脆弱性対応リリースノート

ServiceNow Store上のSecurity Operations 脆弱性対応アプリケーションのバージョン履歴。

重要:

システム要件とファミリーの互換性の詳細については、ServiceNow Store Web サイトのアプリケーションリストを参照してください。

バージョン履歴

バージョン 25.0.4 - 2025 年 2 月

• 新規：
  • 脆弱性マネージャーワークスペースおよび IT 修復ワークスペースのリストビューで修復タスク (RT) を手動で作成します。
  • アプリセキュリティマネージャーまたはセキュリティチャンピオンは、アプリケーション脆弱性対応アプリケーションの修復タスクから変更要求 (CR) を作成できます。
    • 構成アイテム (CI) として分類されるスキャン済みアプリケーションについて、手動での介入が必要なアプリケーション脆弱性一致アイテム (AVIT) の調査を迅速化します。
    • この機能は、検出されたアプリケーションが CI に関連付けられている場合にのみ使用できます。
    • itil ロールが必要です。
  • ペネトレーションテストワークスペースでのペネトレーションテストアセスメント要求の改善:
    • ペネトレーションテストワークスペースで、ペネトレーションテストの要求と検出結果、およびチームの全体的な進捗状況を監視します。
    • ペネトレーションテストワークスペースの [ペネトレーションテストアセスメント要求] フォームに含まれるアセスメントタイプは、緊急リリース、バグ報奨金プログラム、リリース承認、ワンオフレビュー、およびエグゼクティブの関心です。
    • [リリース承認] フィールドと [リリースノート] フィールドは、ペネトレーションテスト結果の品質とセキュリティの向上に役立ちます。
    • [リリース承認] フィールドは、[適用外] (デフォルト)、承認済み、拒否のステータスをサポートしています。
    • [リリースノート] フィールドに詳細を追加して、承認を正当化します。
  • CI 廃止自動クローズルールは、廃止された CI に関連付けられている VIT をクローズします。
• 変更：
  • [ペネトレーションテストアセスメント要求] の [ペネトレーションテスト結果] タブで、手動で作成された AVIT の [脆弱性] フィールドに共通脆弱性タイプ一覧 (CWE) または共通脆弱性識別子 (CVE) を関連付けることができます。
• 修正済み：
  • システムプロパティ「sn_sec_cmn.risk_score_changes_add_worknote」を有効にすると、リスクスコアが更新されたときにスコア計算に関する詳細が作業メモに自動的に記録されます。
  • 「os」や「netbios」などの検出されたアイテムのフィールドのスキャナー値は、cmdb_ci値よりも優先されます。
  • 統合実行のパフォーマンスレポートでは、例外ルールメトリクスは、その統合実行にルールがどれだけ費やしたかを測定します。
  • 脆弱性マネージャーワークスペースでの修復作業を非アクティブ化/削除するためのプロビジョニング。
  • 修復タスクの概要ページの歪みの問題。
  • IT 修復ワークスペースから脆弱性エントリーを選択したときに修復オーナーで発生する 403 アクセスエラー。
  • 検出されたアイテムのクラウドアカウント名は、スキャナーから更新されたクラウドアカウント名を受信すると更新されます。

バージョン 24.1.5 - 2024 年 12 月

新規:補完コントロール:修復オーナーは、例外管理要求を通じて補完コントロール実証を送信することで、アプリケーション脆弱性一致アイテムまたは修復タスクのリスク評価削減を要求できます。

バージョン 24.0.9 - 2024 年 12 月

• 変更：
  • [延長を要求] ボタンを選択して例外ルールを延長すると、保留期限の日付と例外ルールの有効期限の日付の両方を延長するオプションがあります。
  • 下流のレコードに影響を与えることなく、修復作業を削除または非アクティブ化できるようになりました。
• 修正済み：
  • タグが関連付けられている場合、脆弱性一致アイテムに追加されたタグはワークスペースのリストビューに表示され、[タグ] 列はリストビューに含まれます。
  • 11 月リリース (24.0.6) で導入された脆弱性マネージャーワークスペース内の重複する CVE モジュールリストは削除されました。
  • コピーした URL でワークスペースを開くと、コピーした URL に対応するタブが起動します。
  • 手動で作成されたソリューションは、VIT に優先ソリューションを入力するための「脆弱性ソリューションメトリクスキューの処理」スケジュール済みジョブによって処理されます。

バージョン 24.0.6 - 2024 年 11 月

• 新規：
  • プロパティモジュール:新しいプロパティモジュールがナビゲーションメニューの[管理]セクションに追加されました。このモジュールを使用すると、フラグ値を直接変更できるため、インターフェイスから直接システムプロパティを管理および更新するための分かりやすい方法が提供されます。
  • ワークスペースの検索:レコード番号を使用して効率的に検索し、アサインされたロールに応じて脆弱性マネージャーワークスペースまたは IT 修復ワークスペースのいずれかでレコードを開きます。
  • [すべて] メニューからワークスペースに移動する:「sn_vul_cmn_ws.navigate_to_workspace」システムプロパティが有効になっている場合、[すべて] メニューから脆弱性対応およびアプリケーション脆弱性対応モジュールで事前定義フィルターリンクを選択すると、ロールに基づいて脆弱性マネージャーワークスペースおよび IT 修復ワークスペースでこれらのリンクが自動的に開きます。
  • 保存済みフィルターの可視化の更新:脆弱性マネージャーのワークスペースのホームページで、保存済みフィルターの可視化を 1 回または毎日更新できるようになりました。さらに、これらの可視化をオンデマンドで手動で更新して、最新のデータを反映することもできます。
  • カスタマイズ可能な経過時間の計算:脆弱性一致アイテムとアプリケーション脆弱性一致アイテムの経過時間とクローズ所要時間の計算をカスタマイズして、利用可能な日付フィールドの選択から計算できるようになりました。つまり、[最終検出]、[作成日] などの利用可能な日付フィールドを選択して、それに基づいて [経過時間] と [クローズ所要時間] の値を計算できるようになりました。これらの経過時間計算の設定方法の詳細については、KB1703270 KB 記事を参照してください。
  • ワークスペースのパフォーマンスの向上:glide.ui.list.seismic.omit.count システムプロパティを使用すると、脆弱性マネージャーワークスペースと IT 修復ワークスペースのリストに表示されるレコード/行数を無効にして、大規模なデータセットのパフォーマンスを最適化できます。
  • 詳細なロールベースのアクセス制御:脆弱性マネージャーワークスペース (ウォッチトピックとリストの場合) と IT 修復ワークスペース (リストの場合) のロール管理が強化されました。これにより、特定のユーザーロールに合わせた正確なアクセス制御と構成が可能になります。
  • クラシック UI のすべてのレコードに対してこれらのルールを再評価する代わりに、選択した一連の脆弱性一致アイテムとアプリケーション脆弱性一致アイテムの例外ルールを脆弱性マネージャーワークスペースで直接再評価できるようになりました。
  • アプリケーションペネトレーションテストの改善:
    • アプリケーション脆弱性対応のペネトレーションテストワークフローをネクストエクスペリエンス UI で使用できる新しいワークスペース。
    • ペネトレーションテストワークフローのアンケートを使用して、モバイルアプリケーションセキュリティのペネトレーションテストをモバイルアプリケーションセキュリティ検証標準 (MASVS) の認定基準と調整します。
    • 新しいシステムプロパティ「sn_vul.populate_scanner_solutions」は、サードパーティのスキャナー統合からのソリューションを解析します。
• 変更：
  • サードパーティ統合でスキャナーソリューションを有効にすることで、脆弱性一致アイテムの優先ソリューションのカバー範囲が向上しました。
  • 特に共通プラットフォーム一覧 (CPE) 文字列から派生した部品コンポーネントを分離するために、「部品」というタイトルの新しい列が脆弱なソフトウェア [sn_vul_software] テーブルに追加されました。
• 修正済み:ソフトウェア資産管理 (SAM) による資産エクスポージャーのパフォーマンスの改善。

