[レポート]Tenable.IO体感セミナーで脆弱性診断を体感してきました

先日開催されたTenable.IO 体感セミナーに関するレポートをお伝えします。 今回のセミナーはTenable.IOのハンズオンで、事前に準備された環境を利用し、スキャンテンプレートの違い等を体感してきました。
2018.09.03

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、坂巻です。

先日開催されたTenable.IO 体感セミナーに関するレポートをお伝えします。

今回のセミナーはTenable.IOのハンズオンで、事前に準備された環境を利用し、スキャンテンプレートの違い等を体感してきました。

概要(抜粋)

Tenable.IOを利用してどのようにサイバーリスクを可視化し、Prioritizeするのか、増え続けているデバイスやIoT などを継続的ネットワークモニタリングでどのように管理するか、など デモを交えながらが、皆様に体感していただけます。

アジェンダ

  • Cyber Exposure as a Platform
  • デモ(Dashboarding, Reporting, Scans, Connectors)
  • ハンズオン
    • Data Acquisition using Tenable.io
    • Tenable.io Policy Compliance
    • Tenable.io Cloud Security

Cyber Exposure as a Platform

Tenableが提供するソリューション

アセットの識別、脆弱性管理、構成監査。IT環境の弱点を認識・改善して全体のセキュリティを向上。

  • 不正アクセス
    • FireWall NGFW
  • 不正侵入
    • IDS/IPS
  • ウイルス マルウェア
    • アンチウイルス AVGW
  • 情報漏洩 不適切利用
    • WSG URLフィルター
  • 標的型攻撃
    • Sandbox

外部スキャンと内部スキャン

  • 外部スキャン
    • ネットワーク(インターネット)を介してパケットを送信して、攻撃者と同じ立場から脆弱性をスキャン
  • 内部スキャン
    • 診断結果のシステムにログインして、内部コマンドを使用して脆弱性スキャン。または、エージェントを利用してスキャン。

外部スキャン、内部スキャンの診断結果

診断対象:初期インストール状態のCentOS 6.8 Basic Server

  • 外部スキャン
    • CFITICAL…0
    • HIGH…0
    • MEDIUM…1
    • LOW…2
    • INFOR…16
    • TOTAL…19
  • 内部スキャン
    • CFITICAL…9
    • HIGH…33
    • MEDIUM…26
    • LOW…3
    • INFOR…36
    • TOTAL…107

内部スキャンの方が多くの脆弱性をみつけているが、 内部スキャンのみを実施するのではなく、両方スキャンを実施することが望ましい。外部スキャンはスキャン対象サーバの前段にある機器も含めて診断できていると考える。例えば、サーバ自体が23ポートが空いていても、FWが23ポートを閉じていれば診断結果には出力されない。

デモ(Dashboarding, Reporting, Scans, Connectors)

この後のハンズオンで利用する機能を中心に、ダッシュボード等、Tenable.ioの機能についてデモいただきました。

ハンズオン

ハンズオンの実施前に、スキャンの種類等、用語の説明がありました。

  • Nessus NP(Professional)…アクティブスキャン
    • ネットワークスキャン、TCPが届けば実施可能
  • Nessus Agent…エージェントスキャン
    • ローカルホストでスキャンし、完了したら結果を送信する
  • Nessus Network Monitor…パッシブリスニング
    • 24時間365日の監視、接続ポイントを通過するネットワークトラフィックを監視

Nessus NP(Professional)

  • Nessu Scannerのタイプ
    • Nessus Cloud Scanner
    • Nessus Scanner
    • Nessus Agent
  • アクティブスキャンの利点
    • 認証情報がある場合、非常に徹底的
    • 広範囲な機能
    • 管理が必要なエンドポイントのソフトウェアが他にに必要ない
    • 未知の資産も特定(広範囲のIPスペースでの検出スキャン)
  • アクティブスキャンの注意点
    • エージェントのスキャンほど効率的ではない
    • 「ある時点」でのスナップショット
    • オフラインの資産や隔離された資産を検出できない
    • ネットワーク/資産の問題により、スキャンごとに結果が異なる
  • ユースケース
    • 脆弱性評価
    • コンプライアンス評価
    • 統合
    • 脅威のクイック分析

Nessus Agent

  • 対象エンドポイントにインストール
    • サーバ、デスクトップ、ノートPC...
  • エージェントスキャンの利点
    • データは認証情報ありのNessusスキャンと同じだが、ネットワーク使用量は大幅に少なく分析は高速
    • 展開ツールにより自動的にスケーリング
    • 柔軟な設定
    • エージェントグループ
    • 認証情報が不要
  • エージェントスキャンの注意点
    • エンドポイントにソフトウェアをインストールする必要がある
    • エージェントのみの場合「ハッカーの視点」がない
  • ユースケース
    • 接続が不安定な場合や、モバイルワーカーがいるホストに最適
    • ネットワーク経由で認証情報を使用して簡単にスキャンできない重要な資産/公開されている資産
    • 事前構築したイメージに組み込むことで展開を容易に

