Tenable Security Center 大 規 模 エンタープライズデプ
ロイメント ガイド
最 終 更新 日 : 2024 年 9 月 3 日

Copyright © 2024 Tenable, Inc.All rights reserved.Tenable、Tenable Nessus、Tenable Lumin、Assure、および Tenable のロゴは、Tenable, Inc.またはその関連 会社の登 録商標 です。その他 の各 製品 またはサービスは、それぞれの所 有者 の商 標 です。

目次
Tenable Security Center の大 規 模 エンタープライズデプロイメント ガイドにようこそ3

デプロイメント を計 画 する

4

エアギャップ環 境

4階層 化 されたデプロイメント

5

アクセス制 御8

統合

10

API の使 用 方法

10
12

スキャン戦 略 を計 画 する
ネット ワークスキャンのカバレッジ

12

アセスメント スキャンの方法

13

アクティブスキャンでのスキャンゾーン

14

エージェント スキャン

16

スキャン時 間 に影響 を及 ぼす変 動 要素

16

データフロー

1920

構 築 済 みのデプロイメント を運 用 可 能 にする
アップグレードおよび Tenable 製 品 のライフサイクル

20

バックアップとフェールオーバー

21

ログ

22

セキュリティ

23

パフォーマンス25-2-

Tenable Security Center の大 規 模 エンタープライズデプロイメント ガ
イドにようこそTenable Security Center の大規 模 エンタープライズデプロイメント を計画 するにあたり、考 慮すべき数 多 くの固 有 の技術上 ・ビジネス上 の要 件 があるかもしれません。100,000 以 上の IP アドレスをスキャンしている企業 では、Tenable Security Center デプロイメント の計 画、実行 、運用 の際に、このガイドの情報 を考慮してください。
本ガイドは、お客 様 のデプロイメント の計 画に役 立ちますが、すべてのデプロイメント のシナリオやネット ワー
クアーキテクチャをカバーするものではありません。詳 細 については、Tenable サポート または Tenable
Professional Services にお問い合わせください。Tenable では、本ガイドをTenable Security Center ユー
ザーガイドの手引きとして使 用 されることをお勧めしています。
l

デプロイメント を計画 するl

スキャン戦 略 を計 画 するl

構築 済 みのデプロイメント を運用 可 能にする

ヒント : Tenable Security Center 「大規模エンタープライズデプロイメント ガイド」 は、英 語版と日 本語 版があります。

-3-

デプロイメント を計 画 する
Tenable Security Center デプロイメント を計画する際は、次 の点 について考慮 してください。
エアギャップ環 境
階層 化 されたデプロイメント
アクセス制 御統合
API の使 用 方法

エアギャップ環 境
関 連 記 事 : Tenable Security Center ユーザーガイド のオフラインリポジト リ

Tenable Security Center をエアギャップ (オフライン) 環 境 に展 開する場 合は、次のことに留意 してください。

アーキテクチャ
Tenable Security Center およびスキャナーのセット を、それぞれのエアギャップネット ワーク内に展開 する必要があります。
他のネット ワークからのデータを、エアギャップされたネット ワークで生成 されたデータと統合する場 合 、オフ
ラインリポジト リを使用して、エアギャップされた Tenable Security Center から他の Tenable Security
Center インスタンスへとデータをエクスポート できます。これは、統 合されたレポート 構造 と連 結されたレポート 構 造 の両 方に対 応します。

アップグレードと更 新Tenable では、Tenable Security Center のアップグレードを少なくとも年 1 回 (四 半期ごとが望ましい)、プ
ラグインやフィードの更 新を少 なくとも月 1 回行 うことを推奨 しています。プラグインの更 新を実 施した後は、包括 的 なスキャンを実行 し、新 しい脆 弱性データを活 用して最 新 のスキャン結果を生成してください。
注 意 : いくつかのプラグインはインターネット アクセスを必要 とし、エアギャップ環 境では実行 できません。たとえば
Tenable Nessus プラグイン 52669 は、ホスト がボット ネット の一 部かどうかをチェックするものです。

-4-プラグインの更 新 またはフィードの更新 を実施 した後は、ナレッジベースの記 事に記 載されている通り、ファ
イルを検 証 してください。

Tenable Security Center のアップグレード、プラグインの更 新、フィードの更 新 をオフラインで実行するには
ヒント : API を使 用 することで、Tenable Security Center のアップグレードおよびプラグインの更新 プロ
セスの一 部 を自動 化できます。
1. ブラウザ内 または API 経由 でファイルをダウンロードします。
2. ファイルの完全 性を検 証します。
lTenable Security Center アップグレードの場 合 は、ダウンロードしたチェックサムと Tenable の
ダウンロードページのチェックサムを比較します。

lプラグイン更新 とフィード更 新の場合はチェックサムをダウンロードして比 較します。

3. ファイルを Tenable Security Center インスタンスに移動します。
4. ファイルを Tenable Security Center にアップロードします。
lTenable Security Center のアップグレードは CLI 経由で行います。

lプラグイン更新 とフィード更 新は ブラウザー内 または API 経 由で行 います。

Tenable Nessus Agentsエアギャップで Tenable Nessus Agent を管理 するために Tenable Nessus Manager を導入している場
合、Tenable Nessus Manager でオフラインのソフト ウェアアップデート (Tenable ダウンロードサイト のnessus-agent-updates-X.X.X.tar.gz) を実行 してください。Tenable Nessus Manager により、管理対象 の Tenable Nessus Agent にアップデート が展開 されます。
詳細 は、ナレッジベースの記 事を参 照 してください。

階層化 されたデプロイメント
関 連 記 事 : Tenable Security Center ユーザーガイド の階 層 型 リモート リポジト リと一般要件ガイド のハードウェア要 件

階層化されたリモート リポジト リ設定 では、リモート リポジト リを使 用 して複 数の Tenable Security Center
インスタンス間でデータを共 有します。

