ホスト

ユーザー名

ホストに認証するユーザー名

プライベートキー

ユーザーの RSA または DSA Open SSH キーファイル

プライベートキーのパスフレーズ

プライベートキーのパスフレーズです。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

ホストに認証するユーザー名

〇

User Certificate

ユーザーの RSA または DSA Open SSH 証明書ファイル

〇

プライベートキー

ユーザーの RSA または DSA Open SSH キーファイル

〇

プライベートキーのパスフレーズ

プライベートキーのパスフレーズです。

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

CyberArk Host (Delinea ホスト)

CyberArk AIM ウェブサービスの IP アドレスまたは FQDN 名。

〇

Ports (ポート)

CyberArk API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

AppID

CyberArk API 接続に関連付けられているアプリケーション ID。

〇

CyberArk ホストとの通信に使用される PEM 証明書を含むファイル。

注意: Windows Server 2022 以降で CyberArk CCP をセルフホスティングしているお客様は、CyberArk クライアント証明書の認証の問題に関する Tenable のコミュニティの投稿に記載されているガイダンスに従ってください。

✕

○ (秘密鍵が適用されている場合)

○ (秘密鍵が適用されている場合)

Kerberos ターゲット認証

有効にすると、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストは、ユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信に使用するポート。デフォルトでは、Tenable は 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Realm (領域)

(Kerberos ターゲット認証が有効な場合は必須) この領域が、通常ターゲットのドメイン名として表記される、認証ドメインになります (例: example.com)。Tenable Vulnerability Management はデフォルトで 443 を使用します。

〇

CyberArk API 認証情報を取得する方法。[アドレス]、[識別子]、[パラメーター]、または [ユーザー名] のいずれかです。

注意: [パラメーター] オプションの詳細については、パラメーターオプションの表を参照してください。

注意: ユーザー名のクエリ頻度は、ターゲットごとにクエリ 1 回です。識別子のクエリの頻度は、チャンクごとにクエリ 1 回です。この機能では、すべてのターゲットに同じ識別子が必要です。

([認証情報の取得方法] が [ユーザー名] に設定されている場合) パスワードを要求する CyberArk ユーザーのユーザー名。

認証情報の取得元となる CyberArk safe。

Use SSL (SSL を使用する)

有効にすると、スキャナーは安全な通信のために IIS を介して SSL を使用します。CyberArk が IIS を通して SSL をサポートするよう設定されている場合、このオプションを有効にします。

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、スキャナーは SSL 証明書を検証します。CyberArk が IIS を通して SSL をサポートするように設定されており、証明書を検証する場合、このオプションを有効にします。

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

CyberArk Host (Delinea ホスト)

ユーザーの CyberArk インスタンスの IP アドレスまたは FQDN 名。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

〇

Ports (ポート)

CyberArk API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

〇

CCP Host (CCP ホスト)

ユーザーの Cyber Ark CCP コンポーネントの IP アドレスまたは FQDN 名。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

✕

CCP Port (CCP ポート)

Cyber Ark CCP (AIM ウェブサービス) API が通信するポート。Tenable はデフォルトで 443 を使用します。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

✕

AppID

CyberArk API 接続に関連付けられているアプリケーション ID。

〇

ユーザーは、オプションで Safe ボックスを指定してアカウント情報を収集し、パスワードをリクエストできます。

〇

〇

〇

アカウント情報を一括収集するために PVWA REST API クエリパラメーターで使用される文字列。たとえば、UnixSSH Admin TestSafe と入力すると、TestSafe というセーフにある、ユーザー名 Admin を含むすべての UnixSSH プラットフォームのアカウントを収集できます。

注意: これは完全一致ではないキーワード検索です。精度を向上させるために、CyberArk でカスタムプラットフォーム名を作成し、このフィールドにその値を入力することをお勧めします。

Elevate Privileges with (権限昇格方法)

現時点では、ユーザーが選択できるのは [なし] か [sudo] だけです。

✕

Use SSL (SSL を使用する)

有効にすると、スキャナーは安全な通信のために IIS を介して SSL を使用します。CyberArk が IIS を通して SSL をサポートするよう設定されている場合、このオプションを有効にします。

〇

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、スキャナーは SSL 証明書を検証します。CyberArk が IIS を通して SSL をサポートするように設定されており、証明書を検証する場合、このオプションを有効にします。

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

ターゲットシステムのユーザー名

〇

CyberArk AIM サービス URL

CyberArk AIM ウェブサービスの URL です。デフォルトでは、Tenable Vulnerability Management は /AIMWebservice/v1.1/AIM.asmx を使用します。

✕

Central Credential Provider ホスト

CyberArk Central Credential Provider の IP/DNS アドレス。

〇

Central Credential Provider ポート

CyberArk Central Credential Provider がリッスンするポート

〇

Central Credential Provider ユーザー名

ボールトユーザー名。CyberArk Central Credential Provider が基本認証を使用するように設定されている場合に基本情報を使用します。

✕

Central Credential Provider パスワード

ボールトパスワード。CyberArk Central Credential Provider が基本認証を使用するように設定されている場合に基本情報を使用します。

✕

Safe

取得する認証情報が格納されていた CyberArk Central Credential Provider サーバー上の金庫

〇

✕

✕

✕

AppId

CyberArk Central Credential Provider でターゲットパスワードを取得するためのアクセス許可を割り当てられた AppId

〇

フォルダー

取得する認証情報が格納されている CyberArk Central Credential Provider サーバー上のフォルダー

〇

ポリシー ID

CyberArk Central Credential Provider から取得する認証情報に割り当てられたポリシー ID

✕

SSL を使用する

CyberArk Central Credential Provider が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合

