QRadar Vulnerability Manager のデプロイメント

QRadar Vulnerability Managerコンポーネント

以下は、QRadar Vulnerability Manager プロセッサーの情報です。

• スキャン・プロセッサーは、スキャンをスケジューリングおよび管理し、各スキャナーに作業を委任します。これらのスキャナーは、ネットワーク全体に分散されている場合があります。
• QRadar デプロイメント内で使用できるスキャン・プロセッサーは 1 つのみです。
• オールインワン・システムに QRadar Vulnerability Manager をインストールし、ライセンス交付を受けると、脆弱性プロセッサーがご使用の QRadar コンソールに自動的にデプロイされ、スキャン・コンポーネントが組み込まれます。
• 脆弱性プロセッサーには、デフォルトでスキャン・コンポーネントが備わっています。 また、必要に応じて、脆弱性プロセッサーをデプロイメント内の他の管理対象ホストに移動することができます。
• 600 管理対象ホスト・アプライアンスを追加した場合、QRadar Vulnerability Manager を初めて使用するときに、スキャン・プロセッサーが 600 管理対象ホスト・アプライアンスに割り当てられます。
• スキャン・プロセッサーは処理ライセンスによって管理されます。このライセンスによって、QRadar Vulnerability Manager で処理できるアセットの最大数が決まります。
• スキャン・プロセッサーは、QRadar コンソール または管理対象ホストで実行できます。

以下は、QRadar Vulnerability Manager スキャナーの情報です。

コンポーネントおよびスキャン・プロセス

スキャン・ジョブは、1 つのプロセッサーと 1 つのスキャナー・コンポーネントによって実行されます。 以下の図には、スキャン・コンポーネントと、実行するプロセスが示されています。

1. アセットの IP アドレス、スキャンのタイプ、および認証スキャンに必要な資格情報などのパラメーターを指定することで、スキャン・ジョブを作成します。
2. スキャン・ジョブはプロセッサーによって受け入れられ、記録され、ジョブを実行するタイミングを決定するスケジューリング情報と共に、データベースに追加されます。
3. スケジューラー・コンポーネントは、スキャンのスケジューリングを管理します。 スケジューラーは、スキャンを開始したときに、必要なツールのリストを判別し、それらを呼び出しのキューに入れます。その後、関連するスキャナーにツールが割り当てられます。
4. スキャナーは、固有のスキャナー ID を送信することにより、実行する必要があるスキャン・ツールがないか、スキャン・プロセッサーを継続的にポーリングします。 特定のスキャナーに関連する、キューに入れられたツールがスケジューラーにある場合、そのツールはスキャナーに送信されて呼び出されます。

   QRadar Vulnerability Manager はアタック・ツリー方式を使用してスキャンを管理し、どのツールが起動されるかを決定します。 アセット・ディスカバリー、ポート/サービス・ディスカバリー、サービス・スキャン、およびパッチ・スキャンのフェーズがあります。

5. ディスパッチャーによって、リスト内の各スキャン・ツールが実行および管理されます。 実行されるツールごとに、ディスパッチャーはスキャン・ツールがいつ開始され、いつ完了したかを示すメッセージをプロセッサーに送信します。
6. スキャン・ツールからの出力が結果ライターによって読み取られます。その後、結果ライターによってそれらの結果がプロセッサーに戻されます。
7. 結果ディスパッチャーは、スキャン・ツールからの未加工の結果を処理し、Postgres データベースに記録します。
8. 結果エクスポーターはプロセッサー・データベースで完了したスキャンを検出し、その結果を QRadar コンソールにエクスポートします。
9. エクスポートされた結果は、QRadar データベースに追加されます。ユーザーはこのデータベースでスキャン結果を確認し、管理できます。

オールインワン・デプロイメント

デプロイメント環境の拡張

デプロイメント環境の拡大に合わせて、処理機能を QRadar コンソールから切り離してリソースを解放する必要が生じたり、スキャナーをアセットの近くにデプロイする必要が生じたりする場合があります。

次の図には、管理対象ホストにデプロイされている外部スキャンとスキャナーを含むスキャン・デプロイメント環境が示されています。

DMZ ホスト・スキャナー

ホスト・スキャナーは、パブリック IP アドレスを使用してインターネットから DMZ をスキャンします。 DMZ 内のアセットで脆弱性がないかをスキャンする場合、DMZ にスキャナーをデプロイする必要はありません。 ネットワークの外部にあるホスト IBM スキャナーを使用して QRadar Vulnerability Manager を構成する必要があります。 詳しくは、「IBM QRadar Vulnerability Manager ユーザー・ガイド」を参照してください。

QRadar Vulnerability Manager の統合

IBM QRadar Vulnerability Manager と HCL BigFix の統合により、修正可能な脆弱性をフィルタリングし、優先順位を付けることができます。 BigFix には、IT 運用とセキュリティーの間で共有される可視性と制御機能が備わっています。 BigFix は、QRadar Vulnerability Manager によって特定され、BigFix に送信される優先度の高い脆弱性に Fixlet を適用します。 Fixlet とは、特定の脆弱性を修復するために、アセットまたはエンドポイントにデプロイするパッケージです。

QRadar Vulnerability Manager は、侵入防止システム (IPS) ポリシーを指示できるように、IBM Security SiteProtector と統合されます。 IBM Security SiteProtector を構成すると、スキャンによって検出された脆弱性が IBM Security SiteProtector に自動的に転送されます。 IBM Security SiteProtector は、統合が構成された後に実行された QRadar Vulnerability Manager スキャンからの脆弱性データのみを受信します。 IBM Security SiteProtector に接続します。

サード・パーティー・スキャナー

QRadar Vulnerability Manager によって、スキャン・データのソースに関係なく、効率的な脆弱性管理プラットフォームが提供されます。 QRadar Vulnerability Manager は、Nessus、nCircle、および Rapid 7 などのサード・パーティー・スキャナーとシームレスに統合されます。