Tenable Vulnerability Management スキャンの検出設定

有効にすると、ポートが選択されたポートスキャナーでスキャンされていない場合 (たとえば、ポートが指定された範囲から外れている場合)、スキャナーはそのポートを閉じていると見なします。

スキャンされるポートの範囲を指定します。

サポートされている範囲は次のとおりです。

• default (デフォルト) — nessus-services ファイルで指定した約 4,790 個のよく使用されるポートをスキャンするようにスキャナーに指示します。default キーワードを他のポートおよびポート範囲と組み合わせることはできません。

  注意: すべて置換の操作に対応するテキストエディターで、次の 4 つの連続した正規表現に対してすべて置換操作を実行することで、nessus-services ファイルをカスタムのポートリストに変換できます。

  • .*\s+(\d+)\/(tcp|udp)(\r\n|\r|\n) を $1\/$2 に

  • (\d+)\/(tcp|udp) を $2:$1 に

  • tcp を T に

  • udp を U に

  nessus-services ファイルは、オペレーティングシステムに応じた次のディレクトリにあります。

  • Linux — /opt/nessus/var/nessus/nessus-services

  • Windows — C:\ProgramData\Tenable\Nessus\nessus\nessus-services

  • macOS — /Library/Nessus/run/var/nessus/nessus-services

• all (すべて) — ポート 0 を含む 65,536 個のポートをすべてスキャンするようにスキャナーに指示します。all キーワードを他の範囲と組み合わせることはできません。

• コンマ区切りのポートのリスト (例: 21,23,25,80,110) やポート範囲 (例: 1-1024,9000-9200、0 を除くすべてのポートをスキャンする場合は 1-65535、個別の範囲または重複する TCP および UDP ポート範囲をスキャンする場合は T:1-1024,U:300-500 または 1-1024,T:1024-65535,U:1025)、またはそれらの組み合わせ。

スキャンポリシーの [Discovery] (検出) 設定で UDP、SYN、または TCP ポートスキャナー設定を無効にすると、指定したポートの範囲にかかわらず、それらのポートがスキャンされません。UDP および TCP のポートスキャナー設定は、デフォルトでは無効になっています。SYN ポートスキャナー設定はデフォルトで有効になっています。

有効にすると、スキャナーはローカルマシンから netstat を使用して開いているポートをチェックします。このオプションを使用するには、ターゲットへの SSH 接続を介して netstat コマンドを実行できる必要があります。このスキャンは、Linux ベースのシステムを対象としており、認証認証情報を必要とします。この設定を使用するには、最初に SSH 認証情報を設定する必要があります。

有効にすると、スキャナーは WMI ベースのスキャン中に netstat を使用して開いているポートを特定します。

さらに、スキャナーは次のように動作します。

• [Port Scan Range] (ポートのスキャン範囲) 設定で指定されたカスタム範囲を無視します。
• [Consider unscanned ports as closed] (スキャンされていないポートを閉じていると見なす) 設定が有効な場合には、スキャンされていないポートを引き続き閉じていると見なします。

ポート列挙子 (netstat または SNMP) が正常に機能すると、ポート範囲は [all] (すべて) になります。この設定を使用するには、最初に Windows 認証情報を設定する必要があります。

有効にすると、ユーザーが適切な認証情報を入力した場合に、スキャナーはリモートホストをより効果的にテストし、より詳細な監査結果を生成できます。たとえば、返された SNMP 文字列のバージョンを調べることで、脆弱性が存在するかどうかを判断する Cisco ルーターチェックが多数あります。この情報はこのような監査に必要です。

ローカルポート列挙子が実行されると、その資産に対してすべてのネットワークポートスキャナーが無効になります。

有効にすると、ローカルポートエニュメレーター (WMI や netstat など) によってポートが検出された場合、スキャナーはリモートからもそのポートが開いていることを確認します。このアプローチは、何らかの形のアクセス制御 (TCP ラッパー、ファイヤーウォールなど) が使用されているかどうかを確認するのに役立ちます。

内蔵の Tenable Nessus TCP スキャナーを使用して、完全な TCP 3 ウェイハンドシェイクを利用してターゲットの開いている TCP ポートを特定します。このオプションが有効になっている場合、[ファイヤーウォールの自動検出をオーバーライド] オプションも設定できます。

内蔵の Tenable Nessus SYN スキャナーを使用して、ターゲットとなるホストの開いている TCP ポートを特定します。SYN スキャンは、完全な TCP 3 ウェイハンドシェイクを開始しません。スキャナーは、SYN パケットをポートに送信して SYN-ACK 応答を待機し、応答、または応答がないことに基づいてポートの状態を判断します。

このオプションが有効になっている場合、[ファイヤーウォールの自動検出をオーバーライド] オプションも設定できます。

この設定は、[TCP] または [SYN] のどちらかのオプションが有効になっている場合に有効化できます。

有効になっている場合、この設定は自動ファイヤーウォール検出をオーバーライドします。

この設定には、次の3 つのオプションがあります。

• 積極的な検出を使用: ポートが閉じているように見える場合でもプラグインの実行を試みます。このオプションは、本番環境のネットワークでは使用しないことをお勧めします。

• ソフト検出を使用: リセットが設定される頻度を監視する機能とダウンストリームのネットワークバイスで制限が設定されているかどうかを確認する機能を無効にします。

• 検出機能を無効化: ファイヤーウォール検出機能を無効にします。

このオプションは、Tenable Nessus のビルトイン UDP スキャナーを使用して、ターゲットの開いている UDP ポートを特定します。

プロトコルの性質により、ポートスキャナーが開いている UDP ポートとフィルタリングされている UDP ポートの違いを見分けるのは通常は不可能です。UDP ポートスキャナーを有効にすると、スキャン時間が大幅に増加し、信頼できない結果が検出される場合があります。可能な場合は、代わりに netstat または SNMP ポート列挙オプションを使用することを検討してください。