✕

SSL 証明書を検証する

CyberArk Central Credential Provider が IIS 経由で SSL をサポートするように設定されていて、その証明書を検証する場合は、これを有効にします。自己署名証明書の使用方法については、custom_CA.inc ドキュメントを参照してください。

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

✕

✕

✕

✕

Delinea ログイン名

Delinea サーバーへの認証に使用されるユーザー名。

〇

Delinea Password (Delinea パスワード)

Delinea サーバーへの認証に使用されるパスワード。これは、指定した Delinea Login Name に関連付けられているものです。

〇

Delinea シークレット名

Delinea サーバーのシークレットの値。シークレットには、Delinea サーバーで シークレット名のラベルが付けられています。

〇

Delinea Host (Delinea ホスト)

この Delinea シークレットサーバー ホストからシークレットをプルします。

〇

Delinea Port (Delinea ポート)

API リクエストに使用する Delinea シークレットサーバー ポート。Tenable はデフォルトで 443 を使用します。

〇

Use Private Key (秘密鍵を使用する)

有効にすると、パスワード認証ではなく鍵ベースの認証で SSH 接続を行います。

✕

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Realm (領域)

(Kerberos ターゲット認証が有効な場合は必須) この領域は、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

Use SSL (SSL を使用する)

Delinea シークレットサーバー が SSL をサポートするように設定されている場合は有効にします。

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Delinea サーバーの SSL 証明書を検証します。

✕

Elevate Privileges with (権限昇格方法)

✕

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

Delinea Host (Delinea ホスト)

Delinea Secret Server ホスト。ここからシークレットをプルします。

〇

Delinea ポート

API リクエスト用の Delinea Secret Server ポート。Tenable はデフォルトで 443 を使用します。

〇

Delinea Authentication Method (Delinea 認証方式)

認証に、認証情報と API キーのどちらを使用するかを示します。デフォルトでは、[認証情報] が選択されています。

〇

Delinea サーバーに認証されるときに使用するユーザー名。

〇

〇

〇

指定されたフォルダー ID でアカウントにクエリを実行します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

Search Text (検索テキスト)

指定された検索テキストに一致するアカウントにクエリを実行します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

✕

Search Field (検索フィールド)

指定された検索テキストを使用して検索するフィールド。指定しない場合、クエリは name フィールドを検索します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

✕

✕

〇

✕

〇

✕

初回認証後にユーザー権限を昇格させる場合に使用するElevate Privileges with (権限昇格方法)です。su、su+sudo、sudo など、権限昇格の複数のオプションがサポートされています。

Elevate Privileges with (権限昇格方法)を選択すると、[クエリモード] とそれに関連するオプションと同様に、昇格クエリを設定するオプションが表示されます。これらのフィールドは、昇格に最初のログインとは別のアカウント (たとえば「su」) を使用する場合にのみ入力必須となります。

〇

Hashicorp Vault IP アドレスまたは DNS アドレス。

注意: Hashicorp Vault インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

インスタンスに接続するための認証タイプとして、[App Role] (アプリロール) または [Certificates] (証明書) を指定します。

[証明書] を選択すると、[Hashicorp Client Certificate] (Hashicorp クライアント証明書) (必須) および [Hashicorp Client Certificate Private Key] (Hashicorp クライアント証明書の秘密鍵) (必須) の追加オプションが表示されます。クライアント証明書と秘密鍵にそれぞれ適切なファイルを選択してください。

App Role を構成したときに Hashicorp Vault によって生成される GUID です。

認証エンドポイントへのパス/サブディレクトリ。This is not the full URL. (これは完全な URL ではありません。)例:

/v1/auth/approle/login

〇

Tenable Vulnerability Management バージョン: KV1、KV2、AD、LDAP。Tenable Vulnerability Management バージョンの詳細については、Tenable Vulnerability Management のドキュメントを参照してください。

(KV1) Tenable Vulnerability Management が KV1 エンジンへのアクセスに使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(KV2) Tenable Vulnerability Management が KV2 エンジンにアクセスするために使用する URL です。

例: /v1/kv_mount_name。末尾の / なし

注意: 追加の文字列/セグメントである data が KV v2 ストアの Vault に対して行われた読み取りリクエストに挿入されるため、KV2 エンジン URL の秘密へのパスを使用することはできません。[エンジン URL] フィールドには、秘密へのパスではなく、KV マウントの名前のみを入力します。

注意: data セグメントを自分で含める必要はありません。秘密名/パスに含めると、Vault への読み取り呼び出しに無効な /data/data が含められます。

(AD) Tenable Vulnerability Management が Active Directory エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(LDAP) Tenable Vulnerability Management が LDAP エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須。) このホストは、ユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。デフォルトでは、Tenable は 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (Windows) (ドメイン (Windows))

(Kerberos ターゲット認証が有効な場合は必須。) Kerberos ターゲット認証が属するドメイン (該当する場合)。

〇

レルム (SSH)

(Kerberos ターゲット認証が有効な場合は必須。) このレルムは、通常ターゲットのドメイン名として記載されている認証ドメインです (例: example.com)。

〇

スキャンの実行時に追加の権限を使用するには、su や sudo などの権限昇格手法を使用します。

注意: Tenable では、権限昇格で su、su+sudo、sudo などの複数のオプションを使用できます。たとえば sudo を選択すると、sudo ユーザー、昇格アカウント名、su および sudo の場所 (ディレクトリ) のフィールドが追加で表示され、これらのフィールドに入力することで Tenable Vulnerability Management による認証と権限昇格をサポートできます。権限昇格を完了するには、[昇格アカウント名] フィールドに入力する必要があります。

