

開始ページごとに Tenable Vulnerability Managementがたどるリンクの数を制限します。

無効

選択すると、Tenable Vulnerability Management は動的リンクをたどり、上記設定のパラメーターを超える場合があります。

この設定では、HTTP リクエストで使用される引数値の組み合わせを管理します。このオプションにチェックマークを入れないデフォルトでは、攻撃文字列で 1 つのパラメーターを一度にテストし、追加のパラメーターに対する非攻撃バリエーションを試すことはありません。たとえば Tenable Vulnerability Managementは、各組み合わせをテストせずに、b と c が他の値を許可する、
/test.php?arg1=XSS&b=1&c=1を試みます。これは、最小の結果セットを生成してテストする最速の方法です。

この設定には、次の 4 つのオプションがあります。

• Test random pairs of parameters: この形式のテストでは、パラメーターのランダムなペアの組み合わせがランダムにチェックされます。これは、複数のパラメーターをテストする最速の方法です。
• パラメーターのすべてのペアのテスト (低速): この形式のテストは、1 つの値のテストよりも若干低速になりますが、より効率的です。複数のパラメーターをテストしながら、攻撃文字列、単一変数の変化の関係をテストし、他のすべての変数に最初の値を使用します。たとえば、Tenable Vulnerability Management は /test.php?a=XSS&b=1&c=1&d=1 を試み、その後、ある変数に攻撃文字列が付与され、ある変数はあらゆる可能な値を循環し (ミラープロセス中に発見されるように)、その他の変数には最初の値が付与されるようにします。この例では、各変数の最初の値が 1 の場合、Tenable Vulnerability Managementは/test.php?a=XSS&b=3&c=3&d=3をテストしません。
• Test random combinations of three or more parameters (slower): この形式のテストでは、3 つ以上のパラメーターの組み合わせがランダムにチェックされます。ペアのパラメーターのみのテストよりも綿密にチェックされます。組み合わせの数を 3 つ以上に増やすと、ウェブアプリケーションのテスト時間は長くなります。
• パラメーターのすべての組み合わせのテスト (最も遅い): このテスト方法では、攻撃文字列と変数への有効な入力のあらゆる可能な組み合わせをチェックします。すべてのペアのテストが速度を上げるためにより少ないデータセットを作成しようとするのに対し、すべての組み合わせでは時間を妥協せずにテストの完全なデータセットを使用します。このテスト方法では、完了するまでに長時間かかる場合があります。
  

この設定により、新しい欠陥が対象となるタイミングが決まります。これはスクリプトレベルで適用されます。XSS の欠陥を検出しても、SQL インジェクションまたはヘッダーインジェクションの検索は無効になりませんが、特に指定しない限り特定のポートの種類ごとに最大 1 つのレポートがあります。同じ攻撃によってキャッチされた場合、同じ種類のいくつかの欠陥 (XSS、SQLi など) が報告される可能性があります。

このオプションが無効になっている場合、スキャンは ウェブページ上で欠陥を発見するとすぐに、次の ウェブページに移動します。

このオプションを有効にする場合は、次のいずれかのオプションを選択します。

• Stop after one flaw is found per web server (fastest) - (デフォルト) スクリプトによってウェブサーバー上で欠陥が検出されるとすぐに、Tenable Vulnerability Management は停止して別のポート上の異なるウェブサーバーに切り替えます。
• Stop after one flaw is found per parameter (slow) - CGI のパラメーターで1種類の欠陥 (XSS など) が検出されるとすぐに、Tenable Vulnerability Management は同じ CGI の次のパラメーター、次の既知の CGI、または次のポートもしくはサーバーに切り替えます。
• Look for all flaws (slowest) - 検出された欠陥にかかわらず、広範なテストを実行します。このオプションは非常に詳細なレポートを生成する可能性があるため、多くの場合において推奨されません。

有効にすると、ローカルユーザーの代わりにドメインユーザーが照会されます。

ユーザー検出に適した数のユーザー列挙メソッドを有効にできます。

検出する既知の不良 IP アドレスのリストを含むテキストファイルです。

ファイルの各行は、IPv4 アドレスで始める必要があります。オプションとして、IP アドレスの後にコンマを追加してその後に説明を続けると、説明を追加できます。コンマ区切りのコメントに加えて、ハッシュ区切りのコメント (# など) も使用できます。

注意: Tenable は、テキストファイル内のプライベート IP 範囲を検出しません。

追加の既知の不良な MD5 ハッシュを指定する、1 行に 1 つの MD5 ハッシュを含むテキストファイル

オプションとして、ハッシュの後にコンマを追加してその後に説明を続けると、ハッシュの説明を含めることができます。ターゲットのスキャン中に一致するものが見つかった場合、スキャン結果に説明が表示されます。コンマ区切りのコメントに加えて、ハッシュ区切りのコメント (fop など) も使用できます。

追加の既知の良好な MD5 ハッシュを指定する、1 行に 1 つの MD5 ハッシュを含むテキストファイル

オプションとして、ハッシュの後にコンマを追加してその後に説明を続けると、各ハッシュの説明を含めることができます。ターゲットのスキャン中に一致するものが見つかり、ハッシュの説明が提供された場合、スキャン結果に説明が表示されます。コンマ区切りのコメントに加えて、ハッシュ区切りのコメント (# など) も使用できます。

Tenable Vulnerability Management は、システムホストファイルに侵害の兆候がないかチェックします (例: 侵害された Windows システム (ホストファイルチェック) というタイトルのプラグイン ID 23910)。このオプションを使用すると、スキャン中に Tenable Vulnerability Managementに無視させる IP とホスト名のリストを含むファイルをアップロードできます。通常のテキストファイルの行ごとに 1 つの IP と 1 つのホスト名 (ターゲット上のホストファイルと同じ形式) を含めます。

スキャンに適用される YARA ルールを含む .yar ファイルです。1 回のスキャンでアップロードできるファイルは 1 つのみであるため、すべてのルールを 1 つのファイルに含めてください。詳細は、yara.readthedocs.io を参照してください。

有効にすると、Tenable Vulnerability Management はホストコンピューターのシステムディレクトリとファイルをスキャンできます。

警告: 10 台以上のホストを対象としたスキャンでこの設定を有効にすると、パフォーマンスが低下する可能性があります。

有効にすると、少なくとも 1 つのホスト認証情報と 1 つの Oracle データベース認証情報が設定されている場合、スキャナーはホスト認証情報を使用してターゲットのスキャンを認証してから、ローカルでの Oracle システム ID (SID) の検出を試行します。次に、指定された Oracle データベース認証情報と検出された SID の使用の認証を試行します。

スキャナーがホスト認証情報を使用したターゲットのスキャンを認証できないか、ローカルで SID を検出しない場合、スキャナーは Oracle データベース認証情報の手動で指定された SID を使用して Oracle データベースを認証します。