脆弱性管理ツールとは？種類（構成情報の照合型・スキャナ型・基盤組み込み型・集約型）と選び方

脆弱性管理ツールとは

脆弱性管理ツールは、サーバーや端末、コンテナ、クラウドの構成を集めて脆弱性情報と照らし合わせ、対応の順番を決めて、進み具合まで管理する製品です。表計算ソフトの台帳と手作業の照合に代わる仕組みです。

脆弱性診断は、ある時点の弱点を調べて報告するサービスです。脆弱性管理は、運用中の資産を見続けて、直し終わるまで追います。アプリの設計の問題は診断で調べ、日々のOSやミドルウェアの脆弱性は管理ツールで追うと分担できます。

比較ページには、自社で開発して提供する会社の製品を、各社1製品で載せました。

4つの種類

• 構成情報の照合型は、ソフトウェアの構成を脆弱性情報と照らし合わせます。例はFutureVuls、yamory、SIDfm VM、Cloudbaseです
• スキャナ型は、スキャナやエージェントで資産を調べます。例はTenable One Vulnerability Management、InsightVMです
• 基盤組み込み型は、セキュリティ製品の基盤の機能として使います。例はMicrosoft Defender 脆弱性の管理、Falcon Exposure Management、Cyber Risk Exposure Management、Singularity Vulnerability Management、Amazon Inspectorです
• 結果の集約型は、ほかのツールの結果を取り込んで順番を付けます。例はIvanti RBVM、Cisco Vulnerability Management、Cortexエクスポージャ管理です

選び方

選ぶときは「何を見るか」「どう集めるか」「誰が直すか」の3つを先に決めます。

• 見る対象を決めます。FutureVulsはOS、コンテナイメージ、NW機器、WordPressまで管理でき、yamoryはアプリのOSSからクラウドまで扱います
• 情報の集め方を決めます。エージェントを入れられない機器があるなら、SSHやSNMPで集めるSIDfm VMや、SSHとWinRMを使えるyamoryを調べます
• 優先度の付け方を比べます。FutureVulsとCloudbaseはSSVC、SIDfm VMはCVSSと独自指標のSRIを使います
• 直す人とのやりとりを決めます。SIDfm VMは委託先ベンダーと共同で使え、FutureVulsはタスクのチケットで担当を管理します

価格

公式に価格を出しているのはTenable One Vulnerability Managementで、1年250資産まで3,700ドルです。FutureVulsはCSIRTとPSIRTのプランとも100ライセンスからの案内で、金額は見積もりです。Microsoft Defender 脆弱性の管理はユーザーごとの月額で、料金はプランによって異なります。InsightVMは資産のタイプとユースケースで価格が決まります。

導入で気をつけること

• 管理の対象に入れていない機器の脆弱性は見つかりません。最初に資産の洗い出しを済ませます
• 見つけるだけでは直りません。修正する担当と期限を社内で決めておきます
• 深刻度の数字だけで順番を決めると、直す量が増えます。攻撃の状況や事業への影響も入れて絞ります