-5-

l

100,000 を超えるホスト または複数 の Tenable Security Center コンソールをサポート する環境 では、Tenable は、Tenable 環 境 に関 する付加 的な運 用インサイト を提供 するように Tenable
Security Center Director を設 定 することを推 奨しています。

l100,000 個～ 249,999 個のホスト に対応する場合、Tenable では階 層化 されたリモート リポジト リ
設定 を推奨しています。

l250,000 個 以上のホスト に対 応する場 合は、Tenable では階 層 化されたリモート リポジト リ設定 が必 要 です。

階層 化 された Tenable Security Center インスタンスは、Tenable Security Center デプロイメント 全体 の中で非 公式 な役割 を果 たします。Tenable では、最低 1 つの指定されたレポート 用の Tenable Security
Center と、ネット ワーク上 のホスト 100,000 個～ 150,000 個ごとに 1 つの追加 Tenable Security Center
インスタンスを推奨しています。
l

スキャン層 の Tenable Security Center は、接 続されたスキャナー全体 に渡 ってスキャンジョブを管理することで、スキャンを最 適化 します。スキャン層の Tenable Security Center インスタンスは、ス
キャンデータの効率的 な収 集を優 先します。

lレポート 層 の Tenable Security Center は、スキャン層の Tenable Security Center インスタンスにより収集 されたデータを集 約することで、ダッシュボードとレポート を最適 化します。Tenable Security
Center Director はレポート 層 として機 能することができます。リモート リポジト リとしてスキャン層からデータを取り込 み、アクティブなスキャンジョブ、プラグインのアップデート 、スキャナー設定 などの運用
アクティビティに関 するインサイト を提供 します。

注 意 : スキャン層 およびレポート 層 の Tenable Security Center インスタンスは、同 一の Tenable Security Center
バージョンが動 作 している必 要があります。

階層 化 されたリモート リポジト リ設定 がない場合、エンタープライズ規 模 のスキャンおよび分析 によって、単一の Tenable Security Center 上 でパフォーマンスの問題 が発生する可 能 性があります。リモート リポジト
リを階層 化 することで、スキャンのパフォーマンスに悪影響を及ぼすことなく、分 析とレポート の生成 を最 適化します。
ヒント : 2 つの Tenable Security Center インスタンスをオフラインリポジト リとして接続することは可能 ですが、オフライ
ンリポジト リはインスタンス間の真の接続 を確立 しません。すべてのデータは、オフラインリポジト リ間で手 動で転送される必要があります。

リポジト リを使 用 して階 層を接続 する-6-

スキャン層 を、レポート 層 の Tenable Security Center デプロイメント の読 み取 り専 用 リポジト リとしてレ
ポート 層 に接続 します。

階層化 されたリモート リポジト リのデプロイメント を設定 するには
1. スキャン層 の Tenable Security Center インスタンスで、スキャン結果 データを保 存するための 1 つ以
上のリポジト リを作 成 します。
注 意 : レポート 層 の Tenable Security Center インスタンスで、スキャン階層 の Tenable
Security Center インスタンスのト レンドデータを表示 するには、スキャン階層 の Tenable
Security Center インスタンスの各 リポジト リのト レンドデータを生 成 するオプションを有 効にします。詳細は、エージェント リポジト リおよび IPv4/IPv6 リポジト リを参照してください。
2. スキャン層 の Tenable Security Center インスタンスで、スキャンを実 行してリポジト リにデータを埋め込みます。
3. レポート 層の Tenable Security Center インスタンスで、スキャン層 の Tenable Security Center イン
スタンス上 の各 リポジト リにリモート リポジト リを作 成します。
レポート 層の Tenable Security Center が、スキャン層 の Tenable Security Center リポジト リからス
キャン結 果 データを同期 します。
デフォルト では、リモート リポジト リは毎日 同 期されます。Tenable Security Center API を使用 することで、より頻 繁にデータの更新 を行うことができます。

バージョンとアップグレードの考慮 事 項
スキャン層 およびレポート 層 の Tenable Security Center インスタンスは、同 一の Tenable Security
Center バージョンが動 作 している必 要 があります。新しいバージョンの Tenable Security Center へとアップ
グレードする場 合、スキャン層 インスタンスの前に、レポート 層 インスタンスを更 新してください。

ハードウェアの考 慮事項
最良 のパフォーマンスを得 るために、スキャン層 およびレポート 層 インスタンスのハードウェアをカスタマイズします。
スキャン層 インスタンス

レポート 層 インスタンス

スキャン層 インスタンスは、次 の恩 恵をレポート 層 インスタンスは、次の恩恵 を受 けます。

受けます。

-7-

スキャン層 インスタンス

レポート 層 インスタンスl

高 速な CPUl

大容量 で高速 な RAMl

高 速なディスク I/O スピードl

大容量 のディスクスペース

アクティブスキャンとセンサーの管 理 をレポート 、ユーザー管理 、およびデータのクエリを支援 する

支援 するために、CPU とディスク I/O のために、RAM とディスクスペースの追 加を検討してくださ

リソースの追 加を検 討してください。

い。
Tenable では、100,000 個 のアクティブな IP アドレス毎 に
128 GB の RAM (たとえば、150,000 個の IP アドレスの場合
は 192 GB の RAM の割 り当て) を推奨 しています。

詳細 は、パフォーマンスを参照 してください。

ユーザーアクセス制御 を計画 する
スキャン層 およびレポート 層 の各インスタンスの目 的に合 わせてユーザーにアクセス権 を付与 する場 合 、次のアカウント 構造 を検 討 してください。
スキャン層 インスタンス

レポート 層 インスタンス

次のユーザーのためのアカウント を

次のユーザーのためのアカウント を作成 します。

作成 します。
ll

インスタンスで管理設定 を行う必 要 のあるテクニカルユー

ルユーザー
l

ザー
l

スキャンを設定し実 行する必要 のあるテクニカルユーザー

リポジト リや階層設 定 を管 理 する必要 のあるテクニカ

レポート 作 成のための累積 データやト レンドデータを一元的に把 握する必 要があるビジネスユーザーl

脆弱性 分 析 のための累積 データやト レンドデータを一元的に把 握する必 要があるテクニカルユーザー

アクセス制 御関 連 記 事 : Tenable Security Center ユーザーガイド のユーザーアクセス

Tenable Security Center のユーザーアクセスモデルは、ロールベースのアクセス制 御 (RBAC) の基 本 方針に対 応 しています。各 ユーザーに対 して、グループメンバーシップ (データアクセス用 ) およびロール (アプリ-8-

