脆弱性対応 の算出と脆弱性算出ルール
脆弱性算出では、脆弱性一致アイテムのフィールドの初期値の計算が自動化されます。各算出の条件が順番に評価され、最初に一致した算出が使用されます。
脆弱性算出
- デフォルトのリスク計算機
- 脆弱性重大度
脆弱性算出は、条件フィルターを使用することにより、任意の条件に基づいて脆弱性一致アイテムの影響度を優先順位付けして評価するようにビルドできます。脆弱性のビジネスインパクト、構成アイテム (CI) のクラス、脆弱性一致アイテムの経過時間などの条件を問わず、追加の脆弱性算出を作成して脆弱性一致アイテムに他のフィールドを設定できます。また、既存の脆弱性算出をカスタマイズすることもできます。算出は、どのような優先順位でも反映できるように記述できます。詳細については、「脆弱性対応 算出の作成」と「脆弱性対応 内のフィルタリング」を参照してください。
各算出機能には、算出ルールのリストが含まれ、その条件によりどのような場合に適用するのかが決定されます。算出が実行されると、各算出ルールの条件が順番に評価され、最初に一致した算出ルールが使用されます。
- 一度にアクティブにできる算出は、ターゲットフィールド ([リスクスコア]) ごとに 1 つのみです。[脆弱性重大度] はデフォルトで無効になっています。
- VIT でリスクスコアが更新されるたびに、[ メモ ] セクションが次の詳細で更新されます。
- 算出グループ名
- 算出名：算出ルールがテンプレートとスクリプトのどちらに基づいているかに応じて、名前に括弧で囲まれた詳細が追加されます。算出ルールの基準を変更または表示するには、任意のルールをクリックし、[詳細表示] チェックボックスをオンにします。[値のタイプ (Value type)] ドロップダウンボックスから、必要なオプションを選択します。[テンプレート] を選択した場合、リスクスコアはルールで指定された条件に従って更新されます。[スクリプト] を選択した場合、既存のスクリプトを追加または更新できます。
システムプロパティ sn_sec_cmn.risk_score_changes_add_worknotes は、作業メモセクションへの入力に役立ちます。脆弱性対応 v25.0.3 以降、このシステムプロパティはデフォルトで無効になっています。これを有効にした場合にのみ、リスクスコアに関連するすべての変更を表示できます。
すべての有効な脆弱性算出では、脆弱性一致アイテムが作成される都度、関連する CI または脆弱性が変更されたとき、または脆弱性一致アイテムの [リスクスコアを計算] 関連リンクが使用されるときに、選択されたフィールドが設定されます。たとえば、インポートされた脆弱性一致アイテムで重大度の値が更新されると、脆弱性一致アイテムレコードのリスクスコアが自動的に更新されます。脆弱性インポートによって脆弱性スコアが更新されると、その脆弱性に対して再計算フラグが有効になります。その脆弱性を伴い、再計算フラグが有効 (true) になっている脆弱性一致アイテムのリスクスコアが再計算されます。
- [リスクスコアを計算] 関連リンクは、少なくとも 1 つの脆弱性算出が有効になっている場合にのみ表示されます。
- 脆弱性マネージャーワークスペースおよびIT 修復ワークスペースの脆弱性一致アイテムのリスクスコアを更新するには、レコードビューの [リスクスコアを計算] ボタンを選択します。
- VIT のリスクスコアが変更されるたびに、VIT の [メモ] セクションに次の詳細が文書化されます。
- 算出グループ名
- 算出名：
- 重み付けとリスクスコアの寄与度を含むフィールド値
- 最終的なリスクスコア
脆弱性算出ルール
- 脆弱性重大度
- エクスプロイト情報
- 重要度
- 脆弱性がある CI の外部エクスポージャー
- EPSS スコア
デフォルトのリスクルールの基準をカスタマイズできます。詳細については、「脆弱性対応リスク算出のリスクルールのフィールドと重み付けの定義」を参照してください。
リスクルール算出機能のリスクスコアの決定方法については、「脆弱性対応 のリスクスコア算出の例」を参照してください。
フィールド値レベルで重み付けパーセンテージ (0 ～ 100) をアサインすることもできます。たとえば、重大度 ([なし] から [重大]) の各レベルに重み付けパーセンテージをアサインできます。
| 脆弱性重大度 | リスクスコア |
|---|---|
| 重大 | 100 |
| 高 | 50 |
| 中 | 20 |
| なし | 0 |
重大度が「重大」の場合、対応する重み付けは 50 です。重大度が「高」の場合、対応する重み付けは 25、重大度が「中」の場合、対応する重み付けは 10 です。重大度が [なし] の場合、対応する重み付けは 0 です。詳細については、「脆弱性対応 のリスクスコア算出の例」を参照してください。
各ルールには [順序] 設定があります。しかし、条件に一致する最初のルールによって脆弱性一致アイテムの [リスクスコア] フィールドが更新されます。脆弱性算出ルール設定の詳細については、「脆弱性対応 算出の作成」を参照してください。通常、スクリプト化されていない算出ルールは、スクリプト化された算出ルールよりもパフォーマンスへの影響が少なくなります。
ベースシステムの脆弱性重大度算出には、重大度レベル (なし～重大) ごとに、重大度に基づいて [リスクスコア] の値 (0 〜 100) をアサインする算出ルールが含まれています。[不明な重大度] には、リスクスコア 100 が自動的にアサインされます。これらの値は調整可能で、[デフォルトリスク算出 (Default Risk Calculator)] のように、新しい算出ルールやリスクルールを作成できます。
脆弱性のリスクスコアの重み付け
| 値 (リスク評価) | 重み付け (リスクスコア) |
|---|---|
| 1 | 90–100 |
| 2 | 70–89 |
| 3 | 40–69 |
| 4 | 1–39 |
| 5 | 0 |
- 出荷時のリスク評価タイプはベーステーブルで vr_risk_rating となっています。リスク評価タイプは、リスク評価が計算される各テーブルのビジネスルールの一部として渡されます。
- リスク評価の算出の対象となる [リスクスコアの重み付け] テーブルの値をクエリできるように、スクリプトが変更されます。
- 既存のタイプにエントリーを追加するか、新しいタイプを作成します。新しいタイプを作成するときは、新しいリスク評価のラベルを追加し、関連するスクリプトとビジネスルールも変更してください。新しいリスクスコアのスタイルも新たに追加する必要があります。
- ベーステーブルのレコードをクエリするようにスクリプトを変更します。
さらに、脆弱性一致アイテム (VI) の関連する共通脆弱性識別子 (CVE) またはサードパーティエントリー (TPE) が CVE の既知の悪用された脆弱性 (KEV) にリンクされている場合、リスクスコアが自動的に再計算されます。
Tenable 脆弱性統合と Tenable リスクルール
Tenable リスクルールは Tenable 脆弱性統合 で利用できます。脆弱性優先評価 (VPR) は、脆弱性対応 の新しいデフォルトのリスク算出でインポートして使用される Tenable 製品の属性です。Tenable リスクルールは、脆弱性対応 の脆弱性算出のデフォルトのリスク算出の一部として 脆弱性対応と Tenable の統合 アプリケーションとともにインストールされます。
このリスクルールデフォルトでは無効になっています。「セットアップアシスタントを使用した Tenable 脆弱性統合の構成」を参照してください。