バージョン 23.0.11 - October 2024

• 重大なデータ整合性の問題とエラー処理/再試行をサポートするための修正。インポート設定を変更する必要はありません。
• 脆弱性対応でのデータモデルの変更:
  • 検出されたアプリケーション [sn_vul_app_release] テーブルに追加されたフィールド:[アクティブ] フィールド (t/f ブール)、[内部アプリの最終確認日]、[前回スキャン完了日]。
  • スキャンサマリー [sn_vul_app_vul_scan_summary] テーブルの [スキャンタイプ] フィールドでサポートされる値:「動的」、「静的」、「手動」、「SCA」、「インタラクティブ分析」
  • 追加されたフィールド:[sn_vul_app_vulnerable_item] の [ソースの元のスキャン ID] には、ソースが検出される元のソース ID が表示されます。

バージョン 23.0.7 - September 2024

修正済み:KB API からの応答がない場合に Microsoft Security Response Center ソリューション統合が失敗する原因となっていた問題が解決されました。

バージョン 23.0.6 - 2024 年 8 月

• 新規：
  • クラシック UI のすべてのレコードについてこれらのプロパティを評価するのではなく、選択した一連の脆弱性一致アイテムとアプリケーション脆弱性一致アイテムのアサイン、修復ターゲット日、修復タスク、およびリスクスコアを脆弱性マネージャーワークスペースで直接評価できるようになりました。
  • リスクスコアとその貢献フィールド (カスタムフィールドを含む) の変更は、リスクスコアが変更されるたびに作業メモに記録されます。これにより、透明性が確保され、リスクスコアの変更の背後にある理由が明確に文書化されるため、監査に役立ちます。
• 変更：
  • 脆弱性とアプリケーション脆弱性一致アイテムの値を修復タスクにロールアップする脆弱性対応の既存のロールアップスケジュール済みジョブは、実行時間を短縮するためにマルチスレッド機能を備えたバックグラウンドジョブに変換されました。
  • 従来のワークフローは、脆弱性対応アプリケーションから削除されました。
• 修正済み：
  • アイテムが一致しない場合の分類ルール参照をクリアします。
  • リストビューの IT 修復ワークスペースの [CopyURL] ボタンアクションを修正して、開いているリストビューの URL をコピーしました。
  • 脆弱性マネージャーワークスペースのさまざまな場所でのテキスト翻訳の問題が修正されました。
  • 脆弱性一致アイテム (VI) が最初に保留され、期限切れ後にジョブによって再オープンされ、同じ VI が誤検出としてマークされている場合、スケジュール済みジョブ [脆弱性一致アイテムとグループの保留の有効期限を確認 (Check Vulnerable Item and Groups Deferment Expiration)] はアイテムを再オープンしません。
  • AVIT 検索結果タイプが PenTest の場合、PenTest ユーザーはリスク評価フィールドの書き込みまたは更新ができます。
  • 保留有効期限が同じ複数の修復タスクのうちの 1 つについて延長が要求されたときに [レビュー中] に移動される問題を解決
  • 例外のアンケートが有効で、誤検出のアンケートが有効になっていない場合、クラシックビューでレコードを誤検出としてマークしようとすると、[例外のアンケートの要求] は表示されません。

バージョン 22.1.3 - June 2024

新規：

• 新規：
  • 除外ルールを作成して、情報などの優先度の低い脆弱性を取り込み中にフィルタリングし、脆弱性一致アイテムの作成を防止できるようになりました。除外ルール機能により、重大度が重大で重大度の高い脆弱性一致アイテムのみが作成されます。この機能により、パフォーマンスが向上する場合があります。
  • アプリケーション脆弱性マネージャーは、古いアプリケーション脆弱性一致アイテムを自動的にクローズする自動クローズルールを作成できます。
  • バックグラウンドジョブフレームワークを使用して、脆弱性一致アイテムとアプリケーション脆弱性一致アイテムの両方の自動クローズ機能をサポートするために、新しいジョブ自動クローズルールプロセッサーが作成されます。
• 削除済み:古い検出の自動クローズジョブは廃止されました。

バージョン 22.0.5 - 2024 年 5 月

• 新規：
  • 脆弱性マネージャーワークスペースのリストビューに、アプリケーション脆弱性一致アイテムの一括編集オプションが含まれるようになりました。これにより、複数のアイテムのステータス、アサイン先グループ、および例外要求を同時に更新できます。
  • システムプロパティ「sn_vul.latest_solutions」が有効になっている場合、優先ソリューションが利用可能なソリューションのリストから生成されていない場合、システムは利用可能な最新のソリューションを自動的に利用します。
  • CISA ランサムウェア レポートが統合ダッシュボードで利用できるようになりました。
  • デフォルトでは、非アクティブなインストールレコードはエクスポージャーアセスメント時に考慮されません。非アクティブなレコードを含めるには、システムプロパティ「sn_vul.filter_inactive_sw_installs」を有効にします。
  • SBOM Core のバージョン 3.0 および SBOM Response のバージョン 3.2 以降の CycloneDX および SPDX 標準の SBOM ワークスペースに SBOM ファイルをアップロードします。
    • XML 形式と JSON 形式は、バージョン 1.4 までの CycloneDX でサポートされています。
    • JSON 形式は、バージョン 2.3 までの SPDX でサポートされています。
  • 脆弱性マネージャーは、自動クローズルールを作成して、古い検出とそれに関連する脆弱性一致アイテムを自動的にクローズできます。
  • Common Security Advisory Framework (CSAF) を活用した新しい汎用フレームワークが導入され、統合を通じてより迅速な情報交換と処理が促進されました。主要なソフトウェア ベンダーは、脆弱性とソリューションを記述するための CSAF 形式を提供しています。ソリューションデータは、ファイルのアップロードまたは API 統合を介してインポートできます。
• 修正済み：
  • Common Vulnerability Reporting Framework (CVRF) 統合によって作成されたソリューションの場合、統合インスタンスが入力されます。
  • BOM エンティティページとコンポーネントページの SBOM ワークスペースでのパフォーマンスが強化されました。SBOM ワークスペースの [ホーム] モジュールと [コンポーネント] モジュールのロード時間が短縮される場合があります。

バージョン 21.1.2 - March 2024

• 新規：

  • 脆弱性一致アイテム (VIT) は、前回のオープン検出からの最新かつ正確なデータを反映します。最後のオープン検出を VIT にロールアップするには、sn_vul.show_last_open_detection システムプロパティを true に設定する必要があります。有効にすると、脆弱性一致アイテム (VIT) の IP アドレス、SSL、ポート、プロトコル、DNS 名、NetBIOS 名、および説明の値が、構成アイテム (CI) の取り込み中および変更中 (CI ルックアップルールの再適用) 中に、前回のオープン検出値で更新されます。