ケーションアクセス用) が規定 されます。これは同じチームに所 属するユーザーが (共有 グループ内 で) 同 じ
データにアクセスしながら、異 なる機 能 を実行 するために (ロール毎に) 異なるレベルのアクセス権を持 つためのものです。グループとユーザーのセット を含む、組織 を構成できます。組 織では、独自のリソースが割り当てられたユーザーとグループの個別 のセット を考慮できます。この機 能 を使 用して、会社の組 織 構造
を Tenable Security Center の中 に複製 することができます。
たとえば、次 のことが可 能です。
l

脆弱 性 管 理シニアエンジニアに、完 全なセキュリティマネージャーのアクセス権 を付与 するl

役員 にはアクセス権を付 与しないが、ARC をエクスポート して共 有 するようセキュリティマネージャーに指 示 するl

セキュリティエンジニアに API エクスポート のアクセス権を付 与 するl

セキュリティエンジニアに API 統 合 のアクセス権 を付与 する

アクセス制 御 と API
Tenable Security Center API へのアクセスはユーザーベースです。これにより、事 前に構築 された統 合とカスタム統合 の両方で、RBAC ユーザーモデルを利用 することができます。詳 細は、API の使 用方 法 を参照
してください。

アクセス制 御 とリポジト リ
スキャン結 果 データを Tenable Security Center に格納 するには、リポジト リを設 定します。Tenable は、
大規 模 なデータセット (数万の IP アドレス) を複 数 のリポジト リに分割 することを推奨しています。
l

素早 いデータのインポート およびクエリの実行l

ユーザーアクセスのコント ロールと柔 軟性の向上

l

報告 のコント ロールと柔 軟 性 の向 上l

最大 リポジト リサイズ (32 GB) に関 連 する潜在 的な問 題への対 応

リポジト リの組 織化
ニーズに応 じて、いろいろな方法 でリポジト リを組織化 できます。例 :l

企業 内 の部門 や部 署ごとに、企業 構造 を超えた報告を簡素 化

l

論理 的 なネット ワーク定義 により、集中管 理された IT 部門 や非連 合企 業の特定のニーズに対 応-9-リポジト リの容 量
1 つのリポジト リには 32 GB のデータを保 存することができますが、これは資産の種類 や認 証スキャンを実行しているかどうかに応じて、約 30,000 から 100,000 の IP アドレスに相当 します。
リポジト リの組織 化を計画している場 合は、各リポジト リに格 納される IP アドレスの数を概 算してください。もし概 算 結果 が上 限に近 づいているリポジト リがあれば、そのリポジト リを 2 つ以 上のリポジト リに分割してください。データのインポート 後に、そのデータを別のリポジト リに移 動することはできないため、
Tenable では、リポジト リのサイズに余 裕を持たせることをお勧めします。

統合
Tenable Security Center は、お客様 のネット ワーク内 で最 大限 の機 能 を発揮するために、さまざまな
サードパーティ製品との統 合をサポート します。Tenable がサポート する統合 機 能については、
https://jp.tenable.com/partners/technology またはドキュメント を参 照してください。
Tenable Security Center 内 のデータを強 化して、企 業 で使 用する他のプラット フォームに Tenable
Security Center のデータを共 有 するために、ほとんどの統合で Tenable Security Center API が使 用 されます。
統合 を Tenable Security Center の大 規 模デプロイメント で使 用する場合 は、次のベスト プラクティスを考慮 してください。
lTenable が対応 する統合 であることを確 認 してください。Tenable サポート は、サードパーティのベン
ダーが管 理する Tenable Security Center 統合 機能 についてはサポート しません。

l

お使 いの Tenable Security Center が環境 要件に適合 することを確認 してください。

lサードパーティ製 品の構成 が、Tenable Security Center デプロイメント の規模 や想 定されるデータフローに対 応できるかを確認 してください。

lTenable Security Center とサードパーティ製品のテスト インスタンスを維 持し、アップグレードのリスクを最 小 限に抑 えます。変更 を実稼 働環境 に展 開する前に、アップグレードと構 成変 更をテスト イン
スタンス上 で試 験してください。

社内 のプラット フォームやツールのカスタム統 合については、Tenable Professional Services にお問い合わ
せください。

API の使 用 方 法- 10 -

Tenable Security Center API は、JSON 形式でデータを提供 する Tenable Security Center 機 能へのRESTful インターフェースです。開 発 者 は多 くの場合 REST API を使 用して、Tenable Security Center を
他のスタンドアロンまたはウェブアプリケーションと統 合します。管理 者は、Tenable Security Center サー
バーとのやり取 りをスクリプト 化するために REST API をよく使用 します。
詳細 については、次 を参照 してください。
lTenable Security Center API ガイドlTenable Security Center API ベスト プラクティスガイド

l

共通 機 能 に関 する Python SDK ガイド

API を Tenable Security Center の大規 模デプロイメント で使用 する場合は、次のベスト プラクティスを考慮してください。
l

処理 の観 点から見 ると、ユーザーインターフェース経 由で開始されたタスクと、API 経 由 で開 始 されたものでは、完 了 までにかかる時 間は同じです。

lTenable Security Center は、ユーザーの API アクセスとユーザーインターフェースのアクセスに同 じRBAC システムを使 用しています。

lTenable では、アクセス高速 化 のためのマルチスレッドの API 呼 び出しは推奨していません。

lTenable では、/scanResult エンドポイント から個 別の結 果 を解 析するのではなく、/analysis エ
ンドポイント からデータを引 き出 すことを推奨 しています。

lTenable Security Center からデータを送 信または要求する API コールの頻 度を設 定する際 には、データが変更 される可 能 性が高いことを考慮 してください。たとえば、スキャンを週 次でしか行 っていない場 合 は、データを 1 時間 おきに引き出す必 要 はありません。

注 意 : Tenable は、プロト コルまたは実 装 を拡 張する際に後方 互換 性を維持 しない場合があります。結 果として、一部 の API で構 造または機能 が変 更される可能性 があります。API は、将 来 の互 換 性 の保 証 なしで提 供されます。

Tenable サポート では、API を使用 したカスタム実 装に関 しては支 援 していません。カスタムデザインや実装のサポート については、Tenable Professional Services にお問 い合 わせください。

- 11 -

スキャン戦 略 を計 画 する
Tenable Security Center デプロイメント のスキャン戦 略 を計 画する際 は、次の点について考 慮 してください。
ネット ワークスキャンのカバレッジ
アセスメント スキャンの方法
スキャン時 間 に影響 を及ぼす変 動 要素
データフロー

