レポートには、膨大な情報が含まれます。これらを慎重に学び、良く理解することは重要です。それにより、さらなる情報を得てセキュリティ関連の意思決定ができるようになります。
レポート内のデータは、時間内の静的スナップショットです。ウェブ・インターフェース内に表示されるデータは、スキャンの度に変わります。発見されたアセットや脆弱性の数といった2データ間の違いは、最後のレポート以降の環境内の変化に起因する可能性が高いです。
最新データが必要であるにも関わらずウェブ・インターフェースへのアクセス権を持っていない組織内利害関係者のために、より頻繁にレポートを実行してください。または、レポート・スケジュールをスキャン・スケジュールと自動的に同期する、レポート・スケジュール機能を使用してください。
絶えず変化する環境においては、ベースライン比較レポートが非常に有用です。
レポートデータが予測したものとかなり違う場合は、データを歪曲した可能性がある複数の要因を検討してみてください。
スキャン設定は複数の方法でレポートデータに影響を与えます：
複数の形式を利用してレポートを伝播する場合、異なる形式によりデータの提示方法ばかりでなくデータの提示内容にも影響が出る、ということに留意してください。 PDFやHTMLといった人間可読な形式は、文書レポート・テンプレートにより編成されたデータを表示することを意図しています。これらのテンプレートは含めるデータについて、より「選択的」です。一方、XML Export、XML Export 2.0、CSV、およびエクスポートテンプレートには、基本的にスキャンからのすべての可能なデータが含まれます。
改善策が確認されている脆弱性はセキュリティ上の優先度が高いため、レポート内で確認済み脆弱性を見つけることが重要です。しかし、潜在的または未確認の脆弱性のリストを消去しないでください。また、これらを誤検知として棄却しないでください。
本アプリケーションは、脆弱性が存在する可能性を示す特定条件を発見すると、その脆弱性をフラグ付けします。脆弱性の存在を完全に確認できない場合、どのような理由であっても、その脆弱性は潜在的または未確認とリストされます。または、スキャンされたオペレーティング・システムやアプリケーションのバージョンが脆弱であることが示される場合があります。
脆弱性が「潜在的」脆弱性であるまたは公式に未確認であるということで、それが存在するという可能性が差し引かれるわけではありませんし、ある関連セキュリティ問題を注視する必要性が低下するわけでもありません。利用可能であれば、エクスプロイトを実行して脆弱性を確認可能です。脆弱性に取り組むをご参照ください。また、潜在的に脆弱なアイテムをフィンガープリントした確信度があるかどうか、スキャンログを調べることも可能です。フィンガープリント確信度が高レベルであるということは、脆弱性の可能性が高いということです。
さまざまなエリアで、レポートされた脆弱性の確信度レベルを見つけることが可能です：
監査レポートに表示される「発見された脆弱性および潜在的な脆弱性」セクションでは、潜在的脆弱性と確認済み脆弱性は区別されていないことに注意してください。
レポートをレビューする場合、ネットワークをリスクにさらす可能性があるその他の兆候がないか、脆弱性の先を見るようにしてください。例えば、本アプリケーションはtelnetサービスを発見してレポートにリストします。telnetサービスは脆弱性ではありません。しかし、telnetは暗号化されていないプロトコルです。ネットワーク上のサーバーがこのプロトコルを使用して遠隔コンピュータと情報を交換している場合、招かれざる者による送信のモニタリングが容易になります。代わりに、SSHを使用することを検討してみてください。
別の例では、ウェブリクエストがHTTPSサーバーにリダイレクトされるのではなく、HTTPサーバーへと送信することを許可する、Ciscoデバイスが発見される場合があります。これも技術的には脆弱性ではありませんが、この慣行により慎重に扱うべきデータが露呈する可能性があります。
研究により、リスクを積極的に管理するために役立つ報告がなされています。
レポート内の長い脆弱性のリストには読むことが大変で、最初にどの問題に対処すべきか悩むことがあるかもしれません。脆弱性データベースには、12,000を超える脆弱性のチェックが含まれており、スキャンにより修正に使える時間を超える数の脆弱性が見つかるかも知れません。
脆弱性を優先順位付けする効果的な方法の1つは、どれに本物のエクスプロイトが関連付けられているかに注目することです。既知のエクスプロイトを持つ脆弱性は、非常に明確なリスクをネットワークにもたらします。Exploit ExposureTMの機能は、既知のエクスプロイトを持つ脆弱性をフラグ付けし、Metasploitモジュールおよびエクスプロイトデータベースにエクスプロイト情報のリンクを提供します。また、Metasploitチームからのエクスプロイト・ランキングデータを利用して、任意エクスプロイトに必要なスキルレベルをランクします。この情報はセキュリティ・コンソール・ウェブ・インターフェース内の脆弱性リストに表示されますので、すぐに閲覧可能です。
攻撃者のスキルレベルを予測できないため、エクスプロイトに必要なスキルレベルまたは既知のエクスプロイトの数に関わらず、LIVEエクスプロイトを持つ脆弱性についてはどれも即座に改善するという、ベストプラクティスを強く推奨します。
レポート設定によりさまざまな形でレポートデータに影響が出る可能性があります：
脆弱性を優先順位付けするもう1つの方法は、それらのリスク・スコアに従うことです。スコアが高いほど、優先度が高くなります。
本アプリケーションは、スキャン中に発見された各アセットおよび脆弱性のリスク・スコアを計算します。本スコアは、エクスプロイトの影響および可能性に基づき脆弱性がネットワークおよびビジネスセキュリティにもたらし得る潜在的な危険を示すものです。
リスク・スコアは異なるリスク戦略に従い計算されます。リスク戦略に取り組み脅威を分析するをご参照ください。