Tenable Nessus Agent 10.4.x ユーザーガイド
最 終 更新 日 : 2024 年 8 月 5 日

Copyright © 2024 Tenable, Inc.All rights reserved.Tenable、Tenable Nessus、Tenable Lumin、Assure、および Tenable のロゴは、Tenable, Inc.またはその関連 会社の登 録商標 です。その他 の各 製品 またはサービスは、それぞれの所 有者 の商 標 です。

目次
Tenable Nessus Agent 10.4.x にようこそ8

エージェント デプロイメント のワークフロー

8

利点 と制 限9

従来 のアクティブスキャン (非 認証 )10

従来 のアクティブスキャン (認 証)11エージェント スキャン

12

利点

12

制限

13
14

エージェント のユースケース
モバイルの分散 型 ワークフォース

14

高遅 延 ネット ワーク

15

要塞 化 されたシステム

15
16

デプロイメント に関する考 慮事 項
一般 的 な考慮事 項

16

大規 模 デプロイメント

18

デプロイメント 戦略

18

クラスタリング

19

エージェント グループ20

スキャンプロファイル戦略

22

スキャンスタガリング

24

Tenable Nessus Agents のベスト プラクティス

24

一般 的 なベスト プラクティス

24

ハイブリッド環境 のデータ集 約

24

-2-

25

システム要 件26

ハードウェア要件
Tenable Nessus Agents

26

Tenable Nessus Manager

27
28

ソフト ウェア要件
SELinux の強制 モードポリシーのカスタマイズ

34
35

ポート の要件
Tenable Nessus Agent

35

Tenable Nessus Manager と Tenable Nessus のクラスターノード

36

Tenable Security Center37

エージェント コンテンツ配 信 ネット ワーク (CDN)

38

ライセンス要件

38

エージェント の CPU リソースコント ロール

39

パフォーマンスメト リクス

43

Tenable Nessus Agent のパフォーマンス

43

ホスト システムの利 用

43

ライフサイクルと帯域 幅

44

ソフト ウェアフット プリント

45

Tenable Nessus Manager のパフォーマンス

47
48

テスト 環境シナリオ 1: Tenable Nessus Agents が Tenable Nessus Manager に接 続され、ジョブをポー48

リングしている場 合
シナリオ 2: Tenable Nessus Agents がアクティブにスキャンし、スキャン結 果をアップロードし49ている場 合Tenable Nessus Agent のインスト ール

49

-3-

Tenable Nessus Agent リンクキーの取 得

50Linux での Tenable Nessus Agent のインスト ール

50

Tenable Nessus Agent をダウンロードする

50

エージェント のインスト ール

51

Linux インスト ールコマンドの例

51

コマンドラインを使用 したエージェント のリンク付け

52

リンクされたエージェント の検 証

54

Windows での Tenable Nessus Agent のインスト ール

55

Tenable Nessus Agent のダウンロード

55

コマンドラインを使 ったインスト ールとリンク付け

56

インスト ールウィザードを使 ったインスト ールとリンク付 け

59

リンクされたエージェント の検 証

62macOS での Tenable Nessus Agent のインスト ール

63

Tenable Nessus Agent のダウンロード

64

エージェント のインスト ール

64

コマンドラインを使用 したエージェント のリンク付け

65

リンクされたエージェント の検 証

67

Tenable Nessus Agent のアップデート

68

Tenