Security Center:脆弱性管理の概要

重要なビジネスサーバーの継続的かつ自動化された脆弱性管理

• シナリオ： 重要なビジネスサーバーには、サービスの安全性と安定性を維持するため、日次の脆弱性スキャンとタイムリーな修復が必要です。

• 適用可能なエディション： [プロ版]、[エンタープライズ版]、または [Ultimate]。

• 機能： 1 日 1 回の自動定期脆弱性スキャンと無制限の脆弱性修復に加え、突発的なセキュリティインシデントに対応するための 手動脆弱性スキャン もサポートします。

非コアサーバーまたは開発環境の基本保護

• シナリオ： 少数のサーバー (10 台未満) または開発・テスト環境には、コストを抑えながら基本的な脆弱性検出と修復が必要です。

• 適用可能なエディション： [Anti-virus Edition]、オンデマンドで脆弱性修復を 購入 するオプション付き。

• 機能： 2 日に 1 回の自動定期脆弱性スキャンをサポートし、基本的なニーズを満たします。脆弱性を修復する必要がある場合は、従量課金モデルを使用するか、修復パッケージを購入して柔軟な脆弱性管理が可能です。

新たに公開された重大な脆弱性への迅速な対応と調査

• シナリオ： 重大なセキュリティ脆弱性 (Log4j2 など) が公開された際、自社のサーバー資産が影響を受けているかどうかを即座に判断する必要があります。

• 適用可能なエディション： [エンタープライズ版] または [Ultimate]。

• 機能： 手動脆弱性スキャン を使用して、すべてのサーバーまたはサーバーのサブセットに対して即座に包括的なスキャンを実行します。スキャン結果には、詳細な脆弱性情報と手動修復のための公式の修復アドバイスが提供されます。

脆弱性スキャン

脆弱性スキャンは、手動脆弱性スキャン と 定期自動脆弱性スキャン の 2 つの方法をサポートします。

脆弱性修復

Security Center は、パッチを自動的にデプロイしてセキュリティ問題を迅速に解決する ワンクリック修復 機能を提供します。

• 修復方法

  • ワンクリック修復：Security Center は、コンソールでワンクリック修復機能を提供します。この機能により、サーバーにログオンして手動操作を行うことなく、脆弱性修復を自動化できます。

    重要

    ワンクリック修復機能は、[アプリケーションの脆弱性] および [緊急の脆弱性] ではサポートされていません。

  • 自動修復: 脆弱性の自動修復 スイッチをオンにし、自動修復タスクを設定することで、指定された期間内に新しく発見された脆弱性を定期的に修復できます。

    • 自動修復タスクは、ワンクリック修復 機能に依存します。現在のエディションまたは脆弱性タイプが ワンクリック修復 をサポートしていない場合、自動修復もサポートされません。

    • 自動修復 は、カーネル以外の Linux システム脆弱性に対してのみサポートされます。

  • 手動修復：現在のエディションまたは脆弱性タイプがワンクリック修復をサポートしていない場合、または [未修正の脆弱性] 機能が有効になっていない場合は、サーバーにログオンし、脆弱性の詳細にある修復提案に従って手動で脆弱性を修復する必要があります。

• 脆弱性修復の計算ルール

  • 最小単位： 1 台のサーバー上で 1 つのセキュリティ通知を正常に修復すると、1 回の修復としてカウントされます。

    重要

    単一のセキュリティ通知には、複数の関連する CVE が含まれる場合があります。通知を修復すると、含まれる CVE の数に関係なく、1 回の修復としてのみカウントされます。

  • 脆弱性修復数 = Σ (各サーバーで「修復済み」ステータスのセキュリティ通知数)

