Rapid7 脆弱性統合の再スキャンの開始
Rapid7 プラットフォームで再スキャンを開始し、スケジュールされたスキャンサイクル間で脆弱性一致アイテムが修正されたことを確認します。
始める前に
脆弱性対応ワークスペースから再スキャンを開始できます。詳細については、「脆弱性マネージャーワークスペース でレコードや修復タスクを再スキャンする」と「IT 修復ワークスペースでの脆弱性一致アイテムと修復タスクの再スキャン」を参照してください。
必要なロール：sn_vul.write_all または sn_vul.write_assigned
このタスクについて
クラシック環境での再スキャン方法については、次のセクションを参照してください。
修復オーナー、IT スペシャリスト、脆弱性アナリスト、または脆弱性マネージャーは、スケジュール設定済みのフルスキャンに関連するオーバーヘッドとボリュームを削減するために、環境内の資産 (構成アイテム) の特定の脆弱性についてターゲットの再スキャンをオンデマンドで開始できます。脆弱性一致アイテム (VI)、修復タスク (RT)、サードパーティエントリー (TPE)、または ServiceNow AI Platform® インスタンスから検出されたアイテムレコードから再スキャンを開始できます。
再スキャンにより、修復アクティビティ、パッチ、およびその他のアクションによって構成アイテム (CI) の特定の脆弱性が正常に修正されたことを確認できます。
たとえば、3 週間に 1 回環境全体をスキャンするとします。最新のフルスキャンは 1 週間前に完了しましたが、重大な脆弱性を修正するために昨日パッチを適用しました。この脆弱性の特性を考えると、この脆弱性が修正されたことを確認するのに次のスケジュール済みスキャンまで 2 週間待つことはできません。以前のスキャン中に検出された重大な脆弱性がパッチによって正常に修正されたことを確認するために、ServiceNow AI Platform for Rapid7 脆弱性一致アイテムからターゲット再スキャンを開始できます。Rapid7 InsightVM 脆弱性と脆弱性一致アイテム統合の次回のインポート予定で、脆弱性一致アイテムの更新された結果を表示できます。
手順
-
再スキャンをトリガーする脆弱性一致アイテムレコードを見つけて開きます。
注:ソースが Rapid7 の VI の再スキャンのみを開始できます。VI リストビューの [ソース] 列、または個々のレコードの [ソース] フィールドに Rapid7 が表示されていることを確認します。条件ビルダーを使用して、VI をソース別にグループ化できます。または、[ソース] 列が VI リストビューに表示されていない場合は、リストの左上にある歯車アイコンをクリックし、[ソース] を [利用可能] から [選択済み] に移動します。
再スキャンを開始するときは、複数のソースから 1 つのソース ID のスキャンを同時にトリガーしないようにしてください。最新のスキャン要求がエラーになります。
たとえば、VI レコードから VI の再スキャンを開始し、同じ VI を含む修復タスクレコードから別の再スキャンも要求すると、2 番目の要求が失敗する可能性があります。
-
表示されるポップアップで、再スキャンを確認します。
スキャンが処理されていることを示すメッセージが表示されます ([キューに格納])。メッセージで [詳細を表示] リンクをクリックして、再スキャンのステータスを確認し、レコードから開始された他の再スキャンを表示します。すべての再スキャンのステータスは、再スキャンの開始に使用する VI、修復タスク、TPE、および検出されたアイテムレコードの [スキャン] 関連リストでいつでも確認できます。
スキャンの進行中は、[ステータス (State)] フィールドが [スキャン] に変わり、[ステータスメッセージ] フィールドに [スキャンが進行中です] と表示されます。
注:各再スキャンは、スキャンごとに 500 資産をサポートします。要求に 500 を超える資産がある場合は、さらに子スキャンが要求されます。ServiceNow AI Platform® インスタンスは、正常に完了するか設定された追跡期間がタイムアウトするまで、再スキャンステータスを追跡します。
図 : 1. 処理中の再スキャン タイムアウトしてもスキャンは停止しません。タイムアウトは、実際の再スキャンが停止したときではなく、ServiceNow AI Platform® が再スキャンステータスの追跡を停止したときです。[クローズ済み]/[修正済み] に移行した、または移行する予定のすべての VI は、Rapid7 統合の次のスケジュール済みインポートとともにインポートされます。
図 : 2. 再スキャン完了 または、特定の資産の特定の脆弱性についてオンデマンドで再スキャンを開始できます。スキャンを開始した更新された VI、修復タスク、TPE、および検出されたアイテムレコードでスキャンが完了すると、これらのスキャンの結果を表示できます。
脆弱性スキャンレコードの [ステータス (State)] フィールドの値は Rapid7 からインポートされます。スキャンが正常に終了すると、ステータスは [完了] に設定されます。スキャンが正常に完了しなかった場合は、エラー値が表示されます。
自動スキャンとスケジュール設定済みスキャン
脆弱性マネージャーまたはアナリストは、VI および RT の再スキャンをいつ開始するかを指定してスケジュール設定できます。解決するように設定された VI および修復タスクの自動スキャンを有効にすることもできます。
-
統合インスタンス Rapid7 InsightVM レコードで、スキャンをスケジュールするためのパラメーターを見つけ、必要に応じて編集します。
scan_on_resolved は、脆弱性が解決されたときにスキャンを開始するかどうかを示します。デフォルトでは false (無効) になっています。
このパラメーターを true に設定すると、VI または RT が [解決済み] に設定されるたびに、それぞれの VI と修復タスクを再スキャンするワークフローが自動的にトリガーされます。
- scan_start_time
- 再スキャンを可能にする開始時間に対して、スキャン開始時間を HH:mm (24 時間形式、UTC タイムゾーン) で設定します。
デフォルト値は 00:00 です。
- scan_end_time
- スキャンを可能にする終了時間に対して、スキャン終了時間を HH:mm (24 時間形式、UTC タイムゾーン) で設定します。
デフォルト値は 23:59 です。
スケジュールされた時間内にスキャンが開始されると、すぐに開始されます。スキャンが時間外に開始された場合は、次のスケジュール設定済み時間のキューに入れられます。
たとえば、scan_start_time パラメーターに開始時刻の 00:00 を入力し、scan_end_time に同じ日の朝の 10:00 AM を入力すると、深夜 0 時から午前 10 時までの時間帯以外にスケジュール設定されたスキャンまたは手動で開始されたスキャンがキューに入り、翌日の時間帯の開始時間 00:00 に起動されます。
同じ例で、午前 11:00 に再スキャンを手動で開始した場合、利用可能な構成済みスキャン時間外であるため、再スキャンはすぐには開始されません。スキャン要求は、翌日の時間帯の開始 (この例では 00:00) までキューに入ったままになります。