Nesssus Network Monitor

ハブ、SPANポート、ネットワークTAPに接続し、接続ポイントを通過するネットワークトラフィック(移動中のデータ)を監視

  • Nesssus Network Monitor(NNM)とは
    • 通信のポイントに配置することで、継続的に通信状況を可視化することができる
    • NNMは組織内に存在する脆弱性、アプリケーション、サービスを発見することが可能
  • パッシブリスニングの利点
    • 24時間365日の監視
    • 適切に展開すれば、アクティブな資産を特定できる
    • プロトコル、接続、脆弱性を判別
  • パッシブリスニングの注意点
    • アクティブスキャンほど徹底的ではない(ネットワークパケットを送信しないソフトウェア/アクティビティについての情報がない)
  • ユースケース
    • 脆弱性をスキャンせずにリアルタイムに特定する
    • アクティブスキャンの合間に、補足的なデータを収集する
    • 洗剤的な攻撃経路を特定する
    • システムの通信を監査する
    • スキャンできない機密性の高い資産に関する情報を収集する

Host Discovery

ハンズオンでは参加者にスキャナ、診断対象サーバが事前に用意されていました。実施した内容の一部を記載します。 スキャンテンプレート[Host Discovery]を利用し、指定したネットワークに存在する、ホストとオープンポートを検出します。

Tenable.ioにログインし[Scans]をクリックします。

1

[New Scan]をクリックします。

2

[Host Discovery]をクリックします。

3

[Basic]-[General]に以下を入力し、[DISCOVERY]をクリックします。

  • Name…作成するスキャン名称
  • Folder…Tenable.ioに保存されるスキャン結果の格納フォルダ
  • Sccanner…Nessus Sccanerの指定
  • Targets…診断するネットワーク

4

[Scan Type]より、[OS Identification]を選択します。

5

作成したスキャンにチェックを付与し、[Launch]をクリックします。

6

[Scan Status]が[Running]となり、スキャンが開始された事が確認できます。

7

[Scan Status]が[Completed]となり、スキャンが終了した事が確認できます。

8

判別できたOSの種別等がスキャン結果より確認ができます。

9

ここでは、任意のAssetを選択し、詳細を確認してみます。

10

[OS Identification]をクリックします。

11

スキャンしたネットワークにUbuntuが存在していることが確認できました。

12

他に検出されたホストの結果も確認してみます。

13

[Vulnerabilities]には、[Ping the remote host]のみが表示されているので、OSの識別が行えなかったことがわかります。

14

Credentialed Patch Audit

スキャンテンプレート[Credentialed Patch Audit]を利用し、指定したネットワークに存在するホストの不足している更新を検出します。

Tenable.ioにログインし[Scans]をクリックします。

15

[New Scan]をクリックします。

16

[Credentialed Patch Audit]をクリックします。

17

[Basic]-[General]に以下を入力し、[Credentials]をクリックします。

  • Name…作成するスキャン名称
  • Folder…Tenable.ioに保存されるスキャン結果の格納フォルダ
  • Sccanner…利用するNessus Scannerを指定
  • Targets…診断するネットワーク

18

[SSH]をクリックします。

19

以下を入力します。

  • Autentication method…認証方法
  • Username…ユーザ名
  • Password…パスワード

20

作成したスキャンにチェックを付与し、[Launch]をクリックします。

21

[Scan Status]が[Completed]となり、スキャンが終了した事が確認できます。

22

スキャン結果の画面より、チェックが実行されなかったホストの検索を行ってみます。
[Advanced]をクリックします。

23

[Advanced Serch]に以下を入力します。

  • Plugin ID
  • is equal to
  • 21745

24

Plugin IDの「21745」は認証に失敗し、ローカルチェックが実行されないホストを検索するプラグインです。

プラグインの情報については、以下を確認してください。

検索結果に表示されたAssetsをクリックします。

25

[Vulnerabilities]に表示された[Authentication Failure]をクリックします。

26

詳細画面の取得を失念してしまいましたが、以下の内容が出力されていました。

Description
Local security checks have been disabled for this host because either the credentials supplied in the scan >policy did not allow Nessus to log into it or some other problem occurred.

Solution
Address the problem(s) so that local security checks are enabled.

Output
- Failed to authenticate using the supplied credentials.

さいごに

tenable社のビジョンについての説明から始まり、Nessusの用語等の詳細な説明がありました。 ハンズオンでは事前に環境が用意されており、スキャンテンプレートの違いをすぐに体感できる内容になっていました。

限られた時間の中で、Tenable.ioで何ができるかを理解することができ、充実したセミナーでした。 (昼食には豪華なプルコギ弁当(大盛り)の提供もありました!!ごちそうさまでした。)

脆弱性診断に少しでも関心がある方は、参加をお勧めします!!