脆弱性管理の背後にある科学技術は、短時間で大きく変化しました。 最初に展開されたとき、脆弱性管理会社は、可能な限り多くの潜在的な脅威を発見するためにスキャナを取得しようとしたという点で、ウイルス対策 彼らは、競合他社よりもテストベッドに隠れているより多くの脆弱性を検出できることを自慢するでしょう。

そのロジックの問題は、ウイルスや他のタイプのマルウェアとは異なり、脆弱性は潜在的に問題に過ぎないということです。 脆弱性が本当に危険であるためには、攻撃者がアクセス可能であり、悪用が比較的容易でなければなりません。 したがって、内部リソース上にある脆弱性は、潜在的な脅威ではなく、他のネットワークサービスへの安全なアクセスのような追加のコンポーネントを必要と 本当に危険なことを知ることは、今何を修正するか、後で何を延期するか、無視するかを計画することができるように重要です。

脆弱性が悪用された場合の潜在的な影響に基づいて脆弱性を分類することも役立ちます。 これには、データベース全体の消去と単一のユーザーのロックアウト、影響を受けるリソースの値など、悪用の潜在的な深刻度が含まれます。 公開されているwebサイトを汚損するのは恥ずかしいことですが、機密データを盗まれることは重要です。

最良の脆弱性管理プログラムは、スキャンにコンテキストを追加する必要があります。 人工知能（AI）を使用して、自動修正、トレーニング、または予防支援を提供するものもあります。 また、スキャンを開始する組織に適用されるコンプライアンス基準、法的義務、ベストプラクティスを理解することも重要です。 大規模なエンタープライズネットワークに潜在的に何千もの脆弱性が隠れているため、修正を確実に優先順位付けできる唯一の方法です。

以下の六つの製品は、脆弱性管理の少なくとも一つの側面のための封筒をプッシュします。

Kenna Security Vulnerability Management

kenna Security Vulnerability Managementプラットフォームは、数年前にリアルタイムの脅威データを脆弱性管理に組み込んだ最初のプラットフォームの一つでした。 それ以来、プラットフォームは、同社がクライアントのネットワークに基づいて特別に管理するものを含む、より多くの脅威フィードを含 また、より多くの脆弱性スキャナのサポートが追加され、今日では市場のほぼすべての人と連携しています。

Kennaはスキャン自体を行いません。 代わりに、Tripwire、Qualys、McAfee、CheckMarxなど、ほとんどすべての脆弱性スキャナーからデータを取り込むことができるコネクタプログラムを提供します。 プラットフォーム自体はサービスとして展開され、顧客はクラウドポータルにログインして情報を確認し、Kennaに保護しているネットワークについて知る権限を与

Kennaの背後にある考え方は、スキャナによって送信された多くの脆弱性アラートを収集し、それをリアルタイムで脅威データと比較することです。 検出された脆弱性を、それを悪用しているアクティブな脅威キャンペーンに結び付け、迅速な修正に優先順位を付けることができます。 世界中で悪用されている脆弱性は自動的に優先順位が上昇するため、防御者は攻撃者が発見して悪用する前に最も危険な問題を修正できます。

プラットフォームは、保護されたネットワークに脆弱性が存在する理由を説明し、それらを修正する方法についてのヒントを提供する良い仕事をし 検出された欠陥には、影響を与える可能性のある資産と問題の重大度に基づいて優先順位を付けることができます。 これは良い機能ですが、積極的な脅威キャンペーンに基づく脆弱性の優先順位付けは、Kennaのプラットフォームを最初に修正する必要がある重要な問題を

Flexera Vulnerability Manager

多くの脆弱性マネージャーは、企業が開発するアプリやコードに集中していますが、Flexeraプラットフォームは、ほとんどすべての企業がビジネ ほとんどの場合、購入またはライセンスされたソフトウェアの脆弱性を修正するには、パッチを適用します。 企業にとっては、特にパッチを適用するために何千ものシステムや重要なサービスをオフラインにしなければならない場合、それは巨大な問題にな 最近、ソフトウェアがどれほど緊密に統合されているかのために、1つの問題を修正すると、かなりの数の他の問題が発生する可能性があります。