    この更新を既存の VIT に適用するには、[前回のオープン検出値を VIT に更新 (Update Last Open Detection Value To VITs)] スケジュール済みジョブを実行します。これにより、既存のすべての VIT に対して最後のオープン検出値が正しく更新されます。

• 修正済み:取り込み中に Veracode スキャナーからより高いステータスが取得されると、保留された AVIT のステータスが更新される。

バージョン 21.0.3 - 2024 年 2 月

• 新規：
  • 更新されたユーザーエクスペリエンスで対応する保存済みフィルターが自動選択された、脆弱性マネージャーワークスペースのホームページで開くナビゲーションメニューからモジュールを一覧表示します。
  • セキュリティポスチャコントロールアプリケーションによって検出されたエンタープライズ環境のセキュリティギャップに対処し、コンフィグレーションコンプライアンスアプリケーションワークフローを使用してそれらを自動的に優先順位付け、アサイン、解決します。セキュリティポスチャコントロールアプリケーションには、別のサブスクリプションが必要です。
  • 脆弱性対応における RedHat Common Security Advisory Framework (CSAF) の実装。
• 変更：
  • 脆弱性マネージャーワークスペースの脆弱性一致アイテムおよび修復タスクの [概要] タブと [詳細] タブの変更 - ステータスの詳細、更新された参照リンク、および UI セクション。
  • 脆弱性マネージャーが補完コントロールを TPE/脆弱性/CVE に関連付けるための条件。
  • クラシックエクスペリエンス UI でアンケート構成を有効にします。
  • 脆弱性マネージャーワークスペースで一括編集機能を有効にする:複数の脆弱性一致アイテムに対して一度に編集操作を実行するための、[リスト] ページのホスト脆弱性一致アイテムリストの一括編集 UI アクションが追加されました。
  • メール通知で、脆弱性一致アイテムと修復タスクのリンクをクリックすると、ユーザーロールに応じてそれぞれのワークスペースでレコードが開きます。
• 修正済み：
• • IT 修復ワークスペースの変更要求モーダルの問題を修正しました。
  • 検出済みアイテムの CI を一致しないクラスに変更すると、検出済みアイテムの OS フィールドが明確になりません
  • IT 修復ワークスペースの [すべて表示] オプションの問題を修正しました。
  • 手動取り込みの CI ルックアップルールのサポートを再適用します。
  • VIT の最終オープン日フィールドが作成日より古くないように解決しました。
  • IT 修復ワークスペース:ポップアップに含まれるリンクは、ポップアップを閉じる代わりに URL にリダイレクトされます
  • 承認ステータスが自動的に変更され、問題が修正されます。
  • クローズされた脆弱性一致アイテムのアサイン先グループは、修復タスクから更新されません。
  • ワークスペースでの保留延長要求の有効な例外アンケート。
  • Rapid7 Insight VM 脆弱性一致アイテム統合のスキャナーとしてカテゴリを追加しました。
  • sys_dictionaryテーブルに追加されたSn_vul_scanエントリ
  • Microsoft TVM の推奨事項は、脆弱性修復オーナーに表示されます。
  • 修復タスクの例外と誤検出の要求者への空のメール通知は修正されました。
  • VIT の影響を受けるサービスの設定を修正しました。
  • 脆弱性マネージャーワークスペースのウォッチトピックの「リフレッシュ日」の時間を修正しました。
  • 影響を受ける CI の数は、脆弱性マネージャーワークスペースから作成された変更要求で更新されます。
  • 多くの VIT は、RT の一部であっても [修復タスク中] フィールドが false になっています。
  • 個々のレポートをクリックすると、IT 修復ワークスペースのダッシュボードでそのレポートに関連付けられたリストビューが表示されます。
  • 保留 (Deferred) 修復タスクは期限日の 1 日後に再オープンしています。
  • ボタンに「Aria ラベル」を追加し、スクリーンリーダーがテキストを検出して読み上げられるようにしました
  • 検出されたアイテムが空の VIT や検出されたアイテムの CI が空であるなど、無効な VIT の一括編集を制限しています。

バージョン 20.2.4 - January 2024

修正済み:以前は、ユーザーが例外要求が発生すると、保留の延長に関するメール通知も承認者に送信されます。現在、この問題は修正されています。

バージョン 20.2.3 - 2023 年 12 月

新規:First.org Exploit Prediction Scoring System (EPSS) 統合をサポートするためのマイナーな変更。

バージョン 20.0.5 - 2023 年 12 月

• 修正済み：
  • 現在の例外ルールの有効期限が切れたときに、脆弱性一致アイテム (VIT) のステータスを更新する前にすべてのルールを評価するロジックが更新されました。
  • 以前の Utah および Tokyo バージョンでは、アプリケーション修復タスクルールを作成するために [脆弱性対応修復タスクルール] フォームが表示されていました。修正後、アプリケーション修復タスクルールの作成フォームが表示されます。
  • 修正後、VIT が [クローズ済み] ステータスに移行すると、修復ステータスが正しく評価されます。
  • VIT が機能フローを介して修復タスクに追加されると、VIT の [修復タスク中] フィールドが適切に評価されます。
  • 脆弱性マネージャーワークスペースの [補完コントロール] リストと [アプリ脆弱性] リストの [新規] ボタンの問題を修正しました。
  • 例外ルールがキャンセルされると、VIT のステータスが [オープン] ステータスに変わります。
  • CISA Known Exploit Vulnerability Integration では、ユーザーは統合実行をスケジュールできます。

バージョン 20.0.2 - 2023 年 11 月

• 新規：
  • アプリケーション脆弱性対応アプリケーションは、次のことができるように変更されています。
    • 既存および新規のアプリケーション脆弱性一致アイテム (AVI) を特定の期間自動的に保留する例外ルールを作成します。
    • 例外ルールの延長要求を送信します。
    • AVI の [実装待ち] ステータスで修復を保留します。この機能を使用すると、アクションを実行したが修正がまだ利用できないことをチームに通知できます。
    • 修復タスクルールを作成して、AVI を自動的にグループ化してアサインする方法を定義します。
  • 補完コントロール:修復オーナーは、例外管理要求を通じて補完コントロールの証明を提供することで、脆弱性一致アイテムまたは修復タスクのリスク評価の引き下げを要求できます。
  • VIT、RT、例外ルールの保留日を延長:[延長を要求] ボタンをクリックすると、保留された修復タスク、脆弱性一致アイテム、または例外ルールの延長を要求できます。

バージョン 19.0.8 - 2023 年 10 月

修正済み:以前は、プラットフォームバージョン Utah パッチ 0 - Utah パッチ 5 のインスタンスで、レコードのフォームビューが脆弱性マネージャーワークスペースと IT 修復オーナーワークスペースにロードされませんでした。この問題は修正されました。サポートされているすべてのプラットフォームバージョンのフォームビューにレコードがロードされるようになりました。

