コンフィグレーションコンプライアンス インポートデータ
コンフィグレーションコンプライアンス アプリケーションは、サードパーティの統合からポリシー、テスト、信頼できるソース、およびテスト結果をインポートし、表示するためにモジュールに保存します。
| v14.9 より前の用語 | v14.9 以降の用語 |
|---|---|
| テスト結果グループ | 修復タスク |
| グループルール | 修復タスクルール |
| ポリシー | テストグループ |
サポートされる統合
サードパーティ統合により、構成アセスメントの結果、ポリシー、テスト、テクノロジー、信頼できるソース、テスト結果が コンフィグレーションコンプライアンス アプリケーションにインポートされます。脆弱性マネージャーまたは脆弱性アナリストは、このデータを使用して、資産の構成関連の脆弱性を特定して対応します。
サポートされている統合の詳細については、「コンフィグレーションコンプライアンス の統合」を参照してください。
ポリシー
ポリシーは、信頼できるドキュメントとテストレコードに関連しています。構成テストのグループはポリシーを定義します。ポリシーは通常、Windows、Oracle データベース、Cisco IOS などのテクノロジークラスに応じており、多くの場合、主要な業界標準に由来しています。ポリシーは、組織のニーズに合わせて変更できます。1 つの構成テストは、複数のポリシーに属することができます。
| 統合 | 説明 |
|---|---|
| Qualys Vulnerability Integration | ジョブスケジュール ([Qualys PC ポリシー]) によって午前 1:00 にポリシーが取得され、コントロール ID が入力されます。 ジョブスケジュールを表示するには、次の場所に移動します。 .
注: 統合の手動実行を選択した場合は、最初に [Qualys PC ポリシー] を実行します。 |
| Tenable Vulnerability Integration | ジョブスケジュール [Tenable.io コンプライアンス結果統合] は、ポリシーをインポートします。 統合を手動で実行することを選択した場合、無視された資産をアセスメントデータと調整するまで、次の順序で統合を実行します。
ポリシーレコードを表示するには、次に移動します。 . ポリシーレコードを正しく識別して作成するために、ポリシーの監査情報がインポートされ、[簡単な説明] フィールドに表示されます。 |
テスト
テストは、コンピューティング資産のスキャンを整理するデータレコードのライブラリです。構成テストでは、テクノロジー資産のクラスを管理する方法を定義します。
コンフィグレーションコンプライアンス テストは、サードパーティ統合アプリケーションが資産を脆弱性のタイプごとにグループ化するために使用するメカニズムです。Qualys のような一部のサードパーティ VA スキャンソリューションには、信頼できるソースのポリシーと「フレームワーク」にマッピングされた非常に大規模なテストライブラリ (8,000 にも及ぶ) があります。
テストには、1 対多、予想値対実際値など、多くの値を含めることができます。テストとは、準拠していないソフトウェアまたはハードウェア資産のクラスを識別するために使用できるものです。たとえば、リリース番号やハードウェア番号などです。
| 統合 | 説明 |
|---|---|
| Qualys Vulnerability Integration | ジョブスケジュール [Qualys PC コントロール] がテストを取得します。ジョブスケジュールを表示するには、次の場所に移動します。 . 注: 統合の手動実行を選択した場合は、[Qualys PC ポリシー] の後で [Qualys PC コントロール] を実行します。 |
| Tenable Vulnerability Integration | ジョブスケジュール [Tenable.io コンプライアンス結果統合] は、構成テスト (テスト) をインポートします。 統合を手動で実行することを選択した場合、無視された資産をアセスメントデータと調整するまで、次の順序で統合を実行します。
構成テストレコードを表示するには、次の場所に移動します。 . レコードでは、インポートされたデータが [簡単な説明] フィールドと [修復ステータス]、 [説明]、および [修復] タブに表示されます。データは、[引用]、[ポリシー]、および [テスト結果] の関連リンクにも表示されます。 |
テクノロジー
サードパーティの脆弱性スキャナーが、ソフトウェアとハードウェアの構成アイテムを分析するためのテストグループを作成する際に用いる手法の 1 つに、テクノロジーごとに整理する方法があります。テクノロジーとは、ポリシーに関連付けられている OS、ネットワークデバイス、データベース、およびアプリをインポートしたライブラリのことです。テストには、さまざまなテクノロジーに対応した複数の実装があります。修復もテクノロジーによって異なります。
テストに適用されるテクノロジーを表示することで、コントロールがどのようなソフトウェアまたはハードウェア資産に適用できるかをよく知ることができます。コントロールに適用できるテクノロジーの例には、CentOS 7.x、Windows 8.1、Windows 2016 Server などがあります。テクノロジーのリストは読み取り専用で、Qualys Cloud Platform アプリケーションで定義されているテクノロジーと一致します。
テクノロジーは、データベース関連の構成アセスメントのためにのみインポートされます。インポートの db_type (空でない場合) は、テクノロジーを作成するために使用されます。構成テストレコード、テスト結果レコード、ポリシーレコード、および .
各種法令・基準等
信頼できるソースと引用 (指令とも呼ぶ) は、サードパーティの脆弱性スキャナーからインポートされます。
これらの信頼できるソースレコードには、コンピューターセキュリティの分野のエキスパートからの既知のソフトウェアおよびハードウェア構成の問題に関する情報が含まれています。これらは、セキュリティ方針と手順の要件を定義します。構成テストでは、引用を通じて複数の信頼できるソースを参照できます。信頼できるソースは、監査に備え、指定された基準に対するコンプライアンスについて報告できます。
| 統合 | 説明 |
|---|---|
| Qualys Vulnerability Integration | ジョブスケジュール [Qualys PC ポリシーの詳細 (Qualys PC Policies Detail)] は、信頼できるソースと引用を取得します。このジョブスケジュールを表示するには、次の場所に移動します。 . 注: 統合の手動実行を選択した場合は、[Qualys PC ポリシー] の後で [Qualys PC ポリシーの詳細 (Qualys PC Policies Detail)] を実行します。 |
| Tenable Vulnerability Integration | ジョブスケジュール [Tenable.io コンプライアンス結果統合] は、信頼できるソースを引用データの一部としてインポートします。 統合を手動で実行することを選択した場合、無視された資産をアセスメントデータと調整するまで、次の順序で統合を実行します。
データは、構成テストレコードの [引用] 関連リンクに表示されます。 |
テスト結果
コンフィグレーションコンプライアンス はテスト結果を計算しませんが、サードパーティ統合の一部としてインポートします。で表示可能 コンフィグレーションコンプライアンスになると、修復 タスクを使用して修復されます。詳細については、「コンフィグレーションコンプライアンス の相関」を参照してください。
| 統合 | 説明 | ||||||
|---|---|---|---|---|---|---|---|
| Qualys Vulnerability Integration |
テスト結果は、次のいずれかの方法で取得できます。
|
||||||
| Tenable Vulnerability Integration | ジョブスケジュール [Tenable.io コンプライアンス結果統合] は、テスト結果をインポートします。 統合を手動で実行することを選択した場合、無視された資産をアセスメントデータと調整するまで、次の順序で統合を実行します。
構成テストレコードを表示するには、次の場所に移動します。 . レコードでは、インポートされたデータが [テスト] および [構成アイテム] フィールドに表示されます。データは、[必要な値 (Expected Values)]、 [実際の値 (Actual Values)]、および [修復] タブにも表示されます。[テスト結果グループ] および [テスト結果の履歴] 関連リンクが設定されます。 |