Flexeraソフトウェアの脆弱性管理ソフトウェアは、企業全体で安全なパッチ管理プロセスを作成することで、この問題を解決します。 これは、サードパーティ製のソフトウェアの脆弱性を発見し、潜在的な脅威の重大度について管理者に助言することができます。 マイナーな脆弱性を修正したり、保護された組織によってインストールまたは使用されていない機能にパッチを適用したりするために、何千人ものユーザーに大規模なパッチを適用することはほとんど得られないかもしれません。 Flexeraは、コンテキストを提供し、必要に応じてパッチを展開することで、これらの決定を下すのに役立ちます。

また、操作を傷つけない方法で必要なときに脆弱性を修正することにより、自動パッチ管理システムを固定するために使用することができます。 最後に、脆弱性とパッチ管理に関するカスタマイズされたレポートを生成し、組織が関連するフレームワーク、法律、ベストプラクティスにどのように準拠しているかについても生成することができます。

Tenable.io

Tenableは、あらゆる環境のセキュリティダッシュボードを作成するための業界でよく知られています。 彼らは同じ診断技術を脆弱性管理プログラムにもたらしますTenable.ioこのプラットフォームはクラウドで管理されるため、保護された組織内に小さなフットプリントがあります。 Active scanning agent、passive monitoring、cloud connectorの組み合わせを使用して脆弱性を検索します。 Tenable.io 次に、機械学習、データサイエンス、AIを適用して、攻撃者がそれらを悪用する前に最初にどの修正を行う必要があるかを予測します。

の最大の強みの1つは、次のとおりです。

Tenable.io ダッシュボードとカスタマイズされたレポートの両方を使用して、誰もが理解できる方法で脆弱性を表示するという事実です。 開発者であるか、運用チームの一員であるか、ITセキュリティのメンバーであるかにかかわらず、次の警告を簡単に理解することができますTenable.io….. ある意味、Tenable.io 専門的なトレーニングや専門知識を必要とせずに、すべての人に脆弱性管理を提供します。

ZeroNorth

脆弱性管理プログラムのまとめにZeroNorthを含めることは、プラットフォームが実際には何もスキャンしないため、少し奇妙に見えるかもしれません。 代わりに、他の脆弱性スキャナーを統合し、不足分を補うために設計されました。 ほとんどの大企業が直面する不可能な数の脆弱性を考えると、それはすぐにその有用性を実証するツールです。

ZeroNorthはサービスとしてデプロイされ、ユーザーは安全なwebプラットフォームにログインして環境を監視します。 テストネットワーク内のさまざまなスキャナーをZeroNorthプラットフォームに接続するのは簡単で、すぐに起動して実行しました。 もちろん、ZeroNorthでデータを取得するには、環境に脆弱性スキャナーが必要ですが、開発環境から本番環境まで、ネットワークの任意の部分からのデータを処理でき スキャナがない場合、プラットフォームはオープンソースまたは商用スキャナを環境に簡単に追加する方法を提供し、プラットフォームに自動的に接続されます。

zeronorthプラットフォームは、スキャナからのデータを統合して分析する多くの作業を行います。 一つの素晴らしい機能は、それが脆弱性がどのように関連し、さらにはお互いに依存しているかを示すことができるということです。 たとえば、生のスキャンでは20の新しい脆弱性が明らかになるかもしれませんが、ほとんどの場合、最初の欠陥のために19の脆弱性が存在することは ゼロノース-ウィル その後、1つの脆弱性だけを修正することで、ネットワークから20の他の脆弱性を削除できます。 私たちのテストネットワークでは、ZeroNorthが修正を推奨した各脆弱性は、平均して14個の他の脆弱性を排除しました。また、誰が脆弱なリソースを作成し、誰がそれらを管理しているかを追跡する素晴らしい仕事をしています。

