

変更検知に特化して15年
変更検知のパイオニアであり、デファクトスタンダード→ No.1 のマーケットシェア→ 実績による安定性と信頼

2010
修復
2009

失敗 / 不完全なセキュリティ設定を自動的に、ロールベースで修復

ログ＆セキュリティイベント管理
ログ、イベントの統合情報管理 プラットフォーム

2004-2006
Tripwire Enterprise
クライアントサーバーアーキ
テクチャ
ネットワーク装置、データベース、アクティブディレクトリの変更監査

2011-2012
CONNECT | PROTECT | DETECT
セキュリティを企業ミッションへ(Data Mart | アセットビュー| イベント統合フレームワーク)

1997
ファイルシステムモニタリ
ング2007
セキュリティ設定評価
業界最大のセキュリティ標準、規約、実行可能ポリシーのライブラリ提供

2013
nCircle 社の買収
脆弱性管理のマーケットリーダーへ

セキュリティの可視化、定量化、アクションアイテム化

組織を動かす原動力となるシステムを様々な脅威から保護

検知‣ 経営会議へのレポーティング‣ リスクのスコアリング‣ セキュリティの可視化‣ 継続的モニタリング‣ システムの要塞化‣ 除外対象／例外処理マネジメント‣ 構成検査の自動化‣ 遵守ポリシーの適用＆カスタマイズ‣ ワークフロー＆修復プロセス確立‣ 広範なデバイス、OS、ミドルウェアのサポート‣ システム統合・連携‣ ファイル＆システムの整合性監視‣ ログ収集分析‣ 自動修復‣ 変更検知ルール／ベースライン

http://www.bsigroup.jp


解決手段を一意に明確化せず- 今後の技術革新への対応- 継続的な改善促進

実践手順をより具体化

評価指標の提示安全なネットワークの構築と維持要件1 カード会員データを保護するために、ファイアウォールをインストールして構成を維持する
要件2 システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない
カード会員データの保護
要件3 保存されるカード会員データを保護する要件4 オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する脆弱性管理プログラムの整備要件5 アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新する
2014年7月
要件6 安全性の高いシステムとアプリケーションを開発し、保守する
v3.0 対応ルール／
強固なアクセス制御手法の導入
ポリシーテンプレート
要件7 カード会員データへのアクセスを、業務上必要な範囲内に制限するをいち早く公開要件8 コンピュータにアクセスできる各ユーザに一意のIDを割り当てる
要件9 カード会員データへの物理アクセスを制限する
ネットワークの定期的な監視およびテスト
要件10 ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
要件11 セキュリティシステムおよびプロセスを定期的にテストする
情報セキュリティ・ポリシーの整備
要件12 すべての担当者の情報セキュリティポリシーを整備する「PCI データセキュリティ基準 v2.0 2010年10月」 より抜粋

組織全体のコンプライアンス順守状況を定期的にスコアリングして定量化問題のある部門、ポイントを特定し、改善へのガイダンスを提示＋改善状況を追跡 単発的な 100 点満点を目指さず、達成可能な改善目標を適宜設定してツールによる自動化／効率化を実施
 起ってしまったインシデントへの事後対応迅速化 (イベント駆動型 / 発見的統制)→ インシデントの起らない仕組みの設計・インシデントの要因特定 (リスク駆動型 / 予防的統制) へ

←遵
守レベル

リスク因子として「脆弱性」に特化する理由【昨今の状況】
 昨今のサイバー攻撃事例の 95% 以上が、脆弱性を突いたもので占められている
 対外常駐サーバー／機密データソースへの直接的な攻撃に加え、内部からの回り込み・伝搬も常態化
 その中でも、Adobe, Java 他のクライアントソフトの脆弱性をついた攻撃が常套手段化
脆弱性診断を実施し、その結果に基づきセキュリティホールを塞ぐことで被害を未然に防止定期的な脆弱性診断の実施状況を開示し、企業自身や、製品／サービスの信頼性を向上【意識／実際とのギャップ】
 検出される脆弱性の量と出処が多すぎて、即対応に踏み切れない／優先度付ができない そもそも脆弱性の出処となる IT 資産全体の所在／管理状況を把握できていない
 結果として、既知の脆弱性はますます対応しにくく／狙われやすくなる 2012年の統計では99.8%が既知の脆弱性を悪用
 Adobe Readerの更新は、45%のユーザしか対応していない状況→ 脆弱性診断 (定期的な実施→改善策提示→終り) から
脆弱性管理 (発見→分析→対応→評価) へSCAP (Security Content Automation Protocol)

1. 脆弱性を識別するためのCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）

法規制／プロトコルの実装

2. セキュリティ設定を識別するためのCCE（Common Configuration Enumeration：共通セキュリティ設定一覧）

3. 製品を識別するためのCPE（Common Platform Enumeration：共通プラットフォーム一覧）

4. 脆弱性の深刻度を評価するためのCVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）

5. チェックリストを記述するためのXCCDF（eXtensible Configuration Checklist Description Format：セキュリティ設定チェックリスト記述形式）

6. 脆弱性やセキュリティ設定をチェックするためのOVAL（Open Vulnerability and Assessment Language：セキュリティ検査言語）

共通仕様による3rd パーティ連携 システム設定とモニタリング


業界随一ののエージェント／エージェントレス対応ソリューション

 脆弱性管理

業界随一のエンタープライズグレード脆弱性管理ソリューション



企業ネットワーク、クラウド、仮想環境導入と、様々なユーザー環境に対応

 セキュリティ情報管理セキュアで信頼性の高いログ／イベントの収集、分析、管理 レポーティング＆可視化
IT 資産管理とリスク分析／特定にフォーカス テンプレート＆ポリシー
SCAP に忠実に沿った検証作業の実施

どのような IT 資産が存在しているか？

セキュリティコンプライアンス
遵守状況は？

DISCOVERYANALYTICS

未知の脅威への追従
IT 資産の最適運用

Vulnerability Management
すぐに改善すべき上位１０個の問題は？
責任の所在は？
改善状況は？

PRIORITIZATIONTripwire がシステムのコンフィグレーション確認を実施
全般的リスクプロ
ファイル

1

2

管理

証明

検知-

“ポリシーは遵守されている?”

Tripwire は全ての変更を検知(含 OS, レジストリ)

Maintain

Achieve+

システム基準を遵守していることが証明された環境

継続的なセキュリティ強化、可用性向上、コンプラ
イアンスの証明
3

アクション
修復
調整
レポート

評価

“すべての変更は承認済み?”“すべての変更はシステム基準を遵守している?”

営業窓口ソリューションや製品に関するお問い合わせは弊社までお願いいたします。
トリップワイヤ・ジャパン(株)営業本部
sales@tripwire.co.jp〒112-0014
東京都文京区関口1-24-8 東宝江戸川橋ビル8F
TEL : (03) 5206-8610
FAX: (03) 5206-8613

評価版の取得
一部の製品については、評価版をご用意しております。
下記URLからお申し込みください。