脆弱性の監視ってどうしてるの？

Question

サーバの持続的なセキュリティ確保を目指して、現在模索中です

みなさんは脆弱性の監視ってどうしてますか？

ググったら
Nessus
というものが出てきましたが、結構スタンダードなものなのでしょうか？

まったくの知識不足ですが、わかる方いらっしゃいましたらご教示願います

Answer 1

ツールで検出できるのは基本的にシグネチャがリリースされているものだけです。
検査ツールでのチェックは当然するものとして、ゼロデイ攻撃への懸念もあるので、お金をかけてよいならヒューリスティック/振舞い検知型のセキュリティ製品を導入するのがよいと思います。

また、情報収集としては以下のようなサイトを日々チェックする営みが必要かと思います。

http://jvndb.jvn.jp/index.html
https://www.jpcert.or.jp/vh/top.html
http://www.ipa.go.jp/security/vuln/
※まだまだありますが。

一昨年のbashやOpen SSLの脆弱性など、世間を(?)騒がすような脆弱性の場合、普段セキュリティに関心がなさげな経営層まで「この件はどうなのよ？」的な質問をしてきたりします。（経験談）
その時に専門家たる我々がその情報を知らなかった、ではみっともないですから。

Comments

[hyksm]

＞ヒューリスティック/振舞い検知型のセキュリティ製品
何か良い物ご存知でしたら教えてください。

[ynakano]

私が知ってる限りにおいてですが、Barracuda(WAF)、FireEye(ウイルス対策)、というところでしょうか。
全社がヒューリスティック、後者はサンドボックス内臓の振舞い検知です。

[hyksm]

Barracuda(WAF)は良さそうですね。問い合わせてみます。

[ynakano]

この手の製品は設置して終わりではなく日々の運用が重要です。
がんばってください。

[hyksm]

気が重いですね。。ありがとうございます！

Answer 2

HTTPSというタグがついているのでWebサーバのことに限定して。
Parosという脆弱性診断ツールがあります。

IPA(情報処理推進機構)が提供するウェブサイトの攻撃兆候検出ツールもあります。

当たり前のことなのですが、一つのツールで特に危険が見つからなかったからと言って「安全だ」と言い切ることはできないのだ、ということを注意してください。

同じくIPAのページで安全なウェブサイトの作り方というものもあります。
ご一読されるとよいかと思います。

Comments

[hyksm]

ありがとうございます。見てみます

Answer 3

Nessus はポートスキャナツールであり、導入サイトにおいて不必要なポートが開放されていないかを確認するためのものになります。
スタンダードか?といわれると??ですが、専用のサーバを構築しなくてはならないことから手間を払わなくてはなりません。
レポート出力とか出来るので、顧客説明資料を作成する観点からいえば便利です。

Windowsマシンに導入してお手軽にポートスキャナを行いたいのであればnmapというツールもあります。

なお、ポートスキャナツールはハッキング等でも使用されるツールであり、グローバル(インターネット)に対して実施する場合、攻撃されていると評価されてしまう場合があるので、事前にお断りをして実施すべきでしょう。

Comments

[hyksm]

ありがとうございます。見てみます