もちろん、すべての調査結果を管理者と中央コンソールに報告できますが、アプリケーション所有者にアラートと推奨される修正を送信することもで そうすれば、脆弱なアプリケーションに最も責任があり、問題の修正に最も関心がある可能性が高い人々は、すぐに修正の作業を開始することができます。

また、脆弱性スキャナ自体を監視する素晴らしい仕事をしています。 たとえば、スキャナーが他の人が発見している重大な脆弱性を見逃しているかどうかを示します。 そうすれば、特定の脆弱性スキャナへの投資が報われているかどうかを知ることができます。 このように、ZeroNorthは、スキャナスプロールアラートの大洪水を飼いならすか、新しいポリシーやツールのいずれかでスキャン精度を向上させようとしている任意の

ThreadFix

最もよく知られている脆弱性管理プラットフォームの一つであるThreadFixは、さまざまなソースからのテストデータを一つの場所と一つのダッシュボードで一元化します。 それはSAST、DAST、IASTおよびソフトウェア構成の分析(SCA)のようなフォーマットのスキャン結果を取り込むことができる。

結果を収集して照合するだけでなく、それらを分解し、脆弱性の分析や修正の優先順位付けを支援します。 これは、脆弱性管理者にとってはまれな高度な方法でこれを行います。 たとえば、アプリケーションレベルの脆弱性と、インフラストラクチャ自体に根付いているセキュリティの弱点との間で、デデュプして相関させることができます。 このような重要な区別を分離できることは、ITチームがプロセスの新しいものを壊すことなく、特定の脆弱性修正を調整するのに役立ちます。

複数の商用およびオープンソースの脆弱性スキャナからの結果のバランスと調整に加えて、ThreadFixは、セキュリティチームと開発チーム間のバックエンドのフローを合理化することにより、脆弱性のスキャンと修正のプロセスを自動化するのにも役立ちます。 リアルタイムで動作できるという事実は、開発者が最初から安全なコードを作成する責任を負うことができるDevSecOps環境で実装するのに最適なツールにな ThreadFixは、生成されている脆弱性を見つけ、開発者が本番環境の近くに配置する前に脆弱性を修正するのに役立ちます。

ThreadFixはまた、脆弱性解決活動と発見されたエラーを修正するのにかかる時間を定量化することができます。 このデータを活用することで、セキュリティチームは真の脆弱性ウィンドウのより良いアイデアを得ることができ、管理者は状況が経時的に改善しているかどうか、そしてどのようにしているかを確認することができます。

Infection Monkey

GuardicoreのInfection Monkeyプログラムは、脆弱性ラウンドアップのための別の奇妙な選択肢と考えられるかもしれませんが、セキュリティ上の欠陥や脆弱性 それはまた、変更可能なソースコードで、無料ですので、あなたはそれをしようとすることによって失うものは何もありません。

Infection Monkeyは、脆弱性を特定するだけでなく、攻撃者が潜在的にそれらを悪用する可能性がある方法を正確に示しているため、優れたツールです。 このプログラムを使用して、Windows、Linux、OpenStack、vSphere、Amazon Web Services、Azure、OpenStack、およびGoogle Cloud Platform環境のセキュリティホールを確認できます。 Pythonベースのソースコードも提供されているため、ユーザーは独自の環境や独自の環境で動作するように設定することもできます。

プログラムは、常にGuardicoreによってアップグレードされ、更新されている実際の攻撃や技術を使用しています。 実際には、それは実際にネットワークを攻撃しているので、技術的にはシミュレーションではありません。 それは悪意のあるペイロードを持っていないだけです。 既存のセキュリティツールが感染猿を止めることができれば、その防御の背後に隠れている脆弱性は優先順位が低いと考えることができるので、

実際の値は、感染猿が正常に侵入したときに来ます。 弱点を発見して悪用すると、プログラムはどの脆弱性が悪用されたのか、どの防御がバイパスされたのか、だまされたのかなど、途中で取ったすべての

何千もの脆弱性のリストを見ている場合は、Infection Monkeyを使用して、攻撃者が悪用できる脆弱性を調べます。 その後、最初にそれらにパッチを適用し、あなたの仕事をチェックするために再び猿を展開します。