ネット ワークスキャンのカバレッジ
関 連 記 事 : 一般要件ガイド のTenable Security Center のハードウェア要 件 とライセンス要 件

ほとんどの企 業では、ネット ワーク上 に数多くのテクノロジーがあるため、ネット ワークにある資 産の全 容 (および総 数) を掴 むことが難 しくなっています。お客様のネット ワークにも、多 様なハードウェア、オペレーティン
グシステム、ソフト ウェア、およびインフラ用 途 の資産 が含まれているかもしれません。
Tenable Security Center は主 として IP アドレスベースのツールです。Tenable Security Center のデータ、
スキャン、クエリ、およびレポート の多 くは、資産の IP アドレスに基 づいています。ネット ワーク上の資 産 のIP アドレス数 は、ネット ワークサイズとライセンス付 与を議 論する際 の主 要 なデータの尺度 となっています。
Tenable Security Center を初めてご使用 になる場合 は、現 在ネット ワーク上 で追 跡している資 産 よりも多くの資 産に対 応できるように、Tenable Security Center を展開することを検討 してください。別 の製 品
からの資 産インベント リがある場合 、これまでに確認されていない資産 (たとえば未知 のシステム、追 跡 されていないシステム、複 数 の IP アドレスを使 用 中のシステム) を考 慮 するために、Tenable では通 常、合計の資 産数 を 20%～ 30% 増 加 させることを推 奨しています。正確な増加率 はさまざまですが、ネット
ワークサイズを見 積もる上で、まずは 20～30% とするのが良いでしょう。
ヒント : 検 出スキャン (たとえば、ホスト 検出 テンプレート で設定 されたスキャンや、検 出モードの Tenable Nessus
Network Monitor インスタンス) を実 行して、実 際の IP アドレス数 をより正 確に推定することもできます。

Tenable Security Center インスタンスの設 定
ネット ワークサイズを概算した後 、Tenable Security Center の単 一のインスタンスは適 切に展 開およびス
ケーリングされた場合 に、150,000 個 ～200,000 個 の IP アドレスに対 応できることに留意してください。

- 12 -

階層化されたリモート リポジト リ設定 では、リモート リポジト リを使 用 して複 数の Tenable Security Center
インスタンス間でデータを共 有します。
l100,000 を超えるホスト または複数 の Tenable Security Center コンソールをサポート する環境 では、Tenable は、Tenable 環 境 に関 する付加 的な運 用インサイト を提供 するように Tenable
Security Center Director を設 定 することを推 奨しています。

l100,000 個～ 249,999 個のホスト に対応する場合、Tenable では階 層化 されたリモート リポジト リ
設定 を推奨しています。

l250,000 個 以上のホスト に対 応する場 合は、Tenable では階 層 化されたリモート リポジト リ設定 が必 要 です。

階層 化 された Tenable Security Center インスタンスは、Tenable Security Center デプロイメント 全体 の中で非 公式 な役割 を果 たします。Tenable では、最低 1 つの指定されたレポート 用の Tenable Security
Center と、ネット ワーク上 のホスト 100,000 個～ 150,000 個ごとに 1 つの追加 Tenable Security Center
インスタンスを推奨しています。
詳細 は、階 層 化されたデプロイメント を参 照してください。

アクティブスキャン
アクティブスキャンを実行する場 合、Tenable Nessus スキャナーのデプロイメント は、お客様 のネット ワーク
アーキテクチャ独自のニーズに応 えられるよう、柔 軟 性を持 った設 計となっていることに留 意してください。
さまざまな方 法で、Tenable Nessus のカバレッジを最適 化 することができます。たとえば、以 下の設 定 が可能 です。
l

IP アドレス 50 個を含 む遠隔 地の低 帯域 ネット ワークエリアに対 応する 1 つのスキャンゾーン専用 の1 つのスキャナーl

IP アドレス 50,000 個 を含 むフラット なネット ワークエリアに対 応 する多 数 のスキャンゾーン専 用 の 10
個のスキャナーTenable では、お客様 のネット ワークアーキテクチャ独自 のニーズに適合するよう、Tenable Nessus スキャ
ナーのデプロイメント をカスタマイズすることを推奨 しています。詳細 は、Tenable Nessus ユーザーガイド のデプロイメント 時の注 意点を参照 してください。
スキャナーの配 置に関 する詳 細 は、アセスメント スキャンの方法を参 照 してください。

アセスメント スキャンの方法- 13 -

関 連 記 事 : Tenable Security Center ユーザーガイド のスキャンの概 要

資産 の評価 には主 に、アクティブネット ワークスキャンとエージェント スキャンの 2 つの方法があります。
lアクティブ — Tenable Nessus または Tenable Vulnerability Management スキャナーを使 用して、定義されたネット ワークとターゲット を評価し、スキャンデータを Tenable Security Center に送 信しますlエージェント — エンドポイント にインスト ールされた軽 量エージェント を使 用して、Tenable Nessus
Manager または Tenable Vulnerability Management にスキャンデータを送 信します

各タイプの利 点 と制 限については、Tenable Nessus Agent デプロイメント とユーザーガイド の利点 と制限を参照 してください。
ターゲット に応 じて、アセスメント スキャンの方法 を選 択します。完全に対応し、企業 のリスクを適切に評価するためには、必要 に応 じて両 方 の方 法 (異なるターゲット タイプを異なる方法 でスキャン) を実 行 します。
例
エージェント スキャンは、ネット ワーク上 に稀 にしか存 在 しない (あるいは複数 のネット ワークの間を移 ってゆく) システムに適 しています。Tenable Nessus Agents はどこからでもレポート することができ、想 定される
ネット ワーク内 に留 まる必 要はありません。
アクティブネット ワークスキャンは、データセンターに接続されているシステムを評価 するために、ほとんどの
環境 に適 しています。これらのシステムには通常、多くのリッスンしているネット ワークサービスがあり、常 に
実行 中 です。ネット ワークベースのアセスメント スキャンは、各 サービスを個別 に評価 し、システムが高負
荷で利 用されていない特 定 の時間 にスケジュールすることが可能です。
ヒント : その他のニーズ向 けに、Tenable Security Center Continuous View は Tenable Nessus Network Monitor を介したパッシブスキャンおよび LCE を使用 したイベント ログ記録にも対 応しています。

