Tenable Web App Scanning を使い始める

ウェブアプリケーションの脆弱性のスキャンと、Tenable Nessus、Tenable Nessus Agents または Tenable Nessus Network Monitor の従来の脆弱性のスキャンの間には、大きな違いがあります。その結果、Tenable Web App Scanning では、脆弱性の評価と管理に対して異なるアプローチが必要です。

Tenable Web App Scanning アプリケーショントポロジー

Tenable Web App Scanning は、従来の Tenable Nessus ベースのウェブアプリケーションスキャンポリシーよりも大幅に改善されています。

• Tenable Nessus のレガシースキャンテンプレートは、Javascript、HTML 5、AJAX、シングルページアプリケーション (SPA) などの最新のウェブアプリケーションフレームワークと互換性がないので、ウェブアプリケーションのセキュリティ状況を完全には理解できない可能性があります。

• Tenable Web App Scanning は、最新のウェブアプリケーションに対応した、包括的な脆弱性スキャンを提供します。その正確な脆弱性カバレッジによって誤検出や検出漏れが最小限に抑えられ、セキュリティチームはウェブアプリケーションの真のセキュリティリスクを把握できます。本番環境のウェブアプリケーションで中断や遅延が発生しないように、安全な外部スキャンを提供します。

• Tenable Web App Scanning は、リージョン固有のクラウドスキャナーを使用します。ウェブアプリケーションの分析範囲に公開されている資産のみが含まれている場合は、それ以上のスキャナーは必要はありません。ウェブアプリケーションが公開されていない場合、インストール計画は、ウェブアプリケーションを実行する場所や自社のデータストレージのニーズによって異なります。

準備

開始する前に、Tenable Web App Scanning の基本をよく理解し、実装と設定のデプロイメント計画と分析ワークフローを作成します。

詳細およびガイド付き製品ウォークスルーについては、弊社の Tenable 製品教育の YouTube チャネルを参照してください。これらの短い説明ビデオでは、脆弱なウェブアプリケーションを保護するための上記の認証手順および調整手順を含む、Tenable Web App Scanning を最大限に活用する方法を説明しています。

インストール

1. デプロイメントの準備

   1. Tenable Vulnerability Management プラットフォームおよび Tenable Web App Scanning アプリケーションへの必要なアクセス権を確認します。結果をスキャンおよび表示するための Tenable Web App Scanning への適切なアクセス権を持つユーザーを作成します。ロールベースアクセスコントロール (RBAC) を設定すると、ユーザーアクセスを許可できるようになります。設定には管理者の認証情報が必要です。

   2. ローカルスキャナーが必要かどうかを判断します。ローカルまたはクラウドベースのスキャナーをデプロイすると、それらを Tenable Vulnerability Management に接続できます。これらのスキャナーは、インターネットに接続するウェブアプリケーション、開発環境、または本番前の環境で使用できます (適切なファイヤーウォールルールが適用される場合)。

      Tenable Core + Tenable Web App Scanning スキャナーは、VMware (.ova)、Hyper-V (.zip)、または物理マシン (.ISO) へのインストールをサポートしています。これをローカルのオンプレミスまたはクラウドベースの開発環境にデプロイして、インターネットに直接接続されていないウェブアプリケーションをスキャンできます。VMware/vCenter の詳細については、VMware 統合ドキュメントを参照してください。

      ローカルスキャナーはここからダウンロードできます。次のアクセスが揃っていることを確認してください。

      • Tenable Vulnerability Management と通信するためのポート 443 経由の https://cloud.tenable.com への送信アクセス
      • 管理インターフェースへのブラウザアクセス用のポート 8000 での HTTPS 経由の着信アクセス

2. 特定と計画

   1. セキュリティ目標を定義します。なぜスキャンしているのか、何を達成したいのか、何をもって成功とするかを定義します。

   2. スキャンの優先度を決定します。クイックスキャンの範囲内にあるより詳細なスキャンが必要なターゲットウェブアプリケーションを特定します。

   3. 完全なカバレッジを確保します。スキャンする必要がある他の (特定されていない可能性がある) ウェブサーバー、サービス、アプリケーションがあるかどうかと、それらを見つける方法を決定します。

3. ドキュメンテーション

   1. すべてのデータを記録します。デプロイメント要件の完全な詳細、デプロイされたスキャナーリソース (該当する場合)、スキャン用に特定されたウェブアプリケーション、スキャンに適用した調整と関連する根拠をキャプチャするドキュメントを作成および管理します。

