脆弱性対応 アプリケーション と CSDM テーブル

  • リリースバージョン: Zurich
  • 更新日 2025年07月31日
  • 所要時間：5分

    • テーブル 脆弱性対応、 アプリケーション脆弱性対応、サードパーティの脆弱性統合、および ソフトウェア部品表 アプリケーションは、 CSDM テーブルを管理 (データ提供) します。これらのアプリケーションは、他のアプリケーションが生成する CSDM テーブルのデータも使用します。したがって、いくつかの ServiceNow 製品は、これらの セキュリティオペレーション アプリケーションの恩恵を受け、価値を付加します。

    図 : 1. CSDM Data Framework と 脆弱性対応 アプリケーション
    脆弱性対応アプリケーションによって参照および使用されるハイライト表示されたテーブル

    CSDM脆弱性対応、アプリケーション脆弱性対応、サードパーティの脆弱性統合、およびソフトウェア部品表アプリケーションによって参照されるテーブル

    資産はサードパーティの脆弱性スキャナー (統合) からインポートされると、 脆弱性対応 に取り込まれて特定のテーブルに表示されます。
    • ホスト 脆弱性対応 検出済みアイテム。
    • クラウドおよび コンテナ脆弱性対応 検出イメージ
    • アプリケーション脆弱性対応 検出されたアプリケーション (製品モデル)
    セキュリティオペレーション CMDB 構成アイテム (CI) ルックアップの一部として、インポートされたデータの (CI) レコードを CMDB 内の既存のレコードと照合する検索が実行されます。

    特定の各 CI レコードには、脆弱性一致アイテムのアサインルールの入力として使用できる CI に入力される、サポートグループや分類などの検出不可能な属性が含まれている場合があります。これらの属性は、アップストリームのテクニカルサービスオファリングに基づく共通サービスデータモデル (CSDM) の同期から入力される場合があります。

    脆弱性対応、アプリケーション脆弱性対応、サードパーティの脆弱性統合、およびソフトウェア部品表アプリケーションに関連する CSDM オブジェクトを利用する場合は、スクリプト化されたルールを使用する必要があります。

    たとえば、脆弱性一致アイテムのアサインルールを使用して修正のために脆弱性一致アイテムを自動的にアサインするには、インポートされた脆弱性エントリーで更新される構成アイテム分類の値を活用するルールを作成できます。この場合、関連する CSDM オブジェクトから必要なターゲット値をクエリするためのスクリプト化されたルールが必要です。

    以下は、CI に Java があり、脆弱性エントリーに関連付けられているかどうかを確認するために使用できるスクリプト化されたクエリの例です。

    次を示すスクリプティングの例

    脆弱性対応、 アプリケーション脆弱性対応、サードパーティの脆弱性統合、および ソフトウェア部品表 アプリケーションは、次のテーブルを参照します。詳細については、 CSDM データフレームワークと 脆弱性対応 アプリケーションの画像を参照してください。
    • 製品モデル [cmdb_model] テーブル ( アプリケーション脆弱性対応 と ソフトウェア部品表 で参照)。
    • アプリケーションモデル [cmdb_application_product_model] テーブル ( アプリケーション脆弱性対応 と ソフトウェア部品表 によって参照されます)。
    • 構成アイテム [cmdb_ci] テーブル。
    • ビジネスサービス [cmdb_ci_service_business] テーブル。
    • サービス [cmdb_ci_service] テーブル。
    • CMDB グループ [cmdb_group] テーブル。
    • ダイナミック CI グループ [cmdb_ci_query_based_service] テーブル。

    CSDM脆弱性対応、アプリケーション脆弱性対応、サードパーティの脆弱性統合、およびソフトウェア部品表アプリケーションによって使用されるテーブル

    1. 製品モデル [cmdb_model] テーブル ( アプリケーション脆弱性対応 と ソフトウェア部品表 で使用)。
    2. アプリケーションモデル [cmdb_application_product_model] テーブル ( アプリケーション脆弱性対応 と ソフトウェア部品表 で使用)。
    3. 構成アイテム [cmdb_ci] テーブル。
    4. ビジネスアプリケーション [cmdb_ci_business_app] ( アプリケーション脆弱性対応 および ソフトウェア部品表 で使用)
    5. ビジネスサービス [cmdb_ci_service_business]。
    6. 技術管理サービス [cmdb_ci_service_technical] テーブル (旧称テクニカルサービス)。
    注:

    ソフトウェア部品表ファイルをアップロードすると、SBOM アプリケーションは、アップロードした製品モデルとビジネスアプリケーションを、CMDB に既に存在するものと照合しようとします。サービスインスタンス (旧称アプリケーションサービス) またはビジネスアプリケーション またはビジネスアプリケーションを製品モデルにリンクできます。

    脆弱性対応、アプリケーション脆弱性対応、サードパーティの脆弱性統合およびソフトウェア部品表アプリケーションに付加価値を提供する製品

    次のServiceNow製品で脆弱性対応アプリケーションを使用すると、組織にメリットがあります。
    サードパーティの脆弱性スキャナーと統合

    脆弱性情報データベース (NVD) からインポートされた脆弱性とサードパーティスキャナーからの検出データは、CMDB の資産で調整されます。インポートされた脆弱性が既存の資産と一致する場合、脆弱性一致アイテムが作成されます。脆弱性一致アイテムは、修復のためのタスクに自動的にグループ化され、ビジネスコンテキストでリスクスコアが付けられ、優先順位が付けられ、修復のために適切なチームにアサインされます。統合の詳細とリストについては、「 脆弱性対応 の統合」を参照してください。

    CWE Comprehensive 2000 と NVD の統合

    NIST 脆弱性情報データベース (NVD) と共通脆弱性タイプ一覧 (CWE) の統合からインポートされたデータは、インスタンスの脆弱性データを拡張して、脆弱性、脆弱性一致アイテム、または修復タスクの修復をエスカレートするかどうかを決定するために使用されます。詳細については、「NVD 統合の概要」と「CWE レコードの更新のためのスケジュール済みジョブの構成および実行」を参照してください。

    との統合によりメリットが得られる製品 ソフトウェア部品表

    セキュリティポスチャコントロール

    セキュリティポスチャコントロール により、サイバーセキュリティチームはエンタープライズ資産インベントリ全体を可視化し、全体的なセキュリティポスチャを判断できるようになります。SPC のポリシーは、脆弱性対応アプリケーションでインポートする脆弱性のある資産を検出して、セキュリティツールの範囲のギャップを見つけるのに役立ちます。

    ガバナンス、リスク、コンプライアンス

    統合されたリスクプログラムでセキュリティと IT をつなぎ、継続的な監視、優先順位付け、および自動化を行います。

    DevOps

    GitHub 環境から開始する GitHub Actions を使用して、ソフトウェア開発サイクル中に潜在的に有害なコンポーネントから環境を保護します。GitHub リポジトリから SBOM ファイルを ServiceNow AI Platform にアップロードします。