アクティブスキャンでのスキャンゾーン
関 連 記 事 : Tenable Security Center ユーザーガイド のスキャンゾーン

完全 なアクティブスキャンの設定 には、スキャンゾーンが含 まれます。これは 1 つ以上 のスキャナーを、ネット
ワークの特 定 の領 域 へと関連 付 けます。あるゾーン内にある IP アドレスのスキャンでは、そのゾーンに割 り当てられたスキャナー間で、負 荷 が分 散 されます。これをカスタマイズすることで、お客様 独自のネット ワー
クト ポロジーに対応できます。たとえば、次 のことが可能です。

- 14 -

l

事業 部 ごとに 1 つのゾーンを作 成し、各ゾーンに 1 つのスキャナーを追 加するl

1 つの大 きなゾーンを作成 し、そのゾーンに複数 のスキャナーを追 加 するl

分離 されたネット ワーク (低帯 域 幅または高 レイテンシ接 続によって分離されたネット ワーク) 用 のゾーンを作 成し、そのゾーンに 1 つのスキャナーを追加し、そのスキャナーを分 離 されたネット ワーク内へと展開する

スキャンゾーンは、企 業における Tenable Security Center のデプロイメント の成功 に極 めて重 要 です。スキャナーをスキャンゾーンへ割 り当 てることで、許 可 されたネット ワークの範 囲をスキャンするようにスキャ
ナーを制 限 し、ファイヤーウォール 経 由 で、または WAN リンクを超 えてスキャンを行 うことで発 生 する問題を回避 します。
デプロイメント の例
スキャンゾーンの IP アドレスは、単 一の IP アドレス、IP アドレスの範囲 、または CIDR 表 記のサブネット として指 定 できるので、論 理グループ、物 理 的な場所、または IP アドレスの範 囲 によってネット ワーク上 のス
キャンをセグメント 化 することができます。
一般 に、大 規 模 かつフラット なネット ワークでは、Tenable Security Center がスキャン負 荷を自動 的にスキャナー全 体 に分散 できるため、複 数のスキャナーが最 も効 率的 です。大 規模な企業 では通 常 、中 核となるネット ワークにいくつかのスキャナーを展開し、より区分 されたネット ワーク、またはリモート のネット ワー
クに追加 のスキャナーを展 開します。また、お客様独自 のネット ワークインフラに適 した、アーキテクチャの組み合 わせを設 計 することもできます。
最適 なデプロイメント は、ネット ワークおよび企業 のニーズによって左右 されます。あらゆる状況に対 応できるデプロイメント 手 法は存 在しません。
たとえば、30 の物理 的な拠点 を有 する 2 つの地方 銀行 で、最適 なデプロイメント は異なるかもしれません。
l

銀行 A: 5 つのスキャナーをデータセンター内部 で展開し、ネット ワークリンク経由 でのみスキャンを行うl

銀行 B: 物理 的な拠点 のそれぞれに 1 つのスキャナーを展開する

さらに、ネット ワークサイズに基 づく最 適な推奨もありません。
l

お客 様 A: 40 個 の Tenable Nessus スキャナーを導入し、合計 300,000 個の IP アドレスをスキャンl

お客 様 B: 300 の物理 的な拠 点 に 300 個 の Tenable Nessus スキャナーを導入 し、ローカルスキャ
ナーの要件を満 たすことで、合 計 37,000 個 の IP アドレスをスキャン- 15 -

大 規 模 エンタープライズデプロイメント に関 する推 奨 事 項
大規 模 エンタープライズデプロイメント では、Tenable は次のことを推 奨します。
l

最低 でも、ゾーン内 のアクティブな IP アドレス 5,000 個ごとに 1 つのスキャナーを追 加する。

l

1 つのスキャナーを 1 つのゾーンに追 加する。Tenable では、1 つのスキャナーを複数 のゾーンに追加することは推奨 していません。

l

スキャンゾーンに重複する IP アドレスがある場 合、自動 スキャンディスト リビューションを無効 化 する。

l

任意 の IP アドレスを、お客様 のネット ワークの内部 にあるスキャナーと外部 にあるスキャナーの両 方からスキャンして、その IP アドレスのデータを複数 のリポジト リに格納する場合 は、自 動的なスキャン
分散 を無効にする。

l

複数 のスキャン層 または独 立 した Tenable Security Center インスタンスにまたがるスキャンゾーン設
定を監 視するには、Tenable Security Center Director を使用 します。

エージェント スキャン
関 連 記 事 : Tenable Nessus Agent デプロイメント とユーザーガイド のエージェント の使用例 (高 レイテンシネット ワー
ク、モバイル / 分 散型 ワークフォース、堅牢 化 システム) と大 規模 デプロイメント の考 慮 点

Tenable Nessus Agents は、エージェント スキャナーがアクティブスキャナーと同じネット ワークアーキテクチャの考 慮 事項 によって制 限されないため、Tenable Security Center デプロイメント の柔軟 性を高めることができます。Tenable Nessus Agents はまた、高 レイテンシネット ワーク、到達 できないネット ワーク、および堅牢 化 システムに適 したソリューションです。
Tenable Vulnerability Management (クラウドベース) または Tenable Nessus Manager (オンプレミス) といった中 間 マネージャーを介 して通 信するように、Tenable Nessus Agents を展開 することができます。多 数の Tenable Nessus Agents を展 開する場合 は、大規模 デプロイメント における考 慮事 項を確認 してください。

スキャン時間 に影 響を及ぼす変 動 要 素
お客 様 の設定や環境 には、スキャンのパフォーマンスに影響を及 ぼす数 多くの変 動要 素があります。デプ
ロイメント を計画 する際 に考慮 すべき、最も一般 的な変 動要 素 を下 の表 にまとめます。
ヒント : Tenable は、Professional Services に連絡して、Tenable Security Center の大 規模デプロイメント を成功させるための共同 設計 を行うことを推奨します。

