コンテンツにスキップ

プレビュー版

このガイドはプレビュー版です。内容は今後変わることがあります。

設定③ 優先度づけのルールを決める#

全員が読む

サーバを登録しただけでは、検知された脆弱性がすべて並ぶだけで、どれから対応すべきかは決まりません。このページでは、自社の基準を FutureVuls のルールとして設定し、「自社にとって対応すべき脆弱性」が自動で仕分けされる状態にします。

  • 対象者

    管理者

  • 所要時間

    約30分

  • このページでわかること

    SSVC の判断材料の設定、「重要な未対応」の条件の決め方、自動トリアージの設定

  • 完了の目安

    SSVC で優先度が出ていて、「重要な未対応」の条件を自社の基準で決めて保存している

このページの設定は、サーバの登録（設定②）が終わったら、続けて取りかかってください。遅くとも、ご契約から8週目までに終えるのが目安です（立ち上がりの目安）。ここまで終えると、脆弱性管理が「仕組み」として回り始めます。

ルールを決めると、何が変わるか#

flowchart LR
    A["検知された脆弱性<br>（すべて）"] --> B["自社のルールで<br>自動的に仕分け"]
    B --> C["重要な未対応<br>（毎日見るのはここだけ）"]
    B --> D["それ以外<br>（定期的に見直す）"]

ルールを決めておくと、毎日の確認（STEP1）で見るのは「重要な未対応」だけになります。全件を毎日見る必要はありません。

導入準備シートの答えを、ルールに落とし込みます#

導入準備シートで答えた内容が、そのまま設定の材料になります。

導入準備シートの項目 設定するところ
B-5、B-6 社内の対応基準（深刻度の区分、区分ごとの期限） 「重要な未対応」の条件と、優先度に応じた期限（設定④）
B-16 すぐ手をつけるものとして扱いたい脆弱性 「重要な未対応」の条件
B-11 対応依頼を自動で作るか 自動トリアージ
B-17 期限を自動で入れるか 優先度に応じた期限（設定④）

社内に基準がない場合は、このページの「まずはこの設定で始める」を使ってください。

1. SSVC の判断材料を設定する#

SSVC は、自社の環境をふまえて、その脆弱性を「いつ直すか」を4段階で自動的に判定する仕組みです。判定は、脆弱性が検知されると同時に自動で行われます。SSVC は、CSIRT プランでは最初から有効です。PSIRT プランでは、先にオーガニゼーション設定で有効にしてください（SSVC 機能の有効化）。

判断に使う4つの材料#

材料 内容 誰が決めるか
攻撃状況（Exploitation） 実際に攻撃が確認されているか FutureVuls が自動で更新します。KEV（実際に悪用されている脆弱性のカタログ）に新しく載った脆弱性は、目安1時間以内に反映されます
自動化可能性（Automatable） 自動化された攻撃にどこまで使えるか FutureVuls が自動で更新します
ビジネスへの影響（Human Impact） 攻撃されたときに、業務にどれだけ影響するか 自社で一度決めます
インターネット露出度（Exposure） そのシステムに外部から届くか 自社で一度決めます

判定される4つの段階#

段階 意味
Immediate 即時対応。可能な限り早く対応します
Out-of-Cycle 定例外の対応。通常のメンテナンスを待たず、早めに対応します
Scheduled 計画的な対応。定期メンテナンスで対応します
Defer 対応の見送り。いまは対応しません

設定のしかた#

設定画面では英語で表示されます。「ビジネスへの影響（Human Impact）」と「インターネット露出度（Exposure）」は、グループ設定で既定値を決めます。SSVC を有効にした時点で、既定値が入っています。

システムごとに値を変えたい場合は、ロールに値を設定し、そのロールを対象のサーバに割り当てます。ロールに設定した値は、グループ設定の値より優先されます（「サーバ単位で SSVC の DecisionPoint を設定することはできますか」、ロール）。

