Security Center:脆弱性管理の概要

重要なビジネスサーバーに対する継続的かつ自動化された脆弱性管理

• シナリオ: 重要なビジネスサーバーでは、サービスを安全かつ安定に保つために、毎日の脆弱性スキャンとタイムリーな修正が必要です。

• 適用エディション: Advanced、Enterprise、または Ultimate。

• 特徴: 1 日 1 回の自動定期脆弱性スキャンと無制限の脆弱性修正をサポートします。また、突然のセキュリティインシデントに対応するための 手動脆弱性スキャン もサポートしています。

非コアサーバーまたは開発環境の基本保護

• シナリオ: 少数のサーバー (10 台未満) または開発およびテスト環境に対して、コストを低く抑えながら、基本的な脆弱性の検出と修正が必要です。

• 適用エディション: Anti-virus、オンデマンドで脆弱性修正を 購入 するオプション付き。

• 特徴: 2 日に 1 回の自動定期脆弱性スキャンをサポートし、基本的なニーズを満たします。脆弱性を修正する必要がある場合は、従量課金モデルを使用するか、修正パッケージを購入して柔軟な脆弱性管理を行うことができます。

新たに公開された重大な脆弱性への迅速な対応と調査

• シナリオ: 重大なセキュリティ脆弱性 (Log4j2 など) が公開された場合、サーバー資産のいずれかが影響を受けているかどうかを直ちに判断する必要があります。

• 適用エディション: Enterprise または Ultimate。

• 特徴: 手動脆弱性スキャン を使用して、すべてのサーバーまたは一部のサーバーで包括的なスキャンを直ちに実行します。スキャン結果には、詳細な脆弱性情報と手動修正のための公式な修正アドバイスが提供されます。

脆弱性スキャン

脆弱性スキャンは、手動脆弱性スキャン と 定期的自動脆弱性スキャン の 2 つのメソッドをサポートしています。

脆弱性修正

Security Center は、セキュリティ問題を迅速に解決するためのパッチを自動的にデプロイする ワンクリック修正 機能を提供します。

• 脆弱性修正の計算ルール

  • 最小単位: 1 つのサーバーで 1 つのセキュリティ通知を正常に修正すると、1 回の修正としてカウントされます。

    重要

    1 つのセキュリティ通知には、複数の関連する CVE が含まれる場合があります。通知を修正すると、含まれる CVE の数に関係なく、1 回の修正としてのみカウントされます。

  • 脆弱性修正数 = Σ (各サーバーの「修正済み」ステータスのセキュリティ通知の数)

    重要

    修正は、サーバーが再起動し、そのステータスが「修正済み」に変わった後にのみカウントされます。失敗した修正はカウントされません。

  • 例:

    Security Center を使用して 5 台の各サーバーで 10 件の異なるセキュリティ通知を正常に修正した場合:

    脆弱性修正の合計 = 5 サーバー × 10 セキュリティ通知 = 50 修正

• 脆弱性修正の優先度

  脆弱性が存在する場合、Alibaba Cloud の脆弱性スコアリングシステム (CVSS に基づき、実際のクラウド攻撃シナリオと組み合わせたもの) が修正の優先順位付けに役立ちます。このシステムは、脆弱性の深刻度、悪用の成熟度、脅威のリスク、および影響を受ける資産の範囲を考慮します。

  • 脆弱性修復緊急度スコア = Alibaba Cloud 脆弱性スコア × 時間係数 × 環境係数 × 資産重要度係数。

    • Alibaba Cloud 脆弱性スコア: 脆弱性の固有の深刻度を評価します。

    • 時間係数: 脆弱性の公開日や悪用方法の普及率などの動的要因を考慮します (値は 0 から 1)。

    • 環境係数: パブリックインターネットに接続されているかどうかなど、サーバー環境での脆弱性の悪用可能性を評価します (値は動的に調整されます)。

    • 資産重要度係数: 資産の重要度設定に基づいて優先度を調整します (重要: 1.5、一般: 1、テスト: 0.5)。

  • 修正の優先度と提案:

    優先度	修復緊急度スコア	説明	修復の提案
    高	13.5 以上	認証されていないリモート攻撃者によって容易に悪用され、ユーザーの操作なしでシステムの侵害 (任意コード実行など) につながります。ワームやランサムウェアでよく使用されます。	できるだけ早く修正
    中	7.1 から 13.5	リソースの機密性、完全性、または可用性を侵害する可能性があります。通常、公式の評価は高いものの、まだ実証可能な悪用方法がない脆弱性が含まれます。	後で修正可能
    低	7.1 未満	悪用が成功する可能性が極めて低いか、悪用されても実際のリスクがない。ソースコードのバグや、コンプライアンスやビジネスパフォーマンスへの影響が軽微な脆弱性でよく見られます。	延期可能
    特殊	-	緊急の脆弱性 および Web-CMS の脆弱性: Alibaba Cloud のセキュリティエンジニアによって確認された高リスクの脆弱性。できるだけ早く修正することをお勧めします。ネットワークの問題により環境係数が取得できない場合、提案は「延期可能」と表示されることがあります。	できるだけ早く修正

ルール更新スケジュール

OS ベンダーからの新しいセキュリティ通知をカバーするために、Security Center は定期的に脆弱性検出ルールを更新します。

• Linux システム:

  • 高リスクの脆弱性: OS ベンダーの発表から 48 時間以内に検出ルールが追加されます。

  • CVE 脆弱性: OS ベンダーの発表から 14 日以内に検出ルールが追加されます。

• Windows システム: Microsoft の発表から 48 時間以内に CVE 脆弱性検出ルールが追加されます。

データ保持ポリシー

効率的なシステムパフォーマンスを確保するために、Security Center は古い脆弱性データを自動的にクリーンアップします。

• アクティブな脆弱性:
  脆弱性のステータス (修正済み、修正失敗、無視、未修正、修正中、検証中など) が 1 年間変更されない場合、システムは脆弱性レコードを自動的に削除します。
  

• 無効な脆弱性:
  脆弱性のステータスが、脆弱性管理の設定 の 無効な脆弱性の自動削除 で定義された保持期間よりも長く 脆弱性は無効になりました のままである場合、システムは脆弱性レコードを自動的に削除します。
  

脆弱性のスキャンと修正でサポートされているオペレーティングシステム

サポート終了 (EOL) OS の脆弱性サポート

サポート終了 (EOL) に達したオペレーティングシステムについては、Security Center は EOL 日以降に公開された Linux ソフトウェアの脆弱性および Windows システムの脆弱性のスキャン、検出、修正をサポートしなくなりました。