   2. 検出結果を伝達します。受信者、詳細レベル、レポート配布の頻度を特定するためのレポート要件を確立します。チケットシステムが脆弱性の詳細を必要とする一方で、開発者は PDF を必要とする場合があります。経営者は、全体的なエクスポージャーとリスク低減のより高いレベルのサマリーを好むことがよくあります。

スキャンの設定

分析ワークフローを準備し、ウェブアプリケーション資産の範囲を決定した後で、それらの資産のスキャンを設定して実行することができます。

Tenable では、より詳細なスキャン用の設定を判断できるように、最初に大まかな概要スキャンを実行することを推奨しています。

1. 次のいずれかを行います。

   • 概要スキャンを設定して実行する方法

     1. 次のいずれかを行います。

        • 概要スキャンを実行して、どのウェブアプリケーションを Tenable Web App Scanning がデフォルトでスキャンすべきか判断するには、[概要] スキャンテンプレートを使用してスキャンを作成します。
        • 概要スキャンを実行してウェブアプリケーションが一般的なセキュリティの業界標準と互換性があるかどうかを判断するには、[設定監査] スキャンテンプレートを使用してスキャンを作成します。

        注意: Tenable が提供する概要スキャンのスキャンテンプレートでは認証は必要ありません。ただし、これらのスキャンから得られたプラグイン結果は、より詳細なスキャンを実行する際にウェブアプリケーションで必要になる認証情報のタイプを特定するのに役立ちます。

     2. スキャン結果とスキャン戦略を確認し、標準のウェブアプリケーションスキャンで使うときに調整が必要な設定を判断します。
   • 標準スキャンを設定して実行する方法

     1. 評価のニーズに最も適したテンプレートを使用してスキャンを作成します。
        • 包括的な脆弱性スキャンを実行するには、[スキャン] テンプレートを選択します。
        • スキャンを実行して、ウェブアプリケーションが SSL/TLS 公開鍵暗号化を適切に実装しているかどうかを判断するには、[SSL TLS] テンプレートを選択します。

     2. (オプション) ユーザーアクセス許可とプラグインの設定を含むスキャン設定をします。

        注意: 標準スキャンに認証情報オプションを設定することもできます。ただし、認証情報が必要になるのは、ウェブアプリケーションの認証で必要とされる場合のみです。

     3. スキャンのステータスを監視します。
2. スキャンを起動します。
3. スキャン結果を表示して分析します。

   • 検出結果を分析します。

   • 詳細なスキャン、調整と最適化、ページタイムアウトの確認、ページにアクセスする時間の長さ、エラー、または反復的なコンテンツを削除する機会への入力として、クロールされたサイトマップを使用します。

   • より高い優先度の問題がないか「スキャンノート」を確認します。これにより、スキャン改善の提案が提供される可能性があります。

4. ビジネスニーズに基づいてスキャンをさらに調整します。

   1. 詳細設定を試します。前の手順で収集したデータに基づいて、いくつかの場所でスキャン調整を実行します。これで、対象のウェブアプリケーション用にスキャンを更新してデプロイできます。詳細は、

      を参照してください。
      • 範囲設定
      • 評価設定
      • 詳細設定

   Tenable Web App Scanning のスキャン調整のデモについては、次の動画をご覧ください。

追加の設定

必要に応じて他の機能を設定し、既存の設定を調整します。

1. スキャンに認証情報を追加します。
   • サーバーの HTTP プロトコルに必要な方法を使用してスキャンでウェブアプリケーションに認証する必要がある場合は、HTTP サーバーベースの認証を追加します。
   • ウェブアプリケーションに必要な方法を使用してスキャンでウェブアプリケーションに認証する必要がある場合は、ウェブアプリケーションの認証を追加します。

2. スキャン設定、ユーザーアクセス許可、プラグイン設定などのカスタム調整をさらに検討します。

   ヒント: 各アプリケーションは固有なものです。スキャンを実行し結果を分析すると、スキャンを最も効率的に実行し、アプリケーションのすべての領域をカバーするのに役立つ手法が明らかになります。ウェブアプリケーションのサイズまたは複雑さによっては、スキャンが完了しても、結果を分析してさらに最適化することができます。Tenable では、スキャンが完了した後の「スキャンノート」とサイトマッププラグインへの添付ファイルを定期的に確認することを強く推奨しています。