注意: サポートされている権限昇格タイプと各タイプに伴うフィールドの詳細については、Nessus ユーザーガイドおよびTenable Vulnerability Management ユーザーガイドを参照してください。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

ターゲットシステムのユーザー名

〇

パスワード

指定されたユーザー名のパスワード

〇

キー配布センター (KDC)

このホストは、ユーザーのセッションチケットを提供します。

〇

KDC ポート

KDC がポート 88 以外で動作している場合に、Tenable Vulnerability Management に KDC への接続先を指定します。

✕

KDC Transport

KDC サーバーにアクセスする方法

注意: [KDC Transport] を [UDP] に設定した場合は、ポート番号も変更する必要があります。実装に応じて、KDC UDP プロトコルはデフォルトでポート 88 または 750 を使用するためです。 

✕

領域

通常、標的のドメイン名として記録されている認証ドメイン (example.com など。)

〇

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

ターゲットシステムのユーザー名

〇

パスワード

指定されたユーザー名のパスワード

〇

✕

ターゲットのホストが使用するパスワードプロンプトこの設定を使用するのは、ターゲットとなるホストのインタラクティブ SSH シェルで、認識されていないパスワードプロンプトを Tenable Vulnerability Management が受け取るために、インタラクティブ SSH セッションが失敗する場合のみです。

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

〇

Lieberman の IP/DNS アドレス。

注意: Lieberman インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

〇

〇

〇

〇

Lieberman のオーセンティケーターに使用されるエイリアス。この名前は Lieberman で使用される名前に一致する必要があります。

注意: このオプションを使用する場合は、[Lieberman ユーザー] オプションにドメインを追加してください (例: domain\user)。

Lieberman ホストとの通信に使用される PEM 証明書を含むファイル。

注意: このオプションを使用する場合は、[Lieberman ユーザー]、[Lieberman パスワード]、[Lieberman 認証] の各フィールドに情報を入力する必要はありません。

Lieberman が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合。

✕

Lieberman が安全な通信のために IIS チェックによって SSL をサポートするように設定されており、証明書を検証する場合、このオプションにチェックマークを入れます。自己署名証明書の使用方法については、カスタム CA ドキュメントを参照してください。

✕

✕

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

QiAnXin Host (QiAnXin ホスト)

QiAnXin ホストの IP アドレスまたは URL。

〇

QiAnXin Port (QiAnXin ポート)

QiAnXin API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

QiAnXin API Client ID (QiAnXin API クライアント ID)

QiAnXin PAM で作成された埋め込みアカウントアプリケーションのクライアント ID。

〇

QiAnXin API Secret ID (QiAnXin API 秘密 ID)

〇

Username (ユーザー名)

Host IP (ホスト IP)

Platform (プラットフォーム)

使用するアカウントを含む資産のプラットフォーム (資産タイプに基づく) を指定します。指定しない場合、認証情報のタイプに基づいてデフォルトのターゲットが使用されます (たとえば、Windows 認証情報の場合、デフォルトは WINDOWS です)。可能な値は次のとおりです。

• ACTIVE_DIRECTORY - Windows ドメインアカウント

• WINDOWS - Windows ローカルアカウント

• LINUX - Linux アカウント

• SQL_SERVER - SQL Server データベース

• ORACLE - Oracle データベース

• MYSQL - MySQL データベース

• DB2 - DB2 データベース

• HP_UNIX - HP Unix

• SOLARIS - Solaris

• OPENLDAP - OpenLDAP

• POSTGRESQL - PostgreSQL

Region ID (リージョン ID)

ドロップダウンメニューを使用してElevate Privileges with (権限昇格方法)を選択します。権限昇格をスキップするには [なし] を選択します。

注意: Tenable では、権限昇格で su、su+sudo、sudo などの複数のオプションを使用できます。たとえば sudo を選択すると、sudo ユーザー、昇格アカウント名、su と sudo の場所 (ディレクトリ) のフィールドが追加で表示され、これらのフィールドに入力することで QiAnXin による認証と権限昇格をサポートできます。[昇格アカウント名] フィールドは、昇格パスワードが通常のログインパスワードと異なる場合にのみ必要です。

注意: サポートされている権限昇格タイプと各タイプに伴うフィールドの詳細については、Nessus ユーザーガイドまたはTenable Vulnerability Management ユーザーガイドを参照してください。

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Realm (領域)

(Kerberos ターゲット認証が有効な場合は必須) この領域は、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Tenable は、サーバーの SSL 証明書が信頼できる認証局によって署名されたものかどうかを検証します。

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

SSH 経由のシステム認証に使用されるユーザー名

〇

Thycotic シークレット名

Thycotic サーバーのシークレットの値。シークレットには、Thycotic サーバーでシークレット名のラベルが付けられています。

〇

Thycotic Secret Server URL

スキャナーの転送方法、ターゲット、ターゲットディレクトリ。この値は、Thycotic サーバーの [管理者] > [設定] > [アプリケーションの設定] > [シークレットサーバー URL] にあります。

たとえば、次のアドレスがあるとします。https://pw.mydomain.com/SecretServer/

• 転送方法: https はSSL 接続を示します。
• ターゲット: pw.mydomain.com はターゲットアドレスです。
• ターゲットディレクトリ: /SecretServer/ はルートディレクトリです。

