活用事例
【SecOps】VRと脆弱性スキャナーの選定
製造業様
-
脆弱性スキャナーとは
・NVD（National Vulnerability Database）という国際機関が発行している
CVE（Common Vulnerabilities and Exposures）と突合し、リスクレベルをスコア化。
突合時には、様々なリスク要素を踏まえて、リスクを検知。
・スキャナーやスキャンの方法（クレデンシャルスキャン、ノンクレデンシャルスキャン）
によって、検出できるものや、スコア測定ルールが異なる。 -
解決すべき課題
①脆弱性管理対応が属人化している。
②特定の脆弱性のみの対応となっており、全体把握ができていない。
（すべての機器における脆弱性に対して、管理者が対応できていない）
③脆弱性の対応策であるパッチ適用状況のダッシュボード対応を進めているが
あくまで対応に留まっている。 -
解決策
①ServiceNow連携に相応しいスキャナーの選定
選定スキャナー候補：Tenable、Rapid7、Qualys、Tanium
②VR構築
・脆弱性スキャナーのスコアとCMDB内での優先順位スコア（自分たちにとって、何が重要な資産か自動で算出される）の合計スコアを自動算出
・脆弱性情報に基づき、自動でグルーピング
・自動で担当振り分け
・自動でリクエストを作成
・脆弱性対応が終了したことを自動確認
・レポート