バージョン 19.0.7 - September 2023

• 新規：
  • SBOMapp のデータモデルがインストールされている場合、[表示名] は BOM コンポーネントテーブルの新しいフィールドです。このフィールドでは、コンポーネントの表示値の名前とバージョンが使用されます。
  • SBOM Core アプリがインストールされている場合、[BOM エンティティ] 関連リストがコンポーネントフォームに表示されます。この関連リストには、このコンポーネントが使用されているすべての BOM エンティティが表示されます。
  • SBOM Response アプリがインストールされている場合、データモデルは脆弱性インテリジェンスのユースケースをサポートします。
• 変更:脆弱性対応コア:アプリケーション脆弱性一致アイテム (AVI) レコードに [検出されたアプリケーション] および [SBOM コンポーネント] フィールドが表示されるようになりました。
• 修正済み:SBOM Coreアプリがインストールされている場合、BOMドキュメントを正常に手動でアップロードできます。

バージョン 19.0.4 - 2023 年 8 月 (Vancouver)

• 新規：
  • ネクストエクスペリエンス UI では、次のダッシュボードを使用できます。
    • 脆弱性の承認ダッシュボード
    • 脆弱性管理ダッシュボード
    • 脆弱性修復ダッシュボード
    • Watch Dog の概要ダッシュボード
    • 自分のアプリケーションの脆弱性ダッシュボード
• 変更：
  • 修復タスクを作成せずに繰り返し/修復作業を作成する機能。
  • RE フォームとリストビューで利用可能な UI アクションを使用して修復タスク (RT) を作成する機能。
  • 繰り返し修復作業を日次および週次でスケジュールできるようになりました。
  • すべてのワークスペースページで標準レコードページが使用されます。
  • RT のステータス変更時に、VIT に 200 を超える VIT があり、システムプロパティで構成可能な場合は、VIT のステータスを同期するバックグラウンドジョブが作成されます。同じことがアプリケーション VR 修復タスクにも適用されます。
  • OOTB のリストビューが更新され、CI 参照の代わりに CI 名が表示されるようになり、VIT と検出されたアイテムのリストビューのパフォーマンスが向上しました。
  • ペイロードサイズが 100 MB を超え、このシステムプロパティ sn_sec_cmn.max_integration_payload_size によって制御されている場合、統合は失敗します。
• 修正済み：
  • 統合の実行時に、統合の実行をキャンセルした後、[次以降にインポート] と [サブステート] は変更されません。
  • VIT が複数の修復タスクの一部である場合、VIT 保留数が正しく計算されます。
  • NETBIOS は、sn_vul_detection テーブルと sn_vul_vulnerable_item テーブルに適切に入力されます。以前は切り捨てていました。
  • 修復オーナーの場合、フィルターをクリアした後でも、ユーザーにアサインされたアイテムが修復タスクリストビューに表示されます。以前は、ユーザーに属していないすべての修復タスクが表示されていました。
  • 再評価 CI ルックアップルールジョブは統合実行を確認し、統合実行が実行中ステータスの場合は停止します。
• 削除:例外管理の古いワークフローは廃止されました。

バージョン 18.2.6 - July 2023

修正済み：

1. [コンフィグレーションコンプライアンスの自動クローズ] スケジュールジョブは、脆弱性対応統合の実行をブロックしません。
2. 他のバックグラウンドジョブが原因で統合実行が失敗した場合、またはブロックされた場合に、正しいエラーメッセージが表示されます。

バージョン 18.2.5 - 2023 年 6 月

• Vulnerability Response:
  • 修正済み：
    • 以前は、統合実行をキャンセルした後でも、後処理操作が実行されていました。この問題は修正されました。
    • 高度なリスクルール算出では、サンプルシナリオで得られるリスクスコア情報に不完全な情報が入力されていました。この問題は修正されました。これで、結果のリスクスコア情報が正しく入力されました。
    • 以前は、修復タスクをアサイン解除すると、脆弱性一致アイテムが [アサイン解除] モジュールに表示されませんでした。この問題は修正されました。修復タスクのアサインを解除すると、関連する脆弱性一致アイテムがアサイン解除され、[アサイン解除] モジュールに表示されるようになりました。
    • 以前は、再スキャン統合実行レコードが既に脆弱性統合実行キューにある場合、新しい統合実行は作成されませんでした。この問題は修正されました。現在は、再スキャン用に作成された既存の統合実行がある場合でも、統合実行は準備完了ステータスで作成されます。
• アプリケーション脆弱性対応:
  • 修正済み：
    • 高度なリスクルール算出では、サンプルシナリオで得られるリスクスコア情報に不完全な情報が入力されていました。この問題は修正されました。これで、結果のリスクスコア情報が正しく入力されました。
• Container Vulnerability Response :
  • 修正済み：
    • 高度なリスクルール算出では、サンプルシナリオで得られるリスクスコア情報に不完全な情報が入力されていました。この問題は修正されました。これで、結果のリスクスコア情報が正しく入力されました。

バージョン 18.2.3 - May 2023

• Vulnerability Response:
  • 新規：
    • sn_vul_integration_processテーブルとsn_vul_scan_q_entryテーブルのテーブルクリーナーレコードが導入されました。
    • デフォルトのグループを使用する代わりに、例外承認のユーザーグループを構成するためのシステムプロパティが導入されました。したがって、例外要求または誤検出要求が発生すると、システムプロパティで定義されたユーザー ID に承認のために送信されます。
• 修正済み：
  • Qualys ナレッジベース統合のためのサードパーティ脆弱性テーブルの [エクスプロイト有無] フィールドの更新は、期待どおりに機能します。
  • [検索対象フィールド] フィールドのルックアップルールで [IP アドレス] フィールドを選択できます。
  • バックグラウンドジョブは、トリガーの有効期限が切れた場合、停止するのではなくタイムアウトします。
  • 修復ステータスメトリクスを計算するロールアップジョブは、すべてのグループではなく、更新されたグループにのみ適用されます。
• アプリケーション脆弱性対応:
  • 修正済み：
    • 保留されたアプリケーション脆弱性一致アイテム (AVIT) は、スキャナーが同じ問題を再度報告した場合でも、引き続き [保留] ステータスのままになります。
    • [レビュー中] ステータスの AVIT が再オープンされると、[保留] ステータスではなく [オープン] ステータスに移行します。
    • インポートキューエントリがまだ処理中であっても、統合プロセスが 1 時間後にタイムアウトしていました。その結果、統合実行ステータスが「エラー」に更新されていました。V18.2.2 以降、キューが稼働中で有効なデータを処理していることを示すために、タイムスタンプ (ハートビート) が定期的に送信されます。

バージョン 18.0.6 - 2023 年 3 月

• 修正済み：
  • GRC が有効になっている場合、修復タスクの [例外の要求] UI アクションが表示されます。
  • ワークスペースのアプリケーションセキュリティマネージャーペルソナの ACL の問題が解決されました。
  • すべての修復タスクのメトリクスは、以前は毎日実行されていたスケジュール済みジョブ [脆弱性および修復タスクの関連 VI 数を計算 (Calculate Related VI Counts for Vulnerability and Remediation Task)] を使用して計算されていました。これにより、処理時間が長くなりました。この問題を解決するために、スケジュール済みジョブ「脆弱性、修復タスク (RT)、および RT の VI 数に VI 値をロールアップする」を使用して、更新された修復タスクに対してのみメトリクスが計算されるようになりました。
  • 保留された修復タスクに属する保留された脆弱性一致アイテム (VI) を再オープンしても、同じ修復タスクに関連付けられている他の保留された VI は再オープンされません。
  • 通知に必要なデータは、通知グループとユーザーが関連付けられている修復ターゲットルールに対してのみ処理されるようになりました。