〇

Thycotic ログイン名

Thycotic サーバーを認証するためのユーザー名

〇

Thycotic パスワード

Thycotic サーバーを認証するためのパスワード

〇

Thycotic Organization

クエリする企業この値を Thycotic のクラウドインスタンスに使用できます。

✕

Thycotic Domain

Thycotic サーバーのドメイン

✕

秘密鍵を使用する

パスワードを使用しない場合、SSH 接続の鍵を使用します。

✕

SSL 証明書を検証する

Tenable.io でサーバーの SSL 証明書が信頼できる CA によって署名されたかどうかを確認します。

✕

✕

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

スキャンするホストにログインするためのユーザー名

〇

BeyondTrust host

BeyondTrust IP アドレスまたは DNS アドレス

〇

BeyondTrust port

BeyondTrust がリッスンするポート。

〇

BeyondTrust API user

BeyondTrust が提供する API ユーザー

〇

BeyondTrust API key

BeyondTrust が提供する API キー

〇

Checkout duration

BeyondTrust で認証情報のチェックアウト状態を保持する時間 (分)チェックアウトの期間は、Tenable Vulnerability Management における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

注意: BeyondTrust でパスワードの変更間隔を設定し、パスワード変更によって Tenable Vulnerability Managementスキャンが中断されないようにします。スキャン中に BeyondTrust がパスワードを変更すると、スキャンは失敗します。

〇

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Realm (領域)

(Kerberos ターゲット認証が有効な場合は必須) この領域は、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

SSL を使用する

有効にすると、Tenable Vulnerability Management は安全な通信のために IIS を介して SSL を使用します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

警告: このオプションを有効にしないと、送信されるトラフィックは http となり、Beyond Trust サーバーによって受け入れられません。

✕

SSL 証明書を検証する

有効にすると、Tenable Vulnerability Management は SSL 証明書を検証します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

✕

Use private key

有効にすると、Tenable Vulnerability Management はパスワード認証ではなく秘密鍵ベースの認証で SSH 認証を行います。失敗した場合は、パスワードが要求されます。

✕

Use privilege escalation

有効にすると、BeyondTrust は設定された権限昇格コマンドを使用します。何かが返された場合は、それをスキャンに使用します。

✕

✕

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

known_hosts ファイル

なし

SSH known_hosts ファイルをアップロードすると、Tenable Vulnerability Management はこのファイルのホストに対してのみ、ログインを試みます。これにより、既知の SSH サーバーの監査に使用しているものと同じユーザー名とパスワードが、制御できないシステムへのログイン試行に使用されないようにします。

優先ポート

22

ターゲットのシステムで SSH が実行されているポートです。

クライアントバージョン

OpenSSH_5.0

スキャン中に Tenable Vulnerability Management が偽装する SSH クライアントの種類を指定します。

最小限の権限を試行

未選択

動的な権限昇格を有効または無効にします。この機能を有効にすると、Tenable Vulnerability Management は、[昇格した権限がある] オプションが有効になっている場合でも、より権限の低いアカウントでスキャンを実行しようとします。コマンドが失敗すると、Tenable Vulnerability Management は権限を昇格させます。プラグイン 101975 および 101976 では、権限昇格の有無にかかわらず、実行されたプラグインが報告されます。

注意: このオプションを有効にすると、スキャンの実行時間が最長で 30% 長くなる可能性があります。

(必須) Centrify IP アドレスまたは DNS アドレス

注意: Centrify インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

(必須) Tenable Vulnerability Management が Centrify 内のパスワードにアクセスするために使用する URLTenable Vulnerability Management は初期設定で /ServerManage を使用します。

(必須) Centrify で認証情報のチェックアウト状態を保持する時間 (分)

[チェックアウトの期間] は、Tenable Security Center における通常のスキャン期間を超えるように設定し、パスワード変更によって Tenable Vulnerability Management スキャンが中断されないようにします。スキャン中に Centrify がパスワードを変更すると、スキャンは失敗します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

(必須) Arcon IP アドレスまたは DNS アドレス

注意: Arcon インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

(必須) Tenable Security Center が Arcon 内のパスワードにアクセスするために使用する URL

(必須) Arcon で認証情報のチェックアウト状態を保持する時間 (時間)です。チェックアウトの期間は、Tenable Security Center における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

ヒント: Arcon でパスワードの変更間隔を設定し、パスワード変更によって Tenable Security Center スキャンが中断されないようにします。スキャン中に Arcon がパスワードを変更すると、スキャンは失敗します。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

CyberArk Host (CyberArk ホスト)

CyberArk AIM Web サービスの IP アドレスまたは FQDN 名。これは、ホスト、または 1 つの文字列にカスタム URL が追加されたホストにすることができます。

〇

Ports (ポート)

CyberArk API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

AppID

CyberArk API 接続に関連するアプリケーション ID。

〇

CyberArk ホストとの通信に使用される PEM 証明書を含むファイル

注意: Windows Server 2022 以降で CyberArk CCP をセルフホスティングしているお客様は、CyberArk クライアント証明書の認証の問題に関する Tenable のコミュニティの投稿に記載されているガイダンスに従ってください。

✕

○ (秘密鍵が適用されている場合)

○ (秘密鍵が適用されている場合)

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。デフォルトでは、Tenable は 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) Kerberos ターゲット認証が属するドメイン (該当する場合)。

