脆弱性対応 サードパーティ脆弱性統合の構成アイテムを識別するための CI ルックアップルール

  • リリースバージョン: Xanadu
  • 更新日 2024年08月01日
  • 所要時間：4分

    • サードパーティ統合からデータをインポートすると、脆弱性対応 は自動的にホストデータを使用して、構成管理データベース (CMDB) 内で一致するものを検索します。その際に CI ルックアップルールを使用します。これらのルールにより、構成アイテム (CI) が特定されて脆弱性一致アイテムレコードに追加されるため、修復に役立てることができます。

    バージョン 19.0 以降では、 Security Operations > CMDB > ルックアップルール をクリックして、インスタンス内のリストを見つけます。

    資産がインポートされると、最初にサードパーティ ID を使用して [検出されたアイテム] リストでルックアップが実行され、構成アイテム (CI) に一致するものが以前のインポートから検索されます。一致するホスト ID が見つかった場合は、その ID が脆弱性一致アイテムレコードの [構成アイテム] フィールドとして使用されます。

    [検出されたアイテム] リストを使用して、インポートした資産が CI にどのようにマッピングされているかを確認できます。一致するものが見つからない場合、または [ホスト ID] フィールドが空の場合、ルールは他のホスト情報を使用して CI を正しく識別しようとします。それでも一致が見つからない場合は、プレースホルダー CI が作成され、[一致しない CI] としてマークされます。これらの CI の処理方法の詳細については、「一致しない CI」を参照してください。

    CI ルックアップルールはドメインセパレーションすることができ、ソース固有です。各ソースには複数の展開を含めることができます。
    注:
    CI ルックアップルールは、脆弱性ソース統合のすべての展開で共有されます。ルールが削除または変更された場合、その削除または変更は脆弱性統合のすべての展開に影響します。
    一致を試みる場合、最初のステップは、source、source_instance、およびベンダー ID 間で完全に一致するベンダー ID のルックアップです。次に、ルックアップルールが順番に実行され、ルールが一致する CI を 1 つ返すと停止します。複数の CI を返すようにルールが作成されている場合は、最初に一致したもののみが使用されます。
    注:
    低レベルのネットワーク要素での一致を避けるため、一致した CI が dscy_switchport、cmdb_ci_network_adapter、cmdb_ci_nic、または cmdb_ci_ip_address のいずれかである場合は、親 CI が返されます。

    CI クラスを除外するためのシステムプロパティが利用可能です。このプロパティはアップグレードでは使用できません。アップグレード情報とプロパティの設定手順については、「CI クラスの無視」を参照してください。

    一致する問題を見つけやすくするために、一致が見つかったときに、その問題を見つけるために使用された CI ルックアップルールが [CI 一致ルール] フィールドの検出されたアイテムレコードに追加されます。ルックアップルールでは、[順番 (Order)] 値が最も小さいものから評価されます。

    次の Qualys CI ルックアップルールはベースシステムに付属しています。
    • QUALYS HOST ID
    • FQDN
    • NetBIOS
    • DNS
    • IP
    次の Rapid7 CI ルックアップルールはベースシステムに付属しています。
    • MacAddress
    • FQDN
    • HostName
    • IP
    次の Tenable.io CI ルックアップルールはベースシステムに付属しています。
    • FQDN
    • NETBIOS
    • ホスト名
    • MacAddress
    • DNS
    次の Tenable.sc ルックアップルールはベースシステムに付属しています。
    • MacAddress
    • FQDN
    • NETBIOS
    注:
    ルールは、一度削除すると元に戻せません。新しいルールを作成する場合は、既存のルールを削除せずに非アクティブ化します。

    脆弱性データのインポートはインスタンスに負荷をかける可能性があり、慎重にルールをビルドしないと、リソースのパフォーマンス問題が発生する可能性があります。 CMDB 内で反復して照合を実行するために使用されるロジックでは、処理時間が長くなる可能性があります。リソースの潜在的なデグレードやパフォーマンスの複雑化を回避するために、カスタム作成された CI ルックアップルールまたは事前定義された CI ルックアップルールの変更をテストします。孤立レコードの重複防止、データの削除、およびデータのクリーンアップの詳細については、「脆弱性対応 CI ルックアップルールの実行後にレコードが重複または孤立しないようにするための手順」を参照してください。

    注:
    CI の照合の詳細については、「KB0998706」を参照してください。

    更新された CI ルックアップルールの再適用

    CI ルックアップルールを変更する場合は、[CI ルックアップルール] リストページの [変更を適用] をクリックして、検出されたアイテムに対して次のすべてのルールを再実行します。
    • 更新されたルールに一致した
    • どのルールにも一致しない
    ルックアップルールを再適用した後に構成アイテム (CI) が変更された場合、検出されたアイテムは新しい CI で更新されます。影響を受けた検出と脆弱性一致アイテムも更新されます。詳細については、「選択した検出されたアイテムへの CI ルックアップルールの再適用」を参照してください。