バージョン 18.0.2 - 2023 年 2 月

• 新規:脆弱性マネージャーのワークスペースの変更により、次のタスクを実行できるようになりました
  • アプリケーション (AVR) およびコンテナ (CVR) の脆弱性と構成テスト結果の監視トピック、修復作業、修復タスクを作成および表示します。
  • ウォッチトピックを非アクティブ化および再アクティブ化します。
  • 監視トピックのコンテンツをオンデマンドで更新します。
  • [リスト] ページの [ライブラリ] セクションに、CVE、CWE、TPE、ポリシー、テスト、およびアプリの脆弱性のリストを表示します。
  • アンケートを使用した例外管理。
  • 脆弱性対応、アプリケーション脆弱性対応、コンテナ脆弱性対応、およびコンフィグレーションコンプライアンスの修復タスクを単一のリストに表示します。
  • 履歴を失うことなく、監視トピックの新しい修復作業に修復タスクを転送します。
• 変更：
  • レコードの [保留日] は、レコードを手動で再オープンするまで入力されたままになります。
  • 手動例外の時間制限の前に保留された VI を再オープンすると、VI は自動的に保留されます。
  • 検出時に IP アドレスが更新され、再スキャンできるようになります。
• 修正済み:読み取り権限を持つユーザーが、脆弱性一致アイテムのセキュリティタグを期待どおりに表示できます。

バージョン 17.1.4 - 2022 年 11 月

• 新規：
  • アプリケーション脆弱性対応のポリシーとコンプライアンス (GRC) で例外管理を実装する機能が導入されました。
  • 脆弱性マネージャーおよび IT 修復オーナーワークスペースで修復タスクの重複 VI を解決するためのプロビジョンが導入されました。
  • 修復タスクで重複する VI を識別するためのスケジュール済みジョブが導入されました。
  • 脆弱性一致アイテムの修復ターゲットを計算する [日付] フィールドを選択する機能が導入されました。
• 変更：
  • 例外ルールのパフォーマンスが向上しました。
  • 統合実行がキャンセルされたときに、インポートセットキューエントリのクリアを有効にしました。
  • 脆弱性一致アイテムテーブルの [初回検出]、[前回検出]、[最終オープン日]、[解決日] などの古い日付フィールドに日時フィールドが導入されました。
  • 承認を構成し、未アサインフローで理由をキャプチャする機能が追加されました。
  • 修復タスクが保留された場合の脆弱性一致アイテムの修復タスク参照を更新しました。
  • すべての VI が保留された場合に、修復タスクに保留ステータスをロールアップします。
  • オプションで (システムプロパティを使用して) アサインルールを再適用するときに再アサインされた VI を再グループ化します。
  • 脆弱性統合プロセスのステータス名を「処理中」から「取得中」に、および「待機完了」から「待機中/処理中」に更新しました。

バージョン 16.5.4 - August 2022

• 新規：
  • 異なるスキャナーからの重複 VI の可能性があるものを特定する:同じ資産で複数のスキャナーを使用して脆弱性を検出すると、複数の脆弱性一致アイテム (VI) が作成される可能性があります。これで、重複する可能性のある VI を特定できるようになりました。これにより、重複する可能性のある脆弱性が修復オーナーにアサインされなくなります。
  • 脆弱性の手動取り込み:ゼロデイエクスプロイトなどの未知の脅威から資産を効果的に保護するために、手動取り込みを使用して一連の脆弱性と CI データを脆弱性対応にインポートできます。スキャナーがリスクのある資産を報告するのを待つのではなく、脆弱性をプロアクティブに取り込み、修復できます。
  • 修復オーナーは、自分の責任ではないと判断した脆弱性一致アイテムレコードからアサインを削除できます。
  • [アサイン解除] UI アクションは、[アサイン先] フィールドと [アサイン先グループ] フィールドをクリアし、レコードがアサインされていないことを日次ダイジェストでアドミニストレーターに送信します。
  • この機能で更新されたレコードは、脆弱性対応、アプリケーション脆弱性対応、およびコンテナ脆弱性対応の [未アサイン] モジュールに表示されます。
  • 日次スケジュール済みジョブは、この機能で更新されたレコードをカウントし、最初にそれらをアサインしたアサインルールに従って集計します。各アサインルールに表示される数を使用して、アサインルールの有効性を監視できます。
  • アサイン解除機能は、クラシック UI と脆弱性対応ワークスペースの両方の修復タスク (VUL) と脆弱性一致アイテム (VIT) で使用できます。
  • アサイン解除機能は、AVR 脆弱性一致アイテム (AVIT) および CVR 脆弱性一致アイテム (CVIT) のクラシック UI でも使用できます。
  • 脆弱性一致アイテム、アプリケーション脆弱性一致アイテム、コンテナ脆弱性一致アイテム、または修復タスクが保留された回数を追跡します。スケジュール済みジョブ [保留数の設定 (set deferral count)] が毎日実行され、VR、AVR、および CVR の複数の保留モジュールの [保留数] 列で複数回保留されたレコードの数が提示されます。
  • 統合実行を変更すると、脆弱性統合実行に関する次の情報を表示できます。
    • 合計チャンク:Tenable 製品によって生成されたチャンクの合計数。
    • 利用可能なチャンク:Now Platform にダウンロードできるチャンクの数。
  • ダウンロードされて処理された添付ファイルを表示できます。統合実行のステータスが [waitcomplete] の場合は、完了した統合の割合が表示されます。
• 修正済み：
  • VR リスクルールフィールドが想定どおりに正しい言語で更新されます。
  • クローズ済み VIT は、承認待ちの却下により再オープンされなくなりました。
  • Microsoft TVM 統合のセットアップアシスタントのナビゲーションは、想定どおりに機能します。
  • 脆弱性一致アイテムの再スキャンオプションを表示するダイアログは、期待どおりに機能しています。
  • パフォーマンスの改善が見られる場合があります。

バージョン 16.2.1 - May 2022

• 変更：
  • 脆弱性対応フレームワークのパフォーマンスが向上しました。
  • 統合用のジョブのバックログは、一度に 1 つのジョブしか実行できないよう制限されています。
  • クラウド資産の [前回のスキャン] または [前回のコンプライアンス日] は入力されなくなりました。インフラ資産に対してのみ入力されます。
  • インポートキューの添付ファイルは 7 日後にクリーンアップされます。
• 修正済み：
  • [例外の要求] ボタンは正常に機能します。
  • アプリケーション脆弱性一致アイテム (AVIT) のステータスが予期せず [オープン] にリセットされることはありません。
  • セキュリティのバグ修正。
  • 修復タスクを保留すると、修復タスク (VUL) と脆弱性一致アイテム (VIT) の [Ignore_by] フィールドが想定どおりに入力されます。
  • 保留された脆弱性一致アイテムは、例外ルールの有効期限が切れた後にのみ再オープンされます。
  • VR ワークスペースでは、承認要求の却下が期待どおりに機能します。
  • VR ワークスペースで、修復タスクを分割するときに使用される [キャンセル] ボタンが想定どおりに機能します。

