Security Center:脆弱性管理の概要

重要なビジネスサーバーに対する継続的かつ自動化された脆弱性管理

• シナリオ：重要なビジネスサーバーでは、サービスのセキュリティと安定性を維持するために、毎日の脆弱性スキャンとタイムリーな修復が必要です。

• 対象エディション：[Advanced]、[Enterprise]、または [Ultimate]。

• 機能：1 日 1 回の定期的な自動脆弱性スキャンと、無制限の脆弱性修復をサポートします。また、突発的なセキュリティインシデントに対応するための 手動脆弱性スキャン も可能です。

非コアサーバーまたは開発環境の基本的な保護

• シナリオ：少数のサーバー (10 台未満) や開発・テスト環境において、コストを抑えつつ基本的な脆弱性検出と修復が必要です。

• 対象エディション：[Anti-virus]。必要に応じて脆弱性修復を 購入 できます。

• 機能：2 日に 1 回の定期的な自動脆弱性スキャンをサポートし、基本的なニーズを満たします。脆弱性を修復する必要がある場合は、従量課金モデルを使用するか、修復パッケージを購入することで、柔軟な脆弱性管理が可能です。

新たに公開された重大な脆弱性への迅速な対応と調査

• シナリオ：重大なセキュリティ脆弱性 (Log4j2 など) が公開された場合、自社のサーバー資産が影響を受けているかどうかを即座に判断する必要があります。

• 対象エディション：[Enterprise] または [Ultimate]。

• 機能：手動脆弱性スキャン を使用して、すべてのサーバーまたは一部のサーバーに対して包括的なスキャンを即座に実行します。スキャン結果には、詳細な脆弱性情報と手動修復のための公式な修復アドバイスが提供されます。

脆弱性スキャン

脆弱性スキャンには、手動脆弱性スキャン と 定期的な自動脆弱性スキャン の 2 つの方法があります。

脆弱性修復

Security Center は、パッチを自動的にデプロイしてセキュリティ問題を迅速に解決するのに役立つ ワンクリック修復 機能を提供します。

• 修復方法

  • ワンクリック修復：Security Center は、コンソールでワンクリック修復機能を提供します。この機能は、サーバーにログインして手動操作を行う必要なく、脆弱性修復の自動化を支援します。

    重要

    ワンクリック修復機能は、Application Vulnerability および 緊急の脆弱性 ではサポートされていません。

  • 自動修復: Automatic Vulnerability Remediation スイッチを有効にし、自動修復タスクを設定して、指定された期間内に新たに検出された脆弱性を定期的に修復できます。

    • 自動修復タスクは ワンクリック修復 機能に依存します。現在のエディションまたは脆弱性の種類が ワンクリック修復 に対応していない場合、自動修復も利用できません。

    • 自動修復 は、カーネル以外の Linux システムの脆弱性にのみ対応しています。

  • 手動修復: 現在のエディションまたは脆弱性タイプがワンクリック修復をサポートしていない場合、または Vulnerability Fix 機能が有効になっていない場合は、サーバーにログインし、脆弱性の詳細に記載されている修復の提案に従って、脆弱性を手動で修復する必要があります。

• 脆弱性修復の計算ルール

  • 最小単位：1 台のサーバーで 1 つのセキュリティアドバイザリを正常に修復すると、1 回の修復としてカウントされます。

    重要

    1 つのセキュリティアドバイザリには、関連する複数の CVE が含まれる場合があります。アドバイザリを修復すると、含まれる CVE の数に関係なく、1 回の修復としてのみカウントされます。

  • 脆弱性修復の回数 = Σ (各サーバー上の「Fixed」ステータスのセキュリティアドバイザリの数)

