脆弱性スキャン

脆弱性スキャンでは、Nessus、Qualys、Tenable、OpenVAS、クラウドネイティブスキャナなどのツールを用いて資産を識別し、検出したソフトウェア・設定・露出面を CVE/NVD などの脆弱性データベースや CIS、DISA STIG といったベンチマークと突き合わせます。スキャンは認証スキャン(認証情報を使い精度が高い)と非認証スキャン、エージェント方式とネットワーク方式があり、継続的またはスケジュールで実行できます。結果は誤検知の除外、悪用可能性や資産情報による文脈付け、そして是正への橋渡しを目的としたトリアージが必要です。スキャンは脆弱性管理プログラムの一入力に過ぎず、それ自体で悪用可能性を証明するものではありません。