バージョン 16.1.3 - March 2022

• 新規：
  • このリリースには、脆弱性マネージャーワークスペースと IT 修復ワークスペースの次の変更と新機能が含まれています。
    • 進行中のタスクを支援するために、スケジュール設定された繰り返し修復作業を作成します。
    • IT 修復オーナー向けの週次メール通知ダイジェストを作成してアクティブ化します。
    • 特定の脆弱性を持つ VI を、既存の修復作業から 1 つの修復作業に転送します。
    • フィルター基準を設定し、修復タスクを分割するときに移動するリストから一致する VI を選択します。ワークスペースの [ホーム] ビューと [リスト] ビューで、自分と自分のグループにアサインされた脆弱性のある CI の数を確認します。
    • 修復タスクレコードに関連するアクティブな変更要求を表示します。
  • 脆弱性対応およびアプリケーション脆弱性対応アプリケーションには、次の新機能と変更も含まれています。
    • 例外管理モジュールを使用して、例外要求に追加するアンケートを作成します。このアンケートにより、例外を要求する理由をより深く理解できます。
    • WatchDog の使用は、指定した条件に基づいてテーブルを追跡するために使用されます。たとえば、Vulnerability Response でのデータ連携の実行失敗に関する詳細をログに記録するために使用できます。
    • アプリケーション脆弱性対応の AVI トリアージ:ServiceNow 内でトリアージを実行するオプションが追加されました。
    • 例外を要求するか、AVI を誤検出としてマークし、AVI の新しいステータスマッピングロジックを使用するには、このオプションを有効にします。
    • アプリケーション脆弱性対応のペネトレーションテストの変更:スケジューリング機能がサポートされるようになりました。また、以前にクローズしたペネトレーションテストアセスメント要求を使用して、ペネトレーションテストアセスメント要求を迅速に作成できます。
    • FQDN/NETBIOS からホスト名を抽出する新しい機能が提供されるため、資産のホスト名のみを使用して名前属性で CI ルックアップ/新しい CI の作成を実行できるようになりました。これは、スキャナー統合ごとにホストインポートマップ (sn_sec_cmn_src_cmdb_map) で構成できます。変更ウォッチトピックページのパフォーマンスが向上する場合があります。
    • 分類ルールは一般化されており、すぐに利用可能な検出済みアイテムと脆弱性エントリーテーブルで動作するように構成できます。これは、システムプロパティを更新することで拡張できます。

バージョン 16.0.3 - 2022 年 2 月

このバージョンには、新しい機能や更新プログラムは含まれていません。このバージョンでは、前回のリリースの機能が San Diego ファミリリリースと互換性があることが保証されています。

バージョン 15.0.4 - January 2022

• 修正済み：
  • 脆弱性マネージャーワークスペースでは、ウォッチトピックの [ホーム] ビューと修復作業の [詳細] ページの [修復された VI の割合] 列に、クローズされた VI の割合が予想どおりに表示されます。
  • 脆弱性マネージャーのワークスペースでは、[削除] はウォッチトピックに対して期待どおりに機能します。
  • 脆弱性マネージャーワークスペースのホームページのロードエラー
  • [VR ワークスペース] タブのページは、タブを切り替えたときにのみ再ロードされます。
  • 検出されたアイテムに CI ルックアップルールを再適用し、検出が再オープンされた場合、検出の構成アイテムが VIT の構成アイテムと一致しない場合、新しい VIT が作成されます。
  • 検出キャッシュは、より大きなペイロードを処理できます。

バージョン 15.0.2 - 2021 年 10 月

• 新規：
  • 2 つのワークスペースを備えた脆弱性対応アプリケーションの新しい最新のユーザーエクスペリエンスにより、脆弱性マネージャーと IT チームは脆弱性をより簡単に特定して解決できます。
    • 脆弱性マネージャーワークスペースで、ウォッチトピックを通じて関心のある脆弱性を監視します。修復作業を使用して IT チームが取り組む脆弱性を戦略的に決定します。
    • IT 修復ワークスペースでは、IT チームは、IT 中心の情報 (資産とソリューション) を強調した修復タスクを受け取り、より効率的に修復できるようにします。
  • アプリケーション脆弱性対応にペネトレーションテストアセスメントが導入されました。アプリケーションのセキュリティ体制を評価し、ペネトレーションテスト結果を手動でインポートするために使用できます。
  • 更新された例外管理承認ワークフローでは、承認プロセスの構成オプションが増え、ユーザーエクスペリエンスが向上しています。承認プロセスがワークフローからフローデザイナーに移行されました。フローデザイナーを使用して、VR での例外管理、例外ルール、誤検出の例外要求を承認できるようになります。
    • VR を初めて使用する場合、フローデザイナーはデフォルトで有効になっています。
    • 既存のユーザーは、システムプロパティ sn_vul.flow_designer_activation を使用してフローデザイナーを有効にすることができます。
  • 脆弱性分類ルールを作成して、アプリケーションまたはプラットフォームのタイプに基づいて脆弱性を自動的に分類します。これにより、修正のために適切な IT チームに脆弱性をアサインできます。さらに、アプリケーションとオペレーティングシステムのタイプに基づいて、脆弱性のステータスとエクスポージャーを報告することもできます。
  • CMDB によって CI のライフサイクルステージステータスが [廃止] に変更された場合は、関連する VI を自動的にクローズするように選択できます。
    • 関連する VI を自動的にクローズするには、廃止された CI に関連付けられている VI を自動クローズするオプションを有効にします。
    • 廃止された CI は、最終的にアーカイブされるか、CMDB から完全に削除されます。
• 変更：
  • 脆弱性グループと脆弱性グループルールのテーブルラベルが変更されました。この変更は、クラシック UI とこのリリースで導入されたワークスペースのリスト、レコード、ルールのラベルに適用されます。
    • 脆弱性グループ (VG) には修復タスクというラベルが付いています。タスクレコードには引き続き VUL が付きます。
    • 脆弱性グループルールには、「修復タスクルール」というラベルが付いています。これらのルールは以前のバージョンの脆弱性グループルールと同様に機能し、既存のルールには引き続きアクセスできます。
    • [sn_vul_m2m_vul_group_item] などのテーブル名は変更されていません。
  • アプリケーション脆弱性対応のアプリケーション脆弱性一致アイテムに対して、[解決]、[クローズ]、および [再オープン] UI アクションを使用できます。

