スキャン認証資格情報（credentials）を設定

本トピック：

関連トピック：

認証資格情報（credentials）をスキャンすることで、他の方法ではアクセスできないネットワークやアセットに関する情報を収集できます。脆弱性やセキュリティポリシー違反に関するアセットの検証を、より広い範囲で行うことが可能です。また、認証されたスキャンにより、ソフトウェアアプリケーションおよびパッケージをチェックしパッチを検証できます。認証資格情報（credentials）でサイトをスキャンする場合、当該サイトのターゲットアセットが認定ユーザーを認証するに従い、スキャン・エンジンを認証します。

本セクションのトピックでは、サイトの認証資格情報（credentials）および複数サイトで利用可能な共有スキャン認証資格情報（credentials）の設定・試験の方法について説明します。SSHパブリックキーおよびLM/NTLMハッシュといった特定の認証オプションには、追加のステップが必要であり、関連トピックで説明します。また、認証を権限昇格により強化するなど、認証資格情報（credentials）を最大限に利用するための最良の慣行を学ぶことも可能です。

共有認証資格情報（credentials）情報vs.サイト別認証資格情報（credentials）

アプリケーション内で2種類のスキャン認証資格情報（credentials）を作成可能です（作成を行うユーザーのロールまたは許可により異なります）：

各タイプについてユーザーが実行できる作業の範囲は、そのユーザーのロールまたは許可により異なり、以下の表に示されてます：

認証資格情報（credentials）タイプ 作成方法 グローバル管理者または「サイトを管理」許可を持つユーザーにより実行可能な作業 サイト所有者により実行可能な作業
共有 グローバル管理者または「サイトを管理」許可を持つユーザーにより、管理 > 共有スキャン認証資格情報（credentials）ページで作成されます。 作成、編集、削除、サイトへの割り当て、アセットへの制限を行います。サイト内の認証資格情報（credentials）の利用を有効化/無効化します。 サイト所有者がアクセス権を持つサイト内の認証資格情報（credentials）の利用を有効化/無効化します。
サイト別 グローバル管理者またはサイト所有者により、特定サイトの設定において作成されます。 サイト所有者がアクセス権を持つ特定のサイト内で：作成、編集、削除、サイト内の認証資格情報（credentials）の利用を有効化/無効化します。 サイト所有者がアクセス権を持つ特定のサイト内で：作成、編集、削除、サイト内の認証資格情報（credentials）の利用を有効化/無効化します。

認証資格情報（credentials）およびエキスパートシステム

本アプリケーションは、複数のアクションを一体にチェーン化して、スキャン時に最良の結果を得るため、スキャン技術の中核においてエキスパートシステムを使用しています。例えば、本アプリケーションはデフォルト設定を使用してアセットへのローカルアクセスを得ることが可能であり、その後、当該アクセスを利用して追加のアクションがトリガされます。Nexposeエキスパートシステム文書でこのアプローチの利点が説明されており、以下で入手可能です：http://information.rapid7.com/using-an-expert-system-for-deeper-vulnerability-scanning.html?LS=2744168&CS=web。 エキスパートシステムの効果として、入力した認証資格情報（credentials）から直接予測されるものを超えてのスキャン結果が見られる点があります。例えば、あるスキャン対象に指定の認証資格情報（credentials）でアクセスできないがデフォルトパスワードでアクセスできる場合、これらのチェックの結果も見ることができます。この動作はハッカーのアプローチに似ており、それによりNexposeは、その他のスキャナが見つけられない脆弱性を見つけることができます。