- 16 -

変数

影響

同時 に行 わ

同時に評 価できる IP アドレスの数は、2 つの要素 に左 右されます。

れる評価 のl

利用 可 能 な Tenable Nessus スキャナーの数l

スキャンポリシーの [Max simultaneous hosts per scan] (スキャンごとの同時割合

ホスト の最大 数) の設 定
これらの 1 つ、もしくは両方 を増加 させることが、同 時 に行われる評価 の割 合 および全体のスキャン時 間 を改善 するための一 番の早道 です。しかし、大規 模 エンタープ
ライズネット ワークには多 くの場合、これらの値 をある最大値 以 上 に増やすことを妨げるインフラまたは技術 上 の制 約があります。
Tenable Security Center は Tenable Nessus スキャナーにジョブをチャンクで送 信し、8 個の IP スキャンセグメント があるため、スキャンごとの同 時 ホスト の最 大 数 が 8の倍数となる設定 の検討 をお勧めします。
注 意 : 実 際のパフォーマンスは、ローカル環境 に大 きく依 存 します。

TenableTenable Nessus スキャナーは、可 能な限 りハードウェア要 件 を満たす必 要がありま

Nessus 環

す。

境の仕 様

まれに、性能 を落とした環境 に Tenable Nessus スキャナーをインスト ールする必 要があるかもしれません。その場合は、性 能 を落とした Tenable Nessus スキャナーが担当するスキャン対象 を限 定してください。
同様に Tenable Nessus を仮 想マシン上に導 入 する場 合、20% のパフォーマンス低下を想定して仕様 を調 整してください。スキャンパフォーマンスが悪 化してデータの破損が発 生 する可 能性 があるため、超過 利用されている、またはオーバーサブスクライ
ブされている仮想 インフラには Tenable Nessus を展 開しないでください。

Tenableスキャンエンジンには、スキャンエンジンのランタイム動 作を変 更 するために使 用 され

Nessus エンる、多 くのパラメータがあります。これらのパラメータは、同 時 にスキャンできるホスト の

ジン設 定

数から、並行 して開 くことのできる TCP セッションの数までに及びます。これらのパラメータは、お客様 がエンジンのパラメータを個 別 に調 整して、パフォーマンスを上 下させることで、お使 いのネット ワークに適 合させることができるように設 計されています。
詳細は、Tenable Nessus ユーザーガイド のパフォーマンス設定を参照してください。

- 17 -

変数

影響

Tenableスキャンポリシーの設定 では、スキャンの深度が規 定 されます。一 般に、スキャンのSecurity

深度を増加 させると、スキャンの実行 時 間 も増 加 します。スキャン深 度を検討 する

Center ス

際は、次 のことを考慮 してください。

キャンポリ
l

どんな種 類 のポート スキャンが実 行されるか

l

どのポート がスキャンされるかl

どんな脆 弱 性をスキャンするかl

認証 スキャンを実 行 しているかl

マルウェアチェック、ファイルシステムチェック、設 定監査 などを行うか

シーの設 定Tenable が提供 するテンプレート を使用 して、対象 とするチェックを行 うことができます。可能 なポリシー設 定のすべてをカスタマイズする、カスタムポリシーを作 成することもできます。
ターゲット とTenable では、スキャナーをターゲット の近くに配 置し、最 小のレイテンシで接続 する

スキャナーのことを推奨しています。レイテンシは、スキャナーとそのターゲット との間で交換される

近接 度

すべてのパケット に付加 的に作用します。ネット ワークレイテンシと同時実 行 のプラグ
インチェックが、最も大きな影響を与えることが多 いです。
例lルーター、VPN、ロードバランサー、ファイヤーウォールを経由してスキャンを行うと、開 いているはずのポート がブロックされたり、閉 じたポート に自 動 応答 したりして、スキャン結果 の忠実 度 に影響を与 えることがあります。

l

単一 のネット ワークインフラの背後にある多 数のホスト をスキャンすると、スキャ
ナーとホスト の間の大量のセッション交換 により、装 置の負荷 が増 大する可 能
性があります。

生きている

死んでいるホスト のスキャンは、生きているホスト のスキャンよりも時 間が掛かりませ

ホスト の数ん。関 連するホスト の数が少 ない IP アドレスの分 布 は、ホスト の数 が多い IP アドレ
スの分 布よりもスキャンにかかる時 間 が短くなります。

ターゲット とネット ワークサービスがほとんど公 開されていないロックダウンされたシステムのスキャンなる設 定

は、複 雑 なターゲット の設定に比 べて時 間 がかかりません。たとえば、ウェブサー- 18 -

変数

影響
バー、データベース、ホスト 侵 入防 止ソフト を搭 載した Windows サーバーは、スキャンに比較 的時 間がかかります。

ターゲット とスキャン対 象 で利 用 可能なリソースも、スキャン時 間 に影響 を与える可 能性がありなるリソース

ます。一般公 開されているシステム (負荷 のあるシステム) の方が、利 用されていな
いバックアップシステムよりも、スキャンに必要 な時間は長くなります。

データフロー
Tenable Security Center と Tenable Security Center Continuous View のデータフローについては、
Tenable の継続 的ネット ワーク監 視 アーキテクチャの概要を参照してください。

- 19 -

構 築 済 みのデプロイメント を運 用 可 能 にする
構築 済 みの Tenable Security Center デプロイメント を運 用可能 にする際 は、次のことに留意 してください。
アップグレードおよび Tenable 製 品 のライフサイクル
バックアップとフェールオーバー
ログ
セキュリティ
パフォーマンス

アップグレードおよび Tenable 製 品 のライフサイクル
Tenable では、ほとんどの大 規 模環 境に対して、Tenable 製品の最新バージョンによる機 能 とセキュリティのアップデート をご活 用 頂 くために、Tenable 製品 の四 半期 ごとの更新を推奨 しています。
Tenable Security Center のアップグレードを計画し準備するにはl

新機 能 、バグ修正 、対応 するアップグレードパス、および統合 製 品のバージョン要件に関して、
Tenable Security Center リリースノート を確認します。
アップグレードにあたり Tenable Security Center のいくつかのバージョンをスキップする場合 (例:5.6.2.1 から 5.12.0 へのアップグレード)、Tenable はスキップしたすべてのバージョンのリリースノート を
お読 みいただくことを推奨 しています。スキップしたバージョンで追加 された特徴 や機 能 によっては、構成 をアップグレードする必 要 がある場合があります。
Tenable Security Center のバージョンによっては、以下が必要 となる場合があります。
l