    重要

    修復は、サーバーが再起動し、そのステータスが「修復済み」に変わった後にのみカウントされます。失敗した修復はカウントされません。

  • 例：

    Security Center を使用して、5 台のサーバーそれぞれで 10 個の異なるセキュリティ通知を正常に修復した場合：

    合計脆弱性修復数 = 5 台のサーバー × 10 個のセキュリティ通知 = 50 回の修復

• 脆弱性修復の優先順位

  脆弱性が存在する場合、Alibaba Cloud 脆弱性スコアリングシステム (CVSS (共通脆弱性評価システム) に基づき、実際のクラウド攻撃シナリオと組み合わせたもの) が、修復の優先順位付けを支援します。このシステムは、脆弱性の深刻度、エクスプロイトの成熟度、脅威リスク、および影響を受ける資産の範囲を考慮します。

  • 脆弱性修復緊急度スコア = Alibaba Cloud 脆弱性スコア × 時間係数 × 環境係数 × 資産重要度係数。

    • Alibaba Cloud 脆弱性スコア：脆弱性の本質的な深刻度を評価します。

    • 時間係数：脆弱性の公開日やエクスプロイト手法の普及度などの動的要因を考慮します (値は 0 から 1)。

    • 環境係数：サーバー環境における脆弱性の悪用可能性を評価します。たとえば、パブリックインターネットに接続されているかどうかなど (値は動的に調整されます)。

    • 資産重要度係数：資産の重要度設定に基づいて優先順位を調整します (重要：1.5、一般：1、テスト：0.5)。

  • 修復の優先順位と推奨事項：

    優先順位	修復緊急度スコア	説明	修復推奨事項
    高	13.5 以上	認証されていないリモート攻撃者によって容易に悪用され、ユーザーの操作なしにシステムが侵害される可能性があります (任意のコード実行など)。ワームやランサムウェアによってよく使用されます。	できるだけ早く修復してください
    中	7.1 から 13.5	リソースの機密性、完全性、または可用性を侵害する可能性があります。通常、公式の評価は高いものの、まだ明確に悪用可能であることが実証されていない脆弱性が含まれます。	後で修復できます
    低	7 未満	悪用が成功する確率が極めて低いか、悪用されても実際のリスクがありません。ソースコードのバグや、コンプライアンスやビジネスパフォーマンスへの影響が軽微な脆弱性によく見られます。	延期できます
    特別	-	緊急脆弱性：Alibaba Cloud セキュリティエンジニアによって確認された高リスク脆弱性です。できるだけ早く修復することを推奨します。ネットワークの問題により環境係数を取得できない場合、推奨事項が「延期できます」と表示される場合があります。	できるだけ早く修復してください

ルール更新スケジュール

OSベンダーからの新しいセキュリティ通知に対応するため、Security Center は脆弱性検出ルールを定期的に更新します。

• Linux システム：

  • 高リスク脆弱性：OS ベンダーの発表から 48 時間以内に検出ルールが追加されます。

  • CVE 脆弱性：OS ベンダーの発表から 14 日以内に検出ルールが追加されます。

• Windows システム：Microsoft の発表から 48 時間以内に CVE 脆弱性検出ルールが追加されます。

データ保持ポリシー

効率的なシステムパフォーマンスを確保するため、Security Center は古い脆弱性データを自動的にクリーンアップします。

• アクティブな脆弱性：
  脆弱性のステータス (修復済み、修復失敗、無視、未修復、修復中、検証中など) が 1 年間変更されない場合、システムは自動的に脆弱性レコードを削除します。
  
  

• 無効な脆弱性：
  脆弱性のステータスが、脆弱性管理の設定 の 無効な脆弱性の自動削除 で定義された保持期間を超えて 脆弱性は無効になりました のままである場合、システムはその脆弱性レコードを自動的に削除します。
  
  

脆弱性スキャンと修復がサポートされているオペレーティングシステム

サポート終了 OS の脆弱性サポート

サポート終了 (EOL) に達したオペレーティングシステムについては、Security Center は、EOL 日以降に公開された Linux ソフトウェアの脆弱性および Windows システムの脆弱性のスキャン、検出、または修復をサポートしなくなりました。