SIDfm™ VM とは?

最新の脆弱性情報と管理ホストのソフトウェアを自動的にマッチングし、
継続的な脆弱性管理と対策運用のための「オンプレミス型脆弱性管理ツール」です。
今まで、ツールではできなかった課題を実現しました

SIDfm™ VM で解決できること - ①

SIDfm™ VM は、今の脆弱性対策の状況を瞬時に確認できます。
情報システムの脆弱性の「検出」、「対策状況の可視化」、「対策の管理」が
簡単に、ひとつのワークスペース内で完結できます。

>

SIDfm™ VM で解決できること - ②

オンプレミス環境で「脆弱性管理」を行えます。
管理プロセスを SIDfm™ VM に集約して、
作業工程の自動化と脆弱性の状況の可視化、記録、対策管理機能を提供します。

他の脆弱性管理ツールとの違い

他社ツールとの大きな違いは、
「独自の SIDfm™脆弱性データがあることで以下の機能を実現」

外部からのスキャン方式ではありません

他の多くの脆弱性管理ツールは、外部から脆弱性スキャンを行うツールを利用して個々のシステムの脆弱性を調べます。この方法では、脆弱性の実証コードやバナー情報出力が無い限り脆弱性を検出できません。一方、SIDfm™ VM は、ホストのソフトウェア構成情報を利用し、SIDfm™脆弱性情報とのマッチングを行うため、高速かつ高精度に脆弱性を検出します。

脆弱性の誤検知がありません

オンプレミスで、構成が単純です

他社の多くが採用している、クラウド側から「脆弱性スキャンサービス」を利用する場合、お客様が気になさる点(図)があります。SIDfm™ VM は、オンプレミス環境で使用できるシンプルなツールです。SIDfm™ VM は、組織内部にあるVM サーバのみが弊社の SIDfm™ との通信を行う構成のため、外部への通信に複雑な許可は必要ありません。また SIDfm™ VM は、脆弱性情報とのマッチングを行うための最低限のソフトウェア構成情報だけを外部へ送信する仕様のため、収集された詳細なシステム情報が外部へ送信される心配はありません。

「継続的」に状態の監視ができます

他社が採用している外部から行う脆弱性スキャン方式では、新しい脆弱性とのマッチングが、スキャンタイミングと頻度に依存します。SIDfm™ VM は、弊社の最新 SIDfm™ 脆弱性データとの突き合わせを毎日行うため、脆弱性を継続的に捕捉することができます。これは、独自の体系化された脆弱性データを有しているからこそ、できることです。また、対策の状態が更新された場合も、VMシステム内で都度アップデートされるため、常に最新の対策の状態が把握できます。

脆弱性リスクのトリアージが瞬時に

SIDfm™ VMは、独自の評価指標 SRI(SofTek Risk Impact) を用い脆弱性リスクの優先順位付けを自動的に行います。また多くの脆弱性管理ツールが採用する CVSS 評価も使用することが可能です。SRI は、CVSS がCVSS評価の提供状況(*1)CVSSの仕様(*2) からリスク評価に向かないのではないかと考えたところから、導入したものです。このような SRI 指標を実装しているのは SIDfm™ VMだけです。

真の「脆弱性の対策と管理」ができます

単に、システムの脆弱性を検知しリストアップするだけのツールではありません。各システムの脆弱性をチケットで管理し、対策状態を可視化し変更できる機能、そして現場の対策のための情報が包括的かつ実務的に纏められて、真の対策運用のワークフローをサポートするツールです。脆弱性の専門家の集合知であるSIDfm脆弱性ナレッジベースを組み込んだサービスである点も他ツールとの大きな違いです。

パッチを基本的な単位とするチケット

20年以上の商用の脆弱性情報提供を行っているSIDfm™。そのコンテンツ編集は、現場でのパッチ適用の実務が行いやすいように纏められております。SIDfm™の脆弱性は、例外はあるものの脆弱性のパッチをひとつの脆弱性情報としてまとめて取り扱います。また、管理チケットもこの単位となります。このため CVE 毎に対応を検討したりする必要がなく、管理の負担も軽くなります。一方、一つの CVE 単位で提供される NVD、JVN 情報をベースとする他社の脆弱性管理ツールでは、どうでしょう。実際の対策の現場では、脆弱性は CVE 毎に対処を行うものではなく「パッチごとの対処」となるため、CVE 毎のオペレーションは非効率であることは明らかです。