Tenable One に展開する

Tenable Web App Scanning を Tenable One と統合し、次の機能を活用します。

• Lumin Exposure View では、重要なビジネスサービス、プロセス、および機能について、ビジネスに合わせた Cyber Exposure スコアを取得することで重要なビジネス上の文脈を得て、SLA に照らしてデリバリを追跡します。ウェブアプリケーションの総合的なリスクを追跡して、ウェブアプリケーションのリスクが Cyber Exposure Score 全体に及ぼす影響を把握します。

  • グローバルエクスポージャーカードを確認して、総合的なスコアを把握します。[Per Exposure] (サイバーエクスポージャーごと) をクリックすると、スコアに影響を与えている要因とその程度を把握できます。

  • ウェブアプリケーションのエクスポージャーカードを確認します。

  • Exposure View を設定し、カスタマイズされたカードターゲットを設定し、自社のポリシーに基づいて修正 SLA と SLA 効率を設定します。

  • ビジネス上の文脈 (ウェブアプリの所有者、資産重大度、アプリケーション、内部/外部のウェブサーバー、e コマース/サポートする資産など) に基づいて、カスタムエクスポージャーカードを作成します。

• Tenable Inventory では、関連する攻撃経路、タグ、エクスポージャーカード、ユーザー、関係など、より深い資産インサイトにアクセスして資産インテリジェンスを強化します。総合的な資産リスクと資産重大度を評価する資産のエクスポージャースコアにより、資産のエクスポージャーをより包括的に把握することで、リスクスコアリングを改善します。

  • Tenable Web App Scanning 資産を確認して、インターフェースの戦略的性質を理解します。これは、Tenable Inventory 内でどの機能をいつ使用するかについての予想を立てるのに役立ちます。

  • 使用、編集、ブックマークできる Tenable クエリを確認します。

  • グローバル検索クエリビルダーとそのオブジェクトおよびプロパティについて理解を深めます。後で使用できるようにカスタムクエリをブックマークします。

    ヒント: 利用可能なプロパティを素早く表示するには次のようにします。

    • クエリビルダーで、has と入力します。候補の資産プロパティのリストが表示されます。
    • 列を追加してリストをカスタマイズします。利用可能な列/プロパティのリストが表示されます。
  • 資産の詳細ページにドリルダウンして、資産のプロパティと関連するすべてのコンテキストビューを表示します。

  • (オプション) 異なる資産クラスを組み合わせたタグを作成します。

• Attack Path Analysis では、ウェブアプリ、IT、OT、IoT、ID、ASM などのアタックサーフェスを通過するリスクの高い攻撃経路を露出することでリスクの優先順位付けを最適化し、重大な影響を回避します。緩和策ガイダンスを使用して攻撃経路を遮断するためのチョークポイントを特定することで緩和策を合理化し、AI インサイトを使用して深い専門知識を取得します。

  • Attack Path Analysis ダッシュボード で、脆弱な資産の概要を示すビューを表示します。たとえば、これらの重要資産に至る攻撃経路の数、未解決の検出結果の数とその深刻度、さまざまなソースノードのエクスポージャースコアや ACR ターゲット値のさまざまな組み合わせを持つ経路を表示するマトリクス、トレンドとなっている攻撃経路のリストなどがあります。

    • [上位の攻撃経路マトリクス] を確認し、[上位の攻撃経路] タイルをクリックして、重要資産 (ACR が 7 以上の資産) につながる経路に関する詳細情報を表示します。

    必要に応じてこれらを調整し、最も危険度の高い攻撃経路のデータと検出結果が表示することができます。

  • [検出結果] ページでは、データを高度なグラフ分析および MITRE ATT&CK® フレームワークと組み合わせて検出結果を作成し、1 つ以上の重要資産につながる 1 つ以上の攻撃経路で見られたすべての攻撃手法を確認できます。これにより、資産や情報に対する脅威の影響を発生させそれを増幅させる未知の要素を把握し、 対処することができます。

  • [検出] ページで、次のように攻撃経路クエリを生成し、資産を潜在的な攻撃経路の一部として表示します。

    • ビルトインクエリを使用して攻撃経路を生成する

    • 資産クエリビルダーを使用して資産クエリを生成する

    • 攻撃経路クエリビルダーを使用して攻撃経路クエリを生成する

    その後、クエリ結果リストとインタラクティブグラフを介して、攻撃経路クエリと資産クエリデータを表示して操作できます。