バージョン 14.0.6 - June 2021

• 新規：
  • [古い検出を自動クローズ] モジュールは、サードパーティ統合によって最近検出されなかった古い脆弱性検出をクリーンアップするのに役立ちます。
  • 脆弱性対応およびアプリケーション脆弱性対応の脆弱性算出では、カスタムフィールドと重み付けを指定して、環境に固有の脆弱性データでリスクスコアを生成します。
• 変更：
  • 脆弱性一致アイテム検出キーは統合固有です。脆弱性の検出結果 (検出) を各脆弱性アセスメントアプリケーションからインポートし、脆弱性一致アイテムに統合する方法を設定します。
  • 共通バックグラウンドジョブフレームワークを変更すると、ジョブはリソースが最適化された方法で実行されます。ジョブの処理方法を構成できます。
  • 脆弱性アナリストまたは修復オーナーは、優先ソリューションの正確で最新の展開メトリクスを表示できます。更新されたソリューションデータは、脆弱性グループフォームの関連リストに表示されます。
  • Microsoft Security Response Center (MSRC) ソリューション統合の API キーは必須ではなくなりました。
• 脆弱性一致アイテム、脆弱性グループ、および検出レコードの修正:
  • 脆弱性一致アイテムレコードの [ソース] フィールドは読み取り専用です。
  • ユーザーは、脆弱性グループに関連付けられた検出レコードを期待どおりに表示できます。
  • 関連する脆弱性グループが [レビュー中] に移動すると、脆弱性一致アイテムは期待どおりに [レビュー中] ステータスに移行します。
  • 選択した変更要求のタイプは、想定どおりに脆弱性グループレコードから作成されます。
  • 脆弱性グループが分割されると、SLA が想定どおりに設定されます。
  • 関連する GRC ポリシーの有効期限が切れると、保留された脆弱性グループは [オープン] ステータスに設定されます。
  • 脆弱性一致アイテム検出レコードの [実証] フィールドは、新しい検出フレームワークへのアップグレード後に想定どおりに入力されます。
  • 脆弱性一致アイテムと脆弱性グループのステータス変更は、期待どおりに更新されて表示されます。
  • 脆弱性グループレコードの修復ターゲット日のタイムゾーンは、再適用ジョブによって設定されます。
  • 保留されると、システムプロパティ (sn_vul.vulnerable_item.approval_required) は無視され、脆弱性一致アイテムまたは脆弱性グループの [ステータス] フィールドが想定どおりに設定されます。
• 統合実行時の修正:
  • 別の統合の進行中に統合実行がキューに入れられると、新しい統合の開始時間が想定どおりに設定されます。
  • 現在の統合実行が [待機完了] ステータスの場合、次の統合実行は開始されません。
• 日時形式の修正済み:
  • セットアップアシスタントで Tenable 脆弱性統合を設定するときは、すべての日時形式がサポートされます。
  • 例外ルールでは、システムの日付形式がサポートされています。
• 修正済み：
  • 影響を受けるサービスの計算時に null の構成アイテムが除外されるため、このジョブのパフォーマンスを向上させることができます。
  • 脆弱性算出では、想定される重み付け値を使用して、脆弱性一致アイテムのリスクスコアを計算します。エクスプロイトは存在するが、エクスプロイト攻撃ベクトルまたはエクスプロイトスキルレベルの情報がない場合、これらの重み付けは VI のリスクスコアに追加されません。
  • アサイン先グループのユーザーには、[誤検出としてマーク] および [例外の要求] UI アクションを表示できます。
  • 保留の有効期限メールは、想定どおりにトリガーされます。
  • 例外ルールは、検出のない脆弱性一致アイテムに対しても機能します。
  • 作業メモは、フィールドを追加する場合でもフィルターを設定するときに使用できます。
  • [変更要求タイプ] フィールドで、サポートされているすべての言語を使用できます。
  • Rapid7 ソリューションレコードの [サマリー] フィールドは、想定どおりに入力されます。
• 削除：
  • 古い脆弱性一致アイテムの自動クローズモジュールは廃止されました。古い検出とそれに関連する脆弱性一致アイテムおよび脆弱性グループをクローズするには、[古い検出を自動クローズ] モジュールを使用します。詳細については、脆弱性対応の製品ドキュメントおよび記事「Auto-Close Stale Detections (古い検出を自動クローズ) [KB 0958638]」を参照してください。

バージョン 13.0.5 - 2021 年 5 月

修正済み:VRで使用されていないRCA(Restricted Caller Access)レコードを削除しました。

バージョン 13.0.3 - 2021 年 2 月

• 新規：
  • CI ルックアップルールを再適用
    • CI ルックアップルールを変更した場合は、すべての資産データを再インポートすることなく、オンデマンドで再適用し、検出されたアイテムを CMDB と手動で調整します。]
  • NVD の脆弱性対応統合
    • 2 つの統合により、NIST 脆弱性情報データベース (NVD) から CVE と CPE の情報をインポートして、脆弱性エクスポージャーをよりよく理解できます。
  • セキュリティチャンピオンの概要が追加されました
    • セキュリティチャンピオンは、アプリケーション脆弱性対応でスキャン済みアプリケーションの結果を表示することで、ダッシュボードで組織の脆弱性エクスポージャーとセキュリティ体制に関するインサイトをすばやく得ることができます。
  • パフォーマンスアナリティクスレポートのサービス分類を定義します。
    • ビジネススコアカードレポートに含めるサービス CI の種類を構成します。
  • 脆弱性対応のパフォーマンスアナリティクスの CISO ダッシュボード
    • ダッシュボードは、重要業績評価指標 (KPI)、リスクが最も高い領域、およびリスクを下げるための推奨事項とともにレポートを経営幹部に提供します。
• 変更：
  • 条件ビルダーに入力する検索条件に大文字と小文字の区別を使用する場合に選択します。デフォルトでは、フィルター条件に入力するテキストでは大文字と小文字は区別されません。
• 修正済み：
  • 算出を再適用機能のドメインセパレーションサポート。App-Sec-Manager ロールには、アプリケーション脆弱性統合の実行をキャンセルする権限があります。
  • 脆弱性ロールアップ算出の脆弱性エントリーロールアップの更新に対するパフォーマンスの変化。
  • 例外管理での例外ルールのドメインセパレーションサポート。
  • 条件ビルダーで BETWEEN 演算子を使用すると、[修復ターゲットルールを再適用] ジョブが期待どおりに機能します。
  • 誤検出期限日の検証は想定どおりに機能します。
  • [例外をキャンセル] ルールは想定どおりに機能します。
  • 自動クローズ VI 機能のドメインセパレーションサポート。

バージョン 12.2.0 - 2020 年 12 月

修正済み:修復ターゲットルールの同時実行処理に関連するパフォーマンスの問題に対処するための修正、およびその他のマイナーな修正を追加しました。

バージョン 12.1.4 - November 2020

• 新規：
  • ServiceNow が構築した Tenable との脆弱性対応統合を使用して、Tenable.io および Tenable.sc 製品から脆弱性データをインポートします。
  • 既存の CI がサードパーティの脆弱性アセスメント製品からインポートされたホストと一致しない場合は、IRE を使用して CMDB に新しい CI を作成します。
  • [脆弱性アサインの推奨] では、ServiceNow 予測インテリジェンスによって駆動される脆弱性一致アイテム (VI) および脆弱性グループ (VG) のアサイン先グループの推奨事項を表示します。既存のアサインルールに一致しなかった VI および VG の適切なアサイニーを特定します。
• 変更: v12.1 以降、NVD フィードは自動的に v1.1 に更新されます。フィードを手動で更新する必要がなくなりました。

バージョン 12.0.3 - 2020 年 10 月

• 新規：
  • 例外管理では、すぐに修正できない、または保留する必要がある脆弱性や一連の CI の例外を要求することで、脆弱性一致アイテムの例外プロセスを自動化します。
  • 脆弱性対応のアプリケーション脆弱性対応 (AVR) 機能。AVR は別のサブスクリプションで利用できます。
  • オプションの条件ビルダーが CI ルックアップルールに追加され、IT 環境内の特定の資産を除外できるようになりました。フィルタリングされて更新されたリストは、次回のインポート時に CI ルックアップルールによって使用されます。
• 変更：
  • 既存の脆弱性一致アイテムに修復ターゲットルールを再適用します。データを再インポートしたり、カスタムスクリプティングを実行したりすることなく、ターゲットルールを調整できます。
  • [古い脆弱性一致アイテムの自動クローズ] モジュールで [前回スキャンされた資産] に基づいて脆弱性一致アイテムをクローズすることを選択した場合、Rapid7 包括的統合からの完了したインポートは不要になります。
  • SAM Pro とエクスポージャーアセスメントモジュールを使用して、資産の製品名を正規化し、より正確な一致を促進します。