〇

CyberArk API 認証情報を取得する方法。[アドレス]、[識別子]、[パラメーター]、または [ユーザー名] のいずれかです。

注意: [パラメーター] オプションの詳細については、パラメーターオプションの表を参照してください。

注意: ユーザー名のクエリ頻度は、ターゲットごとにクエリ 1 回です。識別子のクエリの頻度は、チャンクごとにクエリ 1 回です。この機能では、すべてのターゲットに同じ識別子が必要です。

([Get credential by] がユーザー名に設定されている場合) パスワードを要求する CyberArk ユーザーのユーザー名。

認証情報を取得するべき CyberArk のセーフ。

Use SSL (SSL を使用する)

有効にすると、スキャナーは安全な通信のために IIS を介して SSL を使用します。CyberArk が IIS を介した SSL をサポートするよう設定されている場合、このオプションを有効にします。

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、スキャナーは SSL 証明書を検証します。CyberArk が安全な通信のために IIS によって SSL をサポートするように設定されており、証明書を検証する場合、このオプションを有効にします。

✕

CyberArk Host (Delinea ホスト)

ユーザーの CyberArk インスタンスの IP アドレスまたは FQDN 名。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

〇

Ports (ポート)

CyberArk API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

〇

CCP Host (CCP ホスト)

ユーザーの Cyber Ark CCP コンポーネントの IP アドレスまたは FQDN 名。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

✕

CCP Port (CCP ポート)

Cyber Ark CCP (AIM ウェブサービス) API が通信するポート。Tenable はデフォルトで 443 を使用します。

注意: PVWA と CCP を別々のサーバーでホストしているお客様は、このフィールドを PVWA ホストに対してのみ使用する必要があります。

✕

AppID

CyberArk API 接続に関連付けられているアプリケーション ID。

〇

Safe (セーフ)

ユーザーは、オプションで Safe ボックスを指定してアカウント情報を収集し、パスワードをリクエストできます。

AIM Web Service Authentication Type (AIM ウェブサービス認証のタイプ)

この機能では、2 つの認証方法が確立されています。IIS 基本認証と証明書認証です。証明書認証は、暗号化することも非暗号化することもできます。

〇

CyberArk PVWA ウェブ UI ログイン名

CyberArk ウェブコンソールにログインするためのユーザー名。これは、PVWA REST API に認証したり、アカウント情報を一括収集したりする際に使用されます。

〇

CyberArk PVWA ウェブ UI ログインパスワード

CyberArk ウェブコンソールにログインするためのユーザー名のパスワード。これは、PVWA REST API に認証したり、アカウント情報を一括収集したりする際に使用されます。

〇

CyberArk プラットフォーム検索文字列

アカウント情報を一括収集するために PVWA REST API クエリパラメーターで使用される文字列。たとえば、UnixSSH Admin TestSafe と入力すると、TestSafe というセーフにある、ユーザー名 Admin を含むすべての Windows プラットフォームのアカウントを収集できます。

注意: これは完全一致ではないキーワード検索です。精度を向上させるために、CyberArk でカスタムプラットフォーム名を作成し、このフィールドにその値を入力することをお勧めします。

Use SSL (SSL を使用する)

有効にすると、スキャナーは安全な通信のために IIS を介して SSL を使用します。CyberArk が IIS を通して SSL をサポートするよう設定されている場合、このオプションを有効にします。

〇

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、スキャナーは SSL 証明書を検証します。CyberArk が IIS を通して SSL をサポートするように設定されており、証明書を検証する場合、このオプションを有効にします。

✕

ユーザー名

ターゲットシステムのユーザー名

〇

✕

ドメイン

ユーザー名が属するドメイン

✕

Central Credential Provider ホスト

CyberArk Central Credential Provider の IP/DNS アドレス。

〇

Central Credential Provider ポート

CyberArk Central Credential Provider がリッスンするポート

〇

Central Credential Provider ユーザー名

ボールトユーザー名。CyberArk Central Credential Provider が基本認証を使用するように設定されている場合に基本情報を使用します。

✕

Central Credential Provider パスワード

ボールトパスワード。CyberArk Central Credential Provider が基本認証を使用するように設定されている場合に基本情報を使用します。

✕

Safe

取得する認証情報が格納されていた CyberArk Central Credential Provider サーバー上の金庫

〇

✕

✕

✕

AppId

CyberArk Central Credential Provider でターゲットパスワードを取得するためのアクセス許可を割り当てられた AppId

〇

フォルダー

取得する認証情報が格納されている CyberArk Central Credential Provider サーバー上のフォルダー

〇

ポリシー ID

CyberArk Central Credential Provider から取得する認証情報に割り当てられたポリシー ID

✕

SSL を使用する

CyberArk Central Credential Provider が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合

✕

SSL 証明書を検証する

CyberArk Central Credential Provider が IIS 経由で SSL をサポートするように設定されていて、その証明書を検証する場合は、これを有効にします。自己署名証明書の使用方法については、custom_CA.inc ドキュメントを参照してください。

✕

✕

Delinea Login Name (Delinea ログイン名)

Delinea サーバーに認証されるときに使用するユーザー名。

〇

Delinea Password (Delinea パスワード)

Delinea サーバーに認証されるときに使用するパスワード。これは、指定した Delinea Login Name に関連付けられているものです。

〇

Delinea Secret Name (Delinea シークレット名)

Delinea サーバーのシークレットの値。シークレットには、Delinea サーバーでシークレット名のラベルが付けられています。

〇

Delinea Host (Delinea ホスト)

API リクエストに使用する Delinea シークレットサーバー IP アドレス。

〇

Delinea Port (Delinea ポート)

