機能別ガイド／ Endpoint Security

Vulnerability Managementの概要と設定

NinjaOneで脆弱性を検出し対処状況を追跡する機能を説明します。導入前の前提確認、CVEデータとの照合、ダッシュボードで見るべき数字、除外設定の記録について解説します。

デバイスに存在する脆弱性を検出し、対処状況を追跡する機能です。Software Inventoryで収集した情報と、公表されている脆弱性情報を突き合わせて判定します。

脆弱性管理の流れ

処理は4つの段階に分かれます。

1番目はSoftware Inventoryが担います。したがって、Software Inventoryが正しく収集されていないデバイスは、脆弱性管理の対象外になります。

有効にする前に、次を確認してください。

3番目が重要です。脆弱性を検出しても、解消する手段がなければ一覧が増えるだけになります。Patch Managementの運用を先に確立してください。

【注意】有効にした直後は、大量の脆弱性が検出されます。数千件という規模になることも珍しくありません。これは異常ではなく、これまで可視化されていなかったものが見えるようになっただけです。件数に驚いて対応を諦めないでください。

Policyまたはテナントの設定で有効にします。設定する主な項目は次の通りです。

スキャンの頻度は日次で問題ありません。デバイスへの負荷は限定的です。

脆弱性はCVEという共通の識別子で管理されています。検出された脆弱性には、このCVE番号が付与されます。

CVE番号が分かると、次のことができます。

深刻度はCVSSというスコアで表されます。数値が高いほど深刻ですが、この数値だけで優先順位を決めないでください。理由は脆弱性の評価と対処で説明します。

ダッシュボードのVulnerabilitiesタブで全体の状況を確認できます。

見るべき数字は次の3つです。

3番目が最も重要です。件数の絶対値ではなく、増えているか減っているかを見てください。

パッチ適用の運用が機能していれば、新しい脆弱性が公表されても一定期間で解消されます。件数が単調に増え続けているなら、対処が追いついていません。

デバイス詳細画面のVulnerabilitiesタブで、そのデバイスの脆弱性を確認できます。

問い合わせ対応や、特定デバイスの調査で使います。Health issuesにも件数が表示されるため、デバイスの状態を見た時点で気付けます。

検出されたが対応しない脆弱性を、除外として記録できます。

除外が妥当なケースは次の通りです。

【運用のポイント】除外する際は、必ず理由と判断者、判断日を記録してください。監査で「なぜこの脆弱性を放置しているのか」と問われたとき、記録がなければ説明できません。「対応が面倒だから除外した」と区別がつかない状態にしないでください。