オフライン・システムの管理も可能に

システムの脆弱性管理は、オンラインで繋がったシステムだけが管理対象とは限りません。オンラインで脆弱性管理ができないような医療機器(*1)、工場における制御機器(*2,*3)、ビルや建物を制御する機器、自動車機器等に組み込まれた OS やソフトウェアの脆弱性の棚卸し、トレーサビリティも大きな課題となっております。こうした機器の製造販売者は、機器システムのライフサイクルの中で適切な脆弱性管理が求められる時代となりました。SIDfm™ VM は、オフラインのシステムからソフトウェア構成情報を入手し、そのデータを入力できるインタフェースを備えています(2019年8月リリース)


操作画面、機能、特長

脆弱性情報収集から、脆弱性対策の状況の可視化、パッチ適用管理など
直感的、かつ、一つの画面上での操作U/Iで
今までのツールでは出来なかった機能を提供します。


SIDfm™ VM の技術

脆弱性情報との自動マッチング技術

日本最大級の商用脆弱性情報ナレッジベース SIDfm™ が提供する脆弱性情報と、登録してあるホストの構成情報(サーバのソフトウェア構成情報)をマッチング。この技術によって、日々出現する脆弱性情報をシステム(ホスト)に関連づけて管理することができ、その後の対策状態の可視化やリスクの自動評価、効率的な対策作業に繋がります。

ホストの状態管理を自動化

エージェントを常駐させることにより、Red Hat Enterprise Linux、CentOS, Amazon Linux AMI または Ubuntu の rpm/yum パッケージ情報と脆弱性情報を日々マッチングし、個々のパッケージ単位で当該脆弱性の対策状態の変化を自動記録し、システムの状態管理を自動化できます。なお、Windows 用のエージェントもサポートする予定です(2019年8月リリース)

エージェントによる自動検出ソフトウェア

ホスト上のエージェントは、Linux distribution が管理するバイナリ・パッケージを自動で検出します。さらに、脆弱性の盲点となるユーザがインストール・ビルドした OS 管理外の一部の OSS ソフトウェアを自動検出し、脆弱性の状態監視を行います。この中には、過去に大きな被害を及ぼした Apache Struts ソフトウェアも含まれます。

ソフトウェア製品の手動登録

SIDfm™ の脆弱性データベースに登録されている OS 並びにアプリケーション、ソフトウェア製品は、総数 800 種類以上となります。エージェントをインストールできない、あるいは通信が許可されていないシステムも、使われているソフトウェア製品をマウスで選択するだけで、他のシステムと同様に脆弱性の自動マッチング、ホストの状態管理を実現できます。また、自動で検出される OS 管理のパッケージとは異なり、ユーザが独自でインストールしたソフトウェア製品は、自動で検出できないため手動によるソフトウェアの登録と管理が必要です。従って、ソフトウェアの「手動登録が簡単にできる機能」が必要となります。(脆弱性対策での落とし穴)

20年の実績。SIDfm™脆弱性コンテンツ

SIDfm™ VM の強みは、SIDfm™ 脆弱性情報を使える点です。「脆弱性チケット」に対するセキュリティホール情報には、脆弱性の詳細、対処方法(パッチ情報)、関連情報が一纏めとなっており、リスクの評価や対策現場での対策に直ぐに利用できます。その他、セキュリティホールの検索機能、800 種類以上の個々のソフトウェア製品ごとに整理したセキュリティホール情報やそのバージョン・EOL 情報といった「対策計画」において必要となる情報が体系的に得ることができます。また、日々のセキュリティ・ニュースも纏められており、現在のセキュリティ・トピックスや脅威情報を参考にして現況を評価できます。このように「脆弱性情報」と「対策ツール機能」を強力にタイアップできるのは、脆弱性コンテンツ・プロバイダが提供しているからに他なりません。