    重要

    修復は、サーバーが再起動し、そのステータスが「Fixed」に変更された後にのみカウントされます。失敗した修復はカウントされません。

  • 例：

    Security Center を使用して、5 台のサーバーのそれぞれで 10 個の異なるセキュリティアドバイザリを正常に修復した場合：

    脆弱性修復の合計回数 = 5 台のサーバー × 10 個のセキュリティアドバイザリ = 50 回の修復

• 脆弱性修復の優先度

  脆弱性が存在する場合、Alibaba Cloud の脆弱性スコアリングシステム (CVSS に基づき、実際のクラウド攻撃シナリオと組み合わせたもの) が、修復の優先順位付けを支援します。このシステムは、脆弱性の深刻度、悪用の成熟度、脅威のリスク、影響を受ける資産の範囲を考慮します。

  • 脆弱性修復緊急度スコア = Alibaba Cloud 脆弱性スコア × 時間因子 × 環境因子 × 資産重要度因子。

    • Alibaba Cloud 脆弱性スコア：脆弱性の固有の深刻度を評価します。

    • 時間因子：脆弱性の公開日や悪用方法の普及率などの動的な要因を考慮します (値は 0 から 1)。

    • 環境因子：パブリックインターネットに接続されているかどうかなど、サーバー環境での脆弱性の悪用可能性を評価します (値は動的に調整されます)。

    • 資産重要度因子：資産の重要度の設定に基づいて優先度を調整します (重要：1.5、一般：1、テスト：0.5)。

  • 修復の優先度と提案：

    優先度	修復緊急度スコア	説明	修復の提案
    高	13.5 以上	認証されていないリモートの攻撃者が容易に悪用でき、ユーザーの操作なしにシステム侵害 (例：任意コード実行) につながる可能性があります。ワームやランサムウェアでよく使用されます。	可及的速やかに修復
    中	7.1 ～ 13.5	リソースの機密性、完全性、または可用性を損なう可能性があります。通常、公式の評価は高いものの、まだ実証可能な形で悪用されていない脆弱性が含まれます。	後で修復可能
    低	7 未満	悪用が成功する確率が極めて低い、または悪用されても実際のリスクがないものです。ソースコードのバグや、コンプライアンスやビジネスパフォーマンスへの影響が軽微な脆弱性で一般的です。	延期可能
    特殊	-	緊急の脆弱性：Alibaba Cloud のセキュリティエンジニアが確認した高リスクの脆弱性です。できるだけ早く修復することを推奨します。ネットワークの問題で環境因子が取得できない場合、提案が「延期可能」と表示されることがあります。	可及的速やかに修復

ルール更新スケジュール

OS ベンダーからの新しいセキュリティアドバイザリに対応するため、Security Center は定期的に脆弱性検出ルールを更新します。

• Linux システム：

  • 高リスクの脆弱性：OS ベンダーの発表から 48 時間以内に検出ルールが追加されます。

  • CVE 脆弱性：OS ベンダーの発表から 14 日以内に検出ルールが追加されます。

• Windows システム：Microsoft の発表から 48 時間以内に CVE 脆弱性検出ルールが追加されます。

データ保持ポリシー

効率的なシステムパフォーマンスを確保するため、Security Center は古い脆弱性データを自動的にクリーンアップします。

• アクティブな脆弱性：
  脆弱性のステータス (Fixed、Fixing Failed、Ignored、Unfixed、Fixing、Verifying など) が 1 年間変更されない場合、システムは自動的にその脆弱性レコードを削除します。
  
  

• 無効な脆弱性:
  脆弱性のステータスが 脆弱性は無効になりました のまま、脆弱性管理の設定 にある 無効な脆弱性の自動削除 で定義された保持期間が経過すると、システムはその脆弱性レコードを自動的に削除します。
  
  

脆弱性スキャンと修復でサポートされるオペレーティングシステム

サポートが終了した (EOL) OS の脆弱性サポート

サポートが終了 (EOL) したオペレーティングシステムについては、Security Center は EOL 日以降に公開された Linux ソフトウェアの脆弱性と Windows システムの脆弱性のスキャン、検出、修復をサポートしなくなります。