完 全な機 能サポート のための、下流製品 (たとえば Tenable Nessus) に対 する特定の最低限 必要 なバージョンll

更 新されたハードウェア最小 要件の一 式l

サードパーティ製品 の統 合 のための個別 のインスト ールまたは構 成

バックアップとフェールオーバー に記 載の内容に従 って、アップグレード開始 前にバックアップおよびその検 証を行 ってください。

l

アップグレードを実稼働 環境 に展 開する前 に、テスト 環 境で試 してください。

- 20 -

lTenable では、最 も高い階 層の Tenable Security Center インスタンスから最初 にアップグレードを行うよう推奨しています。たとえば、レポート 層の Tenable Security Center インスタンスをアップグ
レードし、次 にスキャン層 の Tenable Security Center インスタンスに対 して行 い、その後に個 別 のス
キャナーに対 して行います。

アーキテクチャの見 直しとハードウェアの更 新Tenable では、3 年 から 5 年 ごとにアーキテクチャの見 直しを行 い、ハードウェアの更 新を検討 するよう推奨しています。基盤 となる環境 が変 更 された、あるいは規模が拡 大 された場 合、または脆 弱性 のポリシーが変 更 された場 合 (たとえば、データ保持期間 を 180 日 から 365 日 に延 長 した場 合) には、より頻 繁に実 施 することをお勧 めします。

Tenable 製 品のライフサイクル
Tenable 製 品 のサポート 終了 (EOS) および製 品ライフ終了 (EOL) の期 日に関 する詳細は、Tenable ソフ
ト ウェアリリースライフサイクルマト リクスを参照してください。

バックアップとフェールオーバー関 連 記 事 : Tenable Security Center ユーザーガイド のバックアップと復元

Tenable Security Center はすべての企 業、特に大規 模な企 業に対して、障害 復旧のために Tenable
Security Center のバックアップを保 持 するようお勧 めしています。
バックアップを計 画および実 行する際 には、次 について考慮 してください。
l

一般 に、リンクされたスキャナー (例: Tenable Nessus スキャナー) には脆 弱 性 データが恒 久的 に保存されるわけではないため、バックアップは不要 です。

l

一般 に、脆 弱 性 のト レンドのスナップショット が、Tenable Security Center デプロイメント のスト レージの大部分 を消費 します。このデータに対して、バックアップポリシーを別途作 成することを検 討 してください。一 度 Tenable Security Center により毎夜 の脆 弱性の傾向スナップショット が作 成 されたら、そのデータは変更 されません。

lTenable では、揮 発性 のディレクト リ (たとえば /opt/sc/admin/tmp や /opt/sc/data/scans) のバックアップは推 奨していません。

lTenable Security Center ではディスク上 のほとんどのデータを暗 号 化していないため、バックアップの暗号 化 を検討 してください。

- 21 -

Tenable Security Center は、高 可用 性 フェールオーバーのシナリオには対応 していませんが、システムバッ
クアップを利用 したコールドスタンバイシステムを維持 できます。

ログ
関 連 記 事 : Tenable Security Center ユーザーガイド のシステムログ

使用 中 の Tenable Security Center デプロイメント に関 する、各種のログソースを監視 する必 要 がある場
合があります。

Tenable Security Center
ログの場 所説明/opt/sc/admin/logs/<yyyymm>.log

通 常とは異なるシステム、またはユーザーの挙 動をト ラブル
シューティングする機能 に関 する詳細情 報が含 まれます。
同 様のログアクティビティを、Tenable Security Center イン
ターフェースでも表示できます。

/opt/sc/admin/logs/install.log

インスト ール時に記 述 されます。Tenable サポート の指示があった場 合 のみ、このログを確 認してください。

/opt/sc/admin/logs/upgrade.log

アップグレード中に記述されます。Tenable サポート の指 示があった場 合 のみ、このログを確 認してください。

Tenable Nessus
注 意 : Tenable Nessus data_directory の場 所は、Tenable Nessus ユーザーガイド のデータディレクト リで説 明 したように、オペレーティングシステムによって異 なります。

ログの場 所説明

data_

Tenable Nessus の起 動 とスキャンのパラメータ、および個別の IP

directory

アドレスの開始 時間 と終了時間が含まれます。タッチデバッグを使/logs/nessusd.messages

用 することで、ログのト ラブルシューティングが可 能になりますが、Tenable では実 稼働 環境でタッチデバッグを有 効にしたままにする
ことを推奨していません。

- 22 -

ログの場 所説明

data_

バックエンドの Nessus アプリケーションプロセスが含 まれます。

directory/logs/backend.log

Tenable サポート の指示があった場合 のみ、このログを確認してください。

セキュリティ
関 連 記 事 : ユーザーアクセス (LDAP 認証 、証 明書 認 証 、SAML 認証 、WebSealを含む) と Tenable Security Center
ユーザーガイド の暗号 化 強 度

Tenable Security Center のセキュリティ機 能と考 慮事 項に関して、以下の情報 を確認 してください。

Tenable Security Center
基本 的 に、Tenable Security Center は Apache により提 供される、PHP で記 述されたウェブアプリケー
ションです。ユーザーインターフェースを安 全 にする制 御 は導入 されていますが、Tenable では Tenable
Security Center を安全 な内部ネット ワーク上 に展開することを推奨しています。高 セキュリティ環 境 では、承認 されたネット ワークおよびシステムのみにインターフェースを制 限することをお勧めします。詳 細 は、
ポート 要 件 を参照 してください。
ユーザーの視点 から見ると、Tenable Security Center はユーザーデータのやり取りおよび職務 の分 離 に関して、ロールベースのアクセス制御 モデルに対 応しています。これにより、組 織の脆 弱性 データを公 表 することなく、アプリケーションの管 理者 がタスク管理全 体 を制 御することが可能 になります。ユーザーは、
ローカル認 証 、LDAP/AD 認証 、証 明書 / スマート カード認証 、SAML 認 証 、および WebSeal 認証 といったさまざまな方 法 で、Tenable Security Center のユーザー認証を行 うことができます。ユーザー認 証 を含む、すべてのユーザーインターフェースによる対 話は、HTTPS を介して行 われます。
デフォルト の Tenable Security Center HTTPS 証明書 をカスタマイズすることで、企 業の要 求に適 合 させることができます。

