脆弱性管理プラットフォーム Tenable.io

Tenable.ioとは

Tenable.io Vulnerability Management（以下、Tenable.io）は、Tenable Network Security社の先進的なNessus脆弱性評価テクノロジーを基盤として構築されたクラウド型の脆弱性管理プラットフォームです。

脆弱性対策における課題

自社組織内には管理されていないIT資産（サーバー機器、ネットワーク機器など）が存在し、適切なリスク管理が行えない
組織のIT資産は、日々新たな脅威にさらされており、年に1回の脆弱性診断ではセキュリティを維持することが難しい
管理すべきIT資産が多く、IT資産全体のセキュリティ状態を正確に把握できない
検知される脆弱性が多く、対策すべき脆弱性の優先順位付けに時間がかかる

Tenable.ioで実現できること

自社組織が保有するIT資産に対する継続的な脆弱性スキャン、およびスキャン結果の評価・分析を行うことで、IT資産のセキュリティ状態やコンプライアンスの準拠状況を可視化し、脆弱性を適切に管理することができます。

脆弱性管理のライフサイクル

Tenable.ioの特長と機能

① 幅広いIT環境に対応した複数スキャナをサポート

Tenable.ioでは、お客さまのIT環境にあわせ、以下の3種類のスキャナをサポートしています。

スキャナ種別	スキャン方法	特長
Nessusスキャナ	クラウド上や、内部ネットワーク上に配置して使用	ネットワーク経由でスキャンを行うことで、ネットワークに公開しているサービスの脆弱性の検知が可能
Nessusエージェント	Windows、Mac、Linuxなどのシステムにインストールして使用	ネットワーク経由のスキャンでは検知できないシステム内の脆弱性の検知が可能
Nessusネットワークモニタ	ネットワーク機器に接続し、ネットワークトラフィックをモニタリングする	IoTなどの機器に対して負荷をかけないスキャンの実施や、組織内に存在する未管理端末の検知が可能

Tenable.ioの各スキャナの配置イメージ

② 脆弱性情報を常時収集し、脆弱性のプラグイン（攻撃パターン情報）を自動で最新化

脆弱性情報を常時収集し、MITRE社が脆弱性情報（CVE発番）を公開した後、24時間以内を目安に脆弱性のプラグインを自動で最新化します。これにより、ゼロデイ攻撃など新たな脅威に対しても早期の対応が可能になり、攻撃やマルウェア感染のリスクを低減します。

MITRE社：世界共通で使用されている脆弱性識別子「CVE」の採番を行っている米国の非営利研究団体
NVD：National Vulnerability Databaseの略。NIST（米国国立標準技術研究所）が管理している脆弱性情報データベース

③ 業界初の優先対応脆弱性予測機能の実装

Tenable.ioでは、業界初となる優先対応脆弱性予測機能を実装し、脆弱性の対策優先度付けに独自の評価指標（VPR：Vulnerability Priority Rating）によるスコアリングを行います。本機能により、脅威に基づく脆弱性の優先度付けが可能となり、早期で対処が必要な脆弱性を3%まで絞り込むことで、対応までの期間を大幅に短縮します。

150

7つの異なるカテゴリー^※、150の異なる要素を、独自のデータサイエンスにもとづいて分析。

※ 過去の脅威ソース, 過去の脅威パターン, 脆弱性測定基準, 脆弱性メタデータ, 過去の脅威, 影響を受けるベンダー, エクスプロイト可用性

109K

109,000を超える脆弱性を継続的に追跡調査し、リスクの変動にリアルタイムに対応。

28日

28日以内にエクスプロイトが利用可能になると予測される脆弱性を優先対象と判定。

97%

広く採用されているCVSSと比較して、緊急度が高い脆弱性の割合を97%削減。

④ 高度なサーチ機能によるデータの分析

Tenable.ioで収集したIT資産や検知した脆弱性の情報に対して、用途にあわせたさまざまな条件で、情報の抽出が行えるため、データ分析にかかる運用コストを削減できます。

特定のIT資産の確認: IT資産に対して、ロケーションや部署名、システム管理者名など任意のタグを付与することで、タグに付与された情報をもとに該当するIT資産を検索することが可能です。
特定の脆弱性の調査: 検知した脆弱性の中から、キーワード検索により特定の脆弱性の検索や、サーチ機能によりCVE番号や攻撃コードの有効性などを条件にして脆弱性の検索が可能です。
自社組織に内在する特定の脆弱性を瞬時に把握。時系列の表示、優先度の表示により対応状況、対応有無の即時判断が可能です。
改善された脆弱性・再発した脆弱性の確認: 検知された脆弱性において、新規に発見された脆弱性か、再発した脆弱性なのかを確認できます。また、脆弱性がどの程度改善されたかを把握することが可能です。
ポリシー違反端末の調査: 自社組織において、事前に定義したポリシーに違反した端末を検索することが可能です。