ユースケース

政府機関等におけるセキュリティ対策のための統一基準に準拠

SIDfm™ VM による、ソフトウェアの脆弱性の検出から対策の優先付け、対策状況の可視化、パッチ適用管理までの運用の自動化を促進することにより、IT資産管理の自動化それによる迅速な脆弱性への対応が可能となります。こうした機能は、「政府機関等の情報セキュリティ対策のための統一基準(平成30年度版)」における「6.2.1 ソフトウェアに関する脆弱性対策」の遵守事項に適合します。SIDfm™ VM を政府機関のシステムへの脆弱性対策ツールとして利用することができます。

自治体情報クラウドの脆弱性への迅速な対応用途

地方自治体の情報セキュリティ対策の強化として、セキュリティクラウドのソフトウェアの脆弱性の継続的な監視、さらに対策の状態のリアルタイムの把握、対策計画からパッチ適用の一連の管理を一つのコンソールで実現します。セキュリティクラウドのシステム運用保守の効率化が図れます。SIDfm™ VM は運用保守事業者の必須のツールです。

CSIRT運用 企業の情報システムの脆弱性管理の効率化、コスト削減

企業のセキュリティ意識が高まり、多くの企業が CSIRT 体制を構築しています。このタスクの一つでもある、「サーバ」も含めたシステム内の脆弱性を把握し適切に対処する「予防的対策」の部分は、多くのポイントで「人」が介在し、属人的作業となりがちです。この理由は、エンドポイント以外の脆弱性対策を効率的に運用支援するツールがなかったことも一因です。今、SIDfm™ VM を使用すると、こうした脆弱性対策・管理のプロセスを「まるごと」ツールの中で運用できます。「継続的な脆弱性の監視」と「対策の運用支援」と「専門的な知見の提供」の機能を提供しますので、運用を効率的かつ、コストを大幅に削減できます。

システム機器販売者の提供システムの脆弱性管理

工場・プラントや社会インフラで利用される制御システムや監視装置、医療システム機器等のセキュリティリスクは、それを利用する会社での重大な経営課題の一つとなっております。こうしたシステムは、「継続して安全に稼働」できることを重視する反面、端末や制御機器の脆弱性が修正できていない場合も見受けられます。エンドユーザ側のこのような情況に対し、システム機器の販売者も、納入したシステム毎のソフトウェア構成管理、その脆弱性の随時捕捉やパッチ情報の提供等への対応が求められております。SIDfm™ VM は、顧客毎、販売製品毎の利用ソフトウェアの脆弱性の棚卸しや継続的な管理を行うツールとして、また顧客元のオフラインのシステムに対する脆弱性管理にも有効です。

セキュリティ管理事業者のビジネスツールとして

世界的なセキュリティ対策の傾向が、マルウエア対策やメールの保護といった「異常系」への対策から、ガバナンスに基づいた「正常(基本)系」の対策へシフトしつつあります。すなわち、攻撃可能面を最小に保つという方向に変化しております。このプラクティスの一つとして、継続的な「脆弱性の監視と管理」が対策の上位の位置づけとなってきました。今後、政府機関等のシステムには必須の対策要件となります。SIDfm™ VM システムを使用して、マネージドセキュリティ事業者様や運用保守事業者様がお客様への脆弱性管理に関する「サブスクリプション・サービス」を独自で展開することができます。官公庁システム調達の当該仕様への提案が可能となります。

充実のサポート

脆弱性の解決方法に関する専門家の意見や他の解決方法など
不安を解消するためのちょっとした質問にセキュリティコンサルタントがお答えします。

電話サポート

メールサポート

サブスクリプション料金

◆SIDfm™ VM 料金

サブスクリプション方式による使用料金となります。

  • 価格詳細は、別途お問い合わせください。
  • サブスクリプションのご利用期間は1年単位となります。利用最小ホスト数は 20 となります。管理するホスト数に応じた料金となります。
  • サブスクリプション利用を許諾する SIDfm™ VM ソフトウェア及び関連ソフトウェアを使用できます。
  • 契約組織内で SIDfm™ VM システムを利用するユーザ数に制限はありません。SIDfm™脆弱性情報も閲覧できます。
  • 初回ご契約時には、初回取扱手数料 (¥100,000) が必要となります。

SIDfm™ VM を 30 日間無料でお試しください。

製品の選び方から使い方等を分かりやすくご案内いたします

お問い合わせ窓口 : TEL 03-3412-6008
受付時間 : 9:30 ~ 12:00、13:00 ~ 17:30 (土日祝祭日除く)