Tenable Nessus および Tenable Nessus Manager
ネット ワークインターフェースの観点 から見 ると、Tenable Nessus は運 用 上、Tenable Security Center への接 続 のみを必 要 とします。従 って、インターフェースのアクセスを、Tenable Security Center サーバーのみに制限 することをお勧めします。アクセスを制限 する前 に、次について考 慮してください。

- 23 -

l

セット アップまたはト ラブルシューティングのため、Tenable Nessus へのユーザーインターフェースによるアクセスが必要 となる場合 があります。

lTenable Nessus Manager の運用 には、ユーザーインターフェースのアクセスが必要です。

Tenable Security Center に接 続 すると、Tenable Nessus はいかなる脆弱 性データや認 証 情報データも保存 しません。Tenable Nessus はスキャンを実行 し、HTTPS 接続を使用 してスキャンデータを Tenable
Security Center に送 信 します。その後、Tenable Nessus はスキャンデータを削 除します。
Tenable Security Center とともに Tenable Nessus Agents を使 用 している場 合、脆弱 性 データはTenable Nessus Manager または Tenable Vulnerability Management に保存 されます。

データスト レージの暗号 化
脆弱 性 データやアプリケーションデータは暗号 化されませんが、認 証情 報は暗号 化された状 態でTenable Security Center サーバーに保存 されます。Tenable Security Center は PAM ソリューションとも統合 しており、ネット ワークスキャン中 に Tenable Nessus が一 元化されたパスワードスト アにアクセスできるようになっています。
脆弱 性 データまたはバックアップデータに対 する保 存データの暗 号 化を企 業で必 要とする場合 、Tenable
ではハードウェアレベルのディスク暗号 化を推奨しています。Tenable サポート では、ハードウェアレベルのディスク暗 号 化 に対する支援は行 っていません。

通信の暗 号 化
Tenable Security Center では、ネット ワークを介する通信 はすべて暗 号化 されます。これには、ユーザー
インターフェースや API を使 用したユーザーとの対話だけでなく、スキャナーの通信 および Tenable との通信のすべてが含 まれます。これらの暗号 化 をカスタマイズして、企業に特有のニーズに対 応することができます。
デフォルト では、Tenable Nessus はターゲット との認証 に暗号 化されたプロト コルを使 用しますが、このト ラフィックの安 全性 は、ターゲット が認 証用 にサポート するプロト コルに基 づきます。

製品のアップグレード
Tenable では、ほとんどの大 規 模環 境に対して、Tenable 製品の最新バージョンによる機 能 とセキュリティのアップデート をご活 用 頂 くために、Tenable 製品 の四 半期 ごとの更新を推奨 しています。
さらに、次 のことが可 能 です。

- 24 -

lTenable 製品 セキュリティアドバイザリと RSS フィードで、セキュリティ関 連の製 品 アップデート を表示。

lTenable 製品 の脆弱性 の報 告 。Tenable では、未 解決の問題への可 視性 を確 保するために、当社のプラグインフィードで Tenable 製品の脆 弱性 検出を公開しています。

パフォーマンス
パフォーマンスの最 適化を開始するには、次 のセクションを使用 してください。Tenable は、Professional
Services のヘルスチェックを利 用して、特 定 の環 境や企業のプロセスに合わせて Tenable Security
Center を最 適 化することを強 く推 奨 します。
パフォーマンスの最 適化を開始する前に、Tenable Security Center およびスキャナーのデプロイメント が一
般要 件 ガイドに記載 されている環 境要 件 に適合 することを確認してください。

Tenable Security Centerl

非常 に大 規模 なデプロイメント では、インスタンスをスキャン層、またはレポート 層のインスタンスとして指 定 する必要があります。詳 細は、階層 化されたデプロイメント を参照 してください。

l

複雑 なレポート 要 件 がある場合 は、特定の機能 を、頻 繁 なアクセス要 求で非常に大量のデータを処理 するように設計 されたアプリケーション (たとえば SIEM) にオフロードすることを検討してください。

l

スタンドアロンのインスタンスおよびレポート 層のインスタンスに対しては、100,000 個のアクティブなIP アドレス毎 に 128 GB の RAM (たとえば、150,000 個 の IP アドレスの場合 は 192 GB の RAM の割 り
当て) を割り当ててください。

l

特定 の静 的なディスク領域 (たとえばト レンドデータ) を使用しない場合 は、マウント ポイント を使 用して、それらをより大 容 量 で低 速 なスト レージへとオフロードできます。

lTenable サポート または Professional Services が特 別に推 奨 または支 援する場 合を除 き、すべての Tenable Security Center インスタンスについて、以 下 のリソース推奨 事項を遵守 してください。
l

500 個以 下の Tenable Security Center ユーザーアカウントl50 以 下の Tenable Security Center ユーザーアカウント の同時接 続 数

l50 以 下の組 織l250 個以 下の付 属 スキャナー- 25 -

l200 以 下のリポジト リ数
注 意 : 一 般に、複数の小 さいリポジト リの方 が、1 つの大きなリポジト リよりもパフォーマンスが高 くな
ります (たとえば、それぞれ 5,000 個の IP アドレスを有 する 5 つのリポジト リは、25,000 個の IP アド
レスを有する単 一のリポジト リよりも、一 般的 にパフォーマンスが高 くなります)。

l

不要 な場 合にはサンプルコンテンツの作成 を無効にしてください (たとえば、サンプルのダッシュボード
や資 産 )。

スキャナーl

アセスメント スキャンの方法 の情報 を考慮して、Tenable Nessus スキャナーネット ワークが、スキャナーの環境に対して最適 に配 置されていることを確認 してください。

l

過負 荷 となったスキャンに関 連するパフォーマンスの問 題の兆 候を捉 えるために、Tenable Nessus
スキャナーのイベント ログ記 録を有効 にして、ログを監 視してください。

l高パフォーマンス環境 (たとえば、指 定された期 限までにスキャンが終了しなければならない環境 )では、物理 システムを通 じて、または仮 想環 境の専用リソースプールを使用 して、ハードウェアリソー
スを Tenable Nessus 専用 に割り当 ててください。

l

スキャン時 間 に影響 を及 ぼす変 動 要素に記載 されている影 響 を確認 し、考 慮してください。

- 26 -