バージョン 11.0.3 - July 2020

• 新規：
  • バージョン 11.0.3 での再認定
  • ガバナンス、リスク、コンプライアンス (GRC) による例外管理が変更されました。脆弱性対応アプリケーション内の GRC ポリシー例外管理機能を使用します。
  • 脆弱性アセスメントアプリケーションからインポートされた脆弱性の検出結果 (検出) を脆弱性一致アイテムに統合する方法を設定します。
  • [古い脆弱性一致アイテムの自動クローズ] モジュールを有効にして、サードパーティ統合によって最近検出されなかった古い脆弱性一致アイテムを自動的にクローズします。Rapid7 との 2 つの新しい統合により、このモジュールがサポートされます。
  • 新しいペルソナと詳細なロールにより、ユーザーとグループがタスクレベルで脆弱性対応に対して持つ権限とアクセス権を拡張、制限、および管理できます。
  • Red Hat ソリューションインテリジェンス統合を使用して、環境内の脆弱性を Linux の推奨ソリューションと関連付けます。
• 変更：
  • 誤検出ワークフローを変更して、脆弱性一致アイテムまたは脆弱性グループの誤検出を直感的に管理します。
  • ナビゲーションパネルの新しいモジュールを使用して、幅広い脆弱性一致アイテムをすばやく表示します。モジュールには、高リスク、悪用可能、ターゲット漏れ、90 日以上前などのカテゴリが含まれており、修正の優先順位付けに役立ちます。
  • 脆弱性一致アイテムテーブルへの新しいインデックスの追加によるパフォーマンスの向上。
  • インポートされた Qualys ホストタグは、Qualys 資産リスト統合を使用して取り込まれ、共通タグフレームワークを使用して処理されます。
• 修正済み:「変更要求を作成し、変更管理を ITSM レガシー変更管理プラグインで使用するためのKB0819117」で説明されているプロセスが完全にサポートされるようになりました。
• 削除: [経過時間でクローズ] オプションは廃止されました。古い脆弱性一致アイテムの自動クローズモジュールを使用して、古い脆弱性一致アイテムを [クローズ済み] に移行します。

バージョン 10.3.8 - June 2020

• 新規：
  • バージョン 10.3.8 で再認定されています。
  • ガバナンス、リスク、コンプライアンス (GRC) で例外管理を変更しました。脆弱性対応アプリケーション内のGRCポリシー例外管理機能を使用します。
  • 脆弱性アセスメントアプリケーションからインポートされた脆弱性の検出結果 (検出) を脆弱性一致アイテムに統合する方法を設定します。
  • [古い脆弱性一致アイテムの自動クローズ] モジュールを有効にして、サードパーティ統合によって最近検出されなかった古い脆弱性一致アイテムを自動的にクローズします。Rapid7 との 2 つの新しい統合により、このモジュールがサポートされます。
  • 新しいペルソナと詳細なロールにより、ユーザーとグループがタスクレベルで脆弱性対応に対して持つ権限とアクセス権を拡張、制限、および管理できます。
• 変更：
  • 誤検出ワークフローを変更して、脆弱性一致アイテムまたは脆弱性グループの誤検出を直感的に管理します。
  • ナビゲーションパネルの新しいモジュールを使用して、幅広い脆弱性一致アイテムをすばやく表示します。モジュールには、高リスク、悪用可能、ターゲット漏れ、90 日以上前などのカテゴリが含まれており、修正の優先順位付けに役立ちます。
  • 脆弱性一致アイテムテーブルへの新しいインデックスの追加によるパフォーマンスの向上。
  • インポートされた Qualys ホストタグは、 Qualys 資産リスト統合を使用して取り込まれ、共通タグフレームワークを使用して処理されます。
• 修正済み:「変更要求を作成し、変更管理を ITSM レガシー変更管理プラグインで使用するためのKB0819117」で説明されているプロセスが完全にサポートされるようになりました。
• 削除: [経過時間でクローズ] オプションは廃止されました。古い脆弱性一致アイテムの自動クローズモジュールを使用して、古い脆弱性一致アイテムを [クローズ済み] に移行します。

バージョン 10.0.4 - April 2020

• 修正済み:Rapid7 InsightVM 統合がすべてのペイロードデータを正常にインポートし、脆弱性一致アイテムを期待どおりに作成または更新できない、時折発生する処理エラー

バージョン 10.0.3 - March 2020

• 新規：
  • 脆弱性管理の変更管理には、変更管理 - コアプラグイン (com.snc.change_management) が必要です。詳細については、 KB0819117 を参照してください。
  • 重複排除を回避するために、検出を脆弱性一致アイテム (VI) から分離
  • VI 取り込みパフォーマンスを向上させるためにルールキャッシュメカニズムを導入しました
  • アサインルールとグループルールの再適用メカニズムを実装しました
  • ユーザーが VI と VG を自動削除できるようにする機能を追加
• 変更：
  • 複数の CI と脆弱性エントリー値をサポートするように更新されたグループルール UI
  • 更新された VI 経過時間計算プロセス
  • ソリューション管理の変更の追加
  • 軽微なバグ修正

バージョン 9.0.6 - 2019 年 12 月

• 脆弱性管理の変更管理には、変更管理 - コアプラグイン (com.snc.change_management) が必要です。詳細については、 KB0819117 を参照してください。
• 軽微なバグ修正

バージョン 9.0.5 - November 2019

• 新規：
  • 脆弱性管理の変更管理には、変更管理 - コアプラグイン (com.snc.change_management) が必要です。詳細については、 KB0819117 を参照してください。
  • 更新日時 脆弱性対応の変更管理:脆弱性グループから直接事前入力された変更要求 (CR) を作成し、脆弱性グループを既存の CR に関連付け、CR の実装後にグループを自動的に解決することで、修復を迅速化します。
  • ソフトウェアエクスポージャーアセスメント:ServiceNow ソフトウェア資産管理 (SAM) で影響を受けるソフトウェアパブリッシャー、製品名、バージョン番号を検索して、脆弱性へのエクスポージャーを評価します。
  • 脆弱性グループをオンデマンドで分割:ServiceNow 条件ビルダーを使用するか、セグメンテーションのために脆弱性一致アイテムを手動で選択することで、大規模な脆弱性グループを管理しやすいセグメントに分割します。
  • 前回のスキャン日時:前回の認証済みおよび未認証の脆弱性スキャンの資産レベルのタイムスタンプを表示します。
  • 脆弱性対応のクイックスタートテスト:自動テストフレームワーク (ATF) を使用して、アップグレードや構成変更後も脆弱性対応の機能が継続していることを検証します。
• 削除済み:[SAM NVD の構成] モジュールと [脆弱なソフトウェア] モジュールが削除されました。これらのモジュールは、脆弱性情報データベース (NVD) からの依存コンテンツが利用できなくなったため、廃止されました。