グループ設定は、画面右上のアカウントのアイコンを押し、「グループ設定」を選ぶと開きます。

画面右上のアカウントのアイコンと、メニューの「グループ設定」

「ビジネスへの影響」と「インターネット露出度」を設定する画面

まずはこの設定で始める#

迷ったときは、次の組み合わせから始めてください。グループ設定の既定値は「社内だけで使う基幹系」の行に合わせ、外部に公開しているサーバが含まれるグループは「外部に公開」の行に合わせます。

サーバの種類 インターネット露出度（Exposure） ビジネスへの影響（Human Impact）
外部に公開しているサーバ（Web、VPN、メールなど） open（外部から直接届く） high
社内だけで使うが、止まると業務に直結するサーバ（基幹系、認証基盤） controlled（社内からのみ） high
社内だけで使い、止まっても業務への影響が限られるサーバ controlled medium
検証・開発用のサーバ controlled low

迷ったら高めにしておき、「重要な未対応」が多すぎて毎日見きれないときに下げます。低めにして見逃すより、高めにして絞り込みで調整するほうが安全です。

2. 「重要な未対応」の条件を、自社の基準で決める#

次の3つの条件のうち、どれか1つでも当てはまる脆弱性が「重要な未対応」に入ります。CSIRT プランで新しく作ったグループでは、最初は条件1だけが入っていて、条件2と条件3は未選択です。この最初の条件を出発点にして、自社の基準に合わせて決め、保存してください。

条件 内容 導入準備シート B-16 との対応
1. SSVC Priority 「Immediate」または「Out-of-Cycle」と判定されたもの —
2. 脆弱性優先度（FutureVuls が脆弱性ごとに付ける high・medium・low などの優先度。SSVC の判定とは別のものです） CSIRT プランでは、最初は未選択です。使う場合は「high」、または「medium」以上を選びます —
3. 脆弱性の特性 CVSS スコア、CVSS v3 のベクター、攻撃コードの信頼度、警戒情報の深刻度について、設定した項目をすべて満たすもの 「CVSS が◯以上」「攻撃に使われていることが確認されている」「攻撃コードが公開されている」などの基準は、ここで設定します

設定のしかた#

  1. グループ設定の「高度な設定」>「トリアージ設定」から、「重要な未対応」の条件の設定画面を開きます。
  2. 使いたい条件を選びます。使わない項目は選ばなくて構いません。
  3. 「変更」を押して保存します。

グループ設定の「高度な設定」>「トリアージ設定」にある、「重要な未対応」の条件の設定画面

まずはこの設定で始める#

  1. 最初は、作成したときの条件のまま使います。 SSVC を使っている場合は、条件1（Immediate または Out-of-Cycle）だけでも十分です。
  2. 多すぎて毎日見きれないときは、いま使っている条件を絞ります。たとえば、条件1は「Immediate」だけにします。条件2は「medium」から「high」に上げます。条件3では、「攻撃コードの信頼度」や「警戒情報の深刻度」を項目に加えます。3つの条件のどれか1つに当てはまれば入るため、使っていなかった条件を新しく加えても件数は減りません。
  3. 少なすぎて不安なときは、条件2の脆弱性優先度で「high」を選びます。それでも少なければ「medium」まで広げます。
  4. 運用を始めて4週間ほどたったら、「重要な未対応」の件数が毎日見きれる量（目安：1人あたり10〜20件）になっているかを見て、条件を見直します。

3. 自動トリアージを設定する#

自動トリアージは、決めた条件を満たす脆弱性の優先度を自動で付けたり、対応が不要なものを自動で非表示にしたりする機能です。毎日の仕分けの手間を減らせます。自動トリアージは CSIRT プランの機能です（自動トリアージ）。条件は、「重要な未対応」と同じ項目（CVSS スコアや攻撃コードの信頼度など）で指定します。設定したあとのスキャンから、既存の脆弱性やタスクにも適用されます。自動非表示設定の対象は、ステータスが「新規（NEW）」のタスクだけで、優先度が high のタスクは非表示になりません。

機能 できること 使いどころの例
自動脆弱性優先度 条件に合う脆弱性に、自動で優先度を付けます 社内基準で「最優先」とするものを、毎回手で付けずに済ませる
自動非表示設定 条件に合う脆弱性を、自動で一覧から外します 自社の環境に影響しないと判断済みの種類の脆弱性を、毎日の確認から外す

設定は、オーガニゼーション設定の左メニュー「高度な設定」>「トリアージ設定」の下にある「自動脆弱性優先度」または「自動非表示設定」のページで行います。それぞれのページの「自動脆弱性優先度の条件を追加」「自動非表示の条件を追加」を押して、条件を作ります。

非表示にした脆弱性は、消えるわけではありません。非表示にした条件は、半年に一度など、定期的に見直してください。

オーガニゼーション設定は、画面右上のアカウントのアイコンを押し、「オーガニゼーション設定」を選ぶと開きます。

画面右上のアカウントのアイコンと、メニューの「オーガニゼーション設定」

オーガニゼーション設定の「自動脆弱性優先度」のページと「自動脆弱性優先度の条件を追加」ボタン

オーガニゼーション設定 > 高度な設定 > トリアージ設定 の「自動脆弱性優先度の条件を追加」の画面

オーガニゼーション設定の「自動非表示設定」のページと「自動非表示の条件を追加」ボタン

オーガニゼーション設定 > 高度な設定 > トリアージ設定 の「自動非表示の条件を追加」の画面

設定を変えたとき、いつ反映されるか#

変更した設定は、次のスキャンのタイミングで既存のタスクにも反映されます。すぐに反映したい場合は、グループ設定の「全サーバを手動スキャン」を実行してください（1回500台まで）。

SSVC による対応期限の自動設定は、スペシャル警戒タグや手で入れた期限を上書きしません。それ以外の期限は、期限が未設定のとき、新しい期限のほうが早いとき、いまの期限を過ぎているときに更新されます（SSVC の対応期限）。

よくあるつまずき#

症状 原因と対処
「重要な未対応」の件数が多すぎる 条件の「脆弱性優先度」や「脆弱性の特性」の範囲が広すぎる可能性があります。自社の基準に合わせて絞り込みます
「重要な未対応」に何も出ない 条件が厳しすぎる可能性があります。「重要な未対応」の条件を初期値に戻すと、条件1〜3のすべてに値が入り、対象が広がります。新しく作ったグループの最初の状態（条件1だけ）とは違い、初期値に戻したあとは3つの条件が入った状態になります。まずは初期値に戻して確かめます
API で取得すると、画面で非表示にしたタスクも出てくる API は、既定で非表示のタスクも取得します。?filterIgnore=true を付けると、画面の表示に揃います（「画面上では対応済み…APIで取得すると…」）
「重要な未対応」に入らなかった脆弱性は、どうすればよいか 何もしなくて構いません。「重要な未対応」は、ステータスが新規で非表示でない脆弱性を自社のルールで絞り込んだ一覧なので、入らなかったものは「新規」のまま置いておき、定期的に見直します。見直して「今は対応しない」と決めたものは「今は対応しない（DEFER）」にすると、判断した記録が残ります。「非表示」は、管理対象外など今後も見る必要のないものに使います。SSVC の判定が Defer のタスクは、SSVC のトリガー＆アクションで、ステータスを自動で「今は対応しない（DEFER）」にできます。あわせて、判定が Immediate や Out-of-Cycle に上がったときにステータスを「新規」に戻す設定もしておくと、急ぐ必要が出たものを見落としません（SSVC のトリガー＆アクション）。自動非表示設定は、管理対象外のものだけに使います。

つまずいたとき#

うまくいかないときは、つまずいたとき（よくある質問）をご覧ください。

それでも解決しない場合は、お問い合わせ窓口からご連絡ください。いまの設定の内容と、期待する動きを添えていただくと、調査が早くなります。

さらに詳しく知りたいとき#

次に読むページ#

ルールが決まったら、担当者・期限・通知を設定します。設定④ 担当・期限・通知を決めるに進みます。

設定④ 担当・期限・通知を決めるへ進む