API リクエスト用の Delinea Secret Server ポート。Tenable はデフォルトで 443 を使用します。

〇

Checkout Duration (チェックアウト期間)

Tenable が Delinea からパスワードをチェックアウトする期間。期間は時間単位で、スキャン時間より長くしてください。

〇

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Windows ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) この Kerberos ドメインは、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

Use SSL (SSL を使用する)

Delinea Secret Server が SSL をサポートするように設定されている場合は有効にします。

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Delinea サーバーで SSL 証明書を検証します。

✕

Delinea Host (Delinea ホスト)

Delinea Secret Server ホスト。ここからシークレットをプルします。

〇

Delinea ポート

API リクエスト用の Delinea Secret Server ポート。Tenable はデフォルトで 443 を使用します。

〇

Delinea Authentication Method (Delinea 認証方式)

認証に、認証情報と API キーのどちらを使用するかを示します。デフォルトでは、[認証情報] が選択されています。

〇

Delinea サーバーに認証されるときに使用するユーザー名。

〇

〇

〇

指定されたフォルダー ID でアカウントにクエリを実行します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

Search Text (検索テキスト)

指定された検索テキストに一致するアカウントにクエリを実行します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

✕

Search Field (検索フィールド)

指定された検索テキストを使用して検索するフィールド。指定しない場合、クエリは name フィールドを検索します。このオプションは、クエリモードが [シンプル] に設定されている場合にのみ使用できます。

✕

✕

〇

✕

〇

✕

Hashicorp Vault IP アドレスまたは DNS アドレス。

注意: Hashicorp Vault インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

インスタンスに接続するための認証タイプとして、[App Role] (アプリロール) または [Certificates] (証明書) を指定します。

[証明書] を選択すると、[Hashicorp Client Certificate] (Hashicorp クライアント証明書) (必須) および [Hashicorp Client Certificate Private Key] (Hashicorp クライアント証明書の秘密鍵) (必須) の追加オプションが表示されます。クライアント証明書と秘密鍵にそれぞれ適切なファイルを選択してください。

App Role を構成したときに Hashicorp Vault によって生成される GUID です。

認証エンドポイントへのパス/サブディレクトリ。This is not the full URL. (これは完全な URL ではありません。)例:

/v1/auth/approle/login

〇

Tenable Vulnerability Management バージョン: KV1、KV2、AD、LDAP。Tenable Vulnerability Management バージョンの詳細については、Tenable Vulnerability Management のドキュメントを参照してください。

(KV1) Tenable Vulnerability Management が KV1 エンジンへのアクセスに使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(KV2) Tenable Vulnerability Management が KV2 エンジンにアクセスするために使用する URL です。

例: /v1/kv_mount_name。末尾の / なし

注意: 追加の文字列/セグメントである data が KV v2 ストアの Vault に対して行われた読み取りリクエストに挿入されるため、KV2 エンジン URL の秘密へのパスを使用することはできません。[エンジン URL] フィールドには、秘密へのパスではなく、KV マウントの名前のみを入力します。

注意: data セグメントを自分で含める必要はありません。秘密名/パスに含めると、Vault への読み取り呼び出しに無効な /data/data が含められます。

(AD) Tenable Vulnerability Management が Active Directory エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

(LDAP) Tenable Vulnerability Management が LDAP エンジンにアクセスするために使用する URL です。

例: /v1/path_to_secret。末尾の / なし

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Linux または Unix ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須。) このホストは、ユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。デフォルトでは、Tenable は 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (Windows) (ドメイン (Windows))

(Kerberos ターゲット認証が有効な場合は必須。) Kerberos ターゲット認証が属するドメイン (該当する場合)。

〇

レルム (SSH)

(Kerberos ターゲット認証が有効な場合は必須。) このレルムは、通常ターゲットのドメイン名として記載されている認証ドメインです (例: example.com)。

〇

スキャンの実行時に追加の権限を使用するには、su や sudo などの権限昇格手法を使用します。

注意: Tenable では、権限昇格で su、su+sudo、sudo などの複数のオプションを使用できます。たとえば sudo を選択すると、sudo ユーザー、昇格アカウント名、su および sudo の場所 (ディレクトリ) のフィールドが追加で表示され、これらのフィールドに入力することで Tenable Vulnerability Management による認証と権限昇格をサポートできます。権限昇格を完了するには、[昇格アカウント名] フィールドに入力する必要があります。

注意: サポートされている権限昇格タイプと各タイプに伴うフィールドの詳細については、Nessus ユーザーガイドおよびTenable Vulnerability Management ユーザーガイドを参照してください。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

ユーザー名

なし

ターゲットシステムのユーザー名

〇

パスワード

なし

ターゲットシステムのパスワード

〇

キー配布センター (KDC)

なし

ユーザーにセッションチケットを提供するホスト

〇

KDC ポート

88

KDC がポート 88 以外で動作している場合に、Tenable Vulnerability Management に KDC への接続先を指定します。

✕

KDC Transport

TCP

KDC サーバーにアクセスする方法

注意: [KDC Transport] を [UDP] に設定した場合は、ポート番号も変更する必要があります。実装に応じて、KDC UDP プロトコルはデフォルトでポート 88 または 750 を使用するためです。 

✕

ドメイン

なし

KDC が管理する Windows ドメイン。

〇

〇

✕

Lieberman の IP/DNS アドレス。

注意: Lieberman インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

〇

〇

〇

〇

Lieberman のオーセンティケーターに使用されるエイリアス。この名前は Lieberman で使用される名前に一致する必要があります。

注意: このオプションを使用する場合は、[Lieberman ユーザー] オプションにドメインを追加してください (例: domain\user)。

Lieberman ホストとの通信に使用される PEM 証明書を含むファイル。

注意: このオプションを使用する場合は、[Lieberman ユーザー]、[Lieberman パスワード]、[Lieberman 認証] の各フィールドに情報を入力する必要はありません。

