脆弱性マネジメントソリューション
脆弱性の影響度を可視化して、セキュリティパッチの適用作業を自動化！
「脆弱性マネジメントソリューション」は、BMCソフトウェア社が提供する「TrueSight Server Automation」「TrueSight Vulnerability Management」と連携し、サーバーにおける脆弱性対策を、より確実に、より効率よく実施することができるソリューションです。
「脆弱性マネジメントソリューション」は、組織が保有するサーバーの脆弱性を可視化し、同時に、サーバーの脆弱性に対して自動的にセキュリティパッチを適用することができます。
これにより、組織全体の迅速なセキュリティ対策に貢献します。
「脆弱性マネジメントソリューション」導入メリット
-
適用計画立案が効率化
脆弱性情報を可視化することにより、適切なセキュリティパッチの適用計画が立案しやすくなります。
-
適用実施率が向上
適用計画の立案のしやすさや適用作業の自動化により、セキュリティパッチ適用の実施率が向上します。
-
適用作業コストが削減
セキュリティパッチの適用作業自動化により、作業コストが削減されます。
セキュリティ対策の課題 - 「脆弱性マネジメントソリューション」が求められる理由
近年、IoT、マルチクラウド、ビッグデータなど多様化するIT環境と、巧妙化するサイバー攻撃に対し、より網羅的で強固なセキュリティ対策が必要とされています。
(5) 攻撃手法
日米欧ともに「脆弱性（セキュリティパッチの未適用）を突かれたことによる不正アクセス」をあげる割合が高い。
51.7%
脆弱性 (セキュリティパッチの未適用) を突かれたことによる不正アクセス
IPA (独立行政法人 情報処理推進機構) の調査報告によれば、企業が受けたサイバー攻撃の手法としては、「脆弱性 (セキュリティパッチの未適用) を突かれたことによる不正アクセス」が、2017年度では全体の 51.7% と、最も高い割合となっています。
サイバー攻撃から企業を守るためには、「セキュリティパッチ未適用」の脆弱な状態を、できるだけ短時間で回復させることが必要となります。
現時点での情報セキュリティ人材は約28.1万人、現時点での不足数は約13.2万人
13.2万人
情報セキュリティ人材の不足数
しかし、現在、セキュリティ対策を講じるセキュリティ技術者は確実に不足しています。
このため、セキュリティ技術者が不足している状況で、できるだけ短時間で「セキュリティパッチ未適用」の脆弱性を発見し、かつ、効率的にセキュリティパッチを適用することが、現在のセキュリティ対策の課題となっています。
「脆弱性マネジメントソリューション」は、この課題に対するソリューションを提供します。
ソリューション全体概要
「脆弱性診断ツール」で、脆弱性リスクを把握
対応する「脆弱性診断ツール」
-
Qualys 社 「QualysGuard」
-
Tenable Network Security 社 「Nessus」
-
Rapid7 社 「Nexpose」
「TrueSight Vulnerability Management」で、脆弱性対応の運用状況を可視化
「脆弱性診断ツール」からインポートされた診断結果をもとに、組織内の脆弱性情報をダッシュボードに表示します。セキュリティ担当者は、可視化された脆弱性情報をもとにセキュリティ対策の優先付けと、脆弱性対策実施計画を立案します。
「TrueSight Server Automation」で、セキュリティパッチを自動で適用
「TrueSight Vulnerability Management」で設定されたパラメーターにしたがって、セキュリティパッチをサーバーに自動で適用します。
「脆弱性診断データ変換モジュール」による「Tripwire IP360」との連携
トリップワイヤ社「Tripwire IP360」、BMCソフトウェア社「TrueSight Vulnerability Management」、東芝デジタルエンジニアリングが提供する「脆弱性診断データ変換モジュール」が連携することで、「Tripwire IP360」の脆弱性診断結果を「TrueSight Vulnerability Management」にインポートできます。
各製品とモジュールは、以下のように動作します。
-
Phase #01
脆弱性診断
-
「Tripwire IP360」が、ネットワーク内のデバイスの脆弱性をスキャンし、脆弱性情報を収集します。
-
「脆弱性診断データ変換モジュール」が、収集した脆弱性情報を、「TrueSight Vulnerability Management」にインポートできる形式に変換します。
-
「TrueSight Vulnerability Management」が、変換された脆弱性情報をインポートします。
-
-
Phase #02
計画立案
-
セキュリティ担当者は、「TrueSight Vulnerability Management」のダッシュボードに表示される、以下の情報を確認します。
ダッシュボードに表示される情報
-
脅威レベル
-
放置日数
-
サーバーポリシー
-
-
この情報をもとにして、セキュリティパッチの適用作業の実行計画を立案します。
-
-
Phase #03
パラメーター設定
セキュリティ担当者は、「TrueSight Vulnerability Management」を使用して、セキュリティパッチの適用作業のパラメーターを設定します。パラメーター例としては、以下のものがあります。
パラメーター例
-
対象サーバー
-
セキュリティパッチの適用内容
-
スケジュール
-
その他
-
-
Phase #04
自動実行
「TrueSight Server Automation」は、パラメーターに従って、セキュリティパッチ適用作業を自動的に実行します。
セキュリティパッチ適用作業が完了すると、その実行結果をダッシュボードに反映します。