Lieberman が安全な通信のために IIS チェックによって SSL をサポートするように設定されている場合。

✕

Lieberman が IIS 経由で SSL をサポートするように設定されていて、その証明書を検証する場合は、これを有効にします。自己署名証明書の使用方法については、custom_CA.inc ドキュメントを参照してください。

✕

✕

ユーザー名

ターゲットシステムのユーザー名

〇

Hash

使用するハッシュ

〇

ドメイン

ユーザー名が属する Windows ドメイン

✕

ユーザー名

ターゲットシステムのユーザー名

〇

Hash

使用するハッシュ

〇

ドメイン

ユーザー名が属する Windows ドメイン

✕

ユーザー名

ターゲットシステムのユーザー名

〇

パスワード

ターゲットシステムのパスワード

〇

ドメイン

ユーザー名が属する Windows ドメイン

✕

QiAnXin Host (QiAnXin ホスト)

QiAnXin ホストの IP アドレスまたは URL。

〇

QiAnXin Port (QiAnXin ポート)

QiAnXin API が通信に使用するポート。Tenable はデフォルトで 443 を使用します。

〇

QiAnXin API Client ID (QiAnXin API クライアント ID)

QiAnXin PAM で作成された埋め込みアカウントアプリケーションのクライアント ID。

〇

QiAnXin API Secret ID (QiAnXin API 秘密 ID)

〇

✕

Username (ユーザー名)

〇

Host IP (ホスト IP)

✕

Platform (プラットフォーム)

使用するアカウントを含む資産のプラットフォーム (資産タイプに基づく) を指定します。指定しない場合、認証情報のタイプに基づいてデフォルトのターゲットが使用されます (たとえば、Windows 認証情報の場合、デフォルトは WINDOWS です)。可能な値は次のとおりです。

• ACTIVE_DIRECTORY - Windows ドメインアカウント

• WINDOWS - Windows ローカルアカウント

• LINUX - Linux アカウント

• SQL_SERVER - SQL Server データベース

• ORACLE - Oracle データベース

• MYSQL - MySQL データベース

• DB2 - DB2 データベース

• HP_UNIX - HP Unix

• SOLARIS - Solaris

• OPENLDAP - OpenLDAP

• POSTGRESQL - PostgreSQL

✕

Region ID (リージョン ID)

複数のリージョンを使用している場合のみ。

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Windows ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) この Kerberos ドメインは、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

✕

Verify SSL Certificate (SSL 証明書の検証)

有効にすると、Tenable は、サーバーの SSL 証明書が信頼できる認証局によって署名されたものかどうかを検証します。

✕

ユーザー名

SSH 経由のシステム認証に使用されるユーザー名

〇

Domain (ドメイン)

ユーザー名が属するドメイン

✕

Thycotic シークレット名

Thycotic サーバーのシークレットの値。シークレットには、Thycotic サーバーでシークレット名のラベルが付けられています。

〇

Thycotic Secret Server URL

スキャナーの転送方法、ターゲット、ターゲットディレクトリ。この値は、Thycotic サーバーの [管理者] > [設定] > [アプリケーションの設定] > [シークレットサーバー URL] にあります。

たとえば、次のアドレスがあるとします。https://pw.mydomain.com/SecretServer/

• https は SSL 接続を示します。
• pw.mydomain.com はターゲットアドレスです。
• /SecretServer/ はルートディレクトリです。

〇

Thycotic ログイン名

Thycotic サーバーを認証するためのユーザー名

〇

Thycotic パスワード

Thycotic サーバーを認証するためのパスワード

〇

Thycotic Organization

クエリする企業この値を Thycotic のクラウドインスタンスに使用できます。

✕

Thycotic Domain

Thycotic サーバーのドメイン

✕

SSL 証明書を検証する

Tenable.io でサーバーの SSL 証明書が信頼できる CA によって署名されたかどうかを確認します。

✕

ユーザー名

スキャンするホストにログインするためのユーザー名

〇

✕

BeyondTrust host

BeyondTrust IP アドレスまたは DNS アドレス

〇

BeyondTrust port

BeyondTrust がリッスンするポート。

〇

〇

BeyondTrust API key

BeyondTrust が提供する API キー

〇

Checkout duration

BeyondTrust で認証情報のチェックアウト状態を保持する時間 (分)チェックアウトの期間は、Tenable Vulnerability Management における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

注意: BeyondTrust でパスワードの変更間隔を設定し、パスワード変更によって Tenable Vulnerability Managementスキャンが中断されないようにします。スキャン中に BeyondTrust がパスワードを変更すると、スキャンは失敗します。

〇

Kerberos Target Authentication (Kerberos ターゲット認証)

有効にした場合、Kerberos 認証を使用して、指定された Windows ターゲットにログインします。

✕

Key Distribution Center (KDC) (キー配布センター (KDC))

(Kerberos ターゲット認証が有効な場合は必須) このホストがユーザーにセッションチケットを提供します。

〇

KDC Port (KDC ポート)

Kerberos 認証 API が通信するポート。Tenable はデフォルトで 88 を使用します。

✕

KDC Transport

KDC は、Linux 実装ではデフォルトで TCP を使用します。UDP では、このオプションを変更します。KDC Transport の値を変更する必要がある場合、KDC UDP は実装に応じてデフォルトでポート 88 または 750 を使用するため、ポートも変更する必要があります。

✕

Domain (ドメイン)

(Kerberos ターゲット認証が有効な場合は必須) この Kerberos ドメインは、通常ターゲットのドメイン名として記載されている認証ドメインです。

〇

SSL を使用する

有効にすると、Tenable Vulnerability Management は安全な通信のために IIS を介して SSL を使用します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

警告: このオプションを有効にしないと、送信されるトラフィックは http となり、Beyond Trust サーバーによって受け入れられません。

✕

SSL 証明書を検証する

有効にすると、Tenable Vulnerability Management は SSL 証明書を検証します。このオプションを有効にするには、BeyondTrust で IIS を使用して SSL を設定する必要があります。

✕

Never send credentials in the clear (暗号化されていない認証情報を送信しない)

有効

デフォルトでは、セキュリティ上の理由からこのオプションは有効になっています。

NTLMv1 認証を使用しない

有効

[NTLMv1 認証を使用しない] オプションが無効になっている場合、理論的には、NTLM バージョン 1 プロトコル経由でドメイン認証情報を使用し、Tenable Vulnerability Management を誘導して Windows Server へのログインを試みることが可能です。これにより、リモートの攻撃者は Tenable Vulnerability Management から取得したハッシュを使用できます。このハッシュは解読され、ユーザー名またはパスワードが特定される可能性があります。また、その他のサーバーに直接ログインするために使用される可能性もあります。スキャン時に [NTLMv2 のみ使用] 設定を有効にすると、Tenable Vulnerability Management は強制的に NTLMv2 を使用します。これにより、悪意のある Windows サーバーが NTLM を使用してハッシュを受信することを防ぎます。NTLMv1 は安全でないプロトコルであるため、このオプションはデフォルトで有効になっています。

スキャン中にリモートレジストリを有効にする

無効

このオプションは、スキャン対象のコンピューターでリモートレジストリサービスが実行されていない場合に、それを開始するよう Tenable Vulnerability Management に指示します。Tenable Vulnerability Management が Windows ローカルチェックプラグインを実行するには、このサービスが実行されている必要があります。

スキャン中に管理共有を有効にする

無効

このオプションにより、Tenable Vulnerability Management は管理者権限で読み取り可能な特定のレジストリエントリにアクセスできます。

有効になっている場合、スキャナーによって Windows Server サービスが一時的に有効になります。これによって、コンピューターはネットワーク上のファイルと他のデバイスを共有できます。スキャンが完了すると、サービスは無効になります。

デフォルトでは、Windows システムによって Windows Server サービスは無効になっており、この設定を有効にする必要はありません。ただし、ご利用の環境で Windows Server サービスを無効にし、SMB 認証情報を使用してスキャンする場合は、スキャナーがリモートでファイルにアクセスできるようにこの設定を有効にする必要があります。

(必須) Centrify IP アドレスまたは DNS アドレス

注意: Centrify インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

(必須) Tenable Vulnerability Management が Centrify 内のパスワードにアクセスするために使用する URLTenable Vulnerability Management は初期設定で /ServerManage を使用します。

(必須) Centrify で認証情報のチェックアウト状態を保持する時間 (分)

[チェックアウトの期間] は、Tenable Security Center における通常のスキャン期間を超えるように設定し、パスワード変更によって Tenable Vulnerability Management スキャンが中断されないようにします。スキャン中に Centrify がパスワードを変更すると、スキャンは失敗します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

(必須) Arcon IP アドレスまたは DNS アドレス

注意: Arcon インストールがサブディレクトリにある場合は、サブディレクトリパスを含める必要があります。たとえば、IP アドレスまたはホスト名/サブディレクトリパスの形式で入力します。

(必須) Tenable Security Center が Arcon 内のパスワードにアクセスするために使用する URL

(必須) Arcon で認証情報のチェックアウト状態を保持する時間 (時間)です。チェックアウトの期間は、Tenable Security Center における通常のスキャン期間を超えるように設定します。新しいスキャンが開始したときに過去のスキャンのパスワードがまだチェックアウトされている場合、新しいスキャンは失敗します。

ヒント: Arcon でパスワードの変更間隔を設定し、パスワード変更によって Tenable Security Center スキャンが中断されないようにします。スキャン中に Arcon がパスワードを変更すると、スキャンは失敗します。

この認証情報を他の認証情報よりも先に試行する IP または CIDR ブロックを指定します。複数の IP または CIDR ブロックを指定する場合は、コンマまたはスペース区切りのリストを使用します。

この設定を使用すると、選択したターゲットで成功する認証情報が優先されるため、スキャン時間を短縮できます。たとえば、スキャンで指定された 100 の認証情報のうち、59 番目の認証情報で認証に成功するとします。すると、最初の 58 の認証情報での認証が失敗するまで 59 番目の認証は行われません。[認証情報を優先するターゲット] を使用すると、成功した認証情報を最初に使用するようにスキャンを設定するので、スキャンがターゲットにより速くアクセスできます。

LAPS ホストアドレス

Active Directory をホストし、LAPS を管理するドメインコントローラーの IP アドレス。

〇

LAPS ホストポート

LAPS ホストとの通信に使用されるポート。デフォルトのポートは 445 です。

✕

Username (ユーザー名)

Active Directory から Windows LAPS 認証情報を取得するアクセス許可を持つアカウントのユーザー名。

〇

[ユーザー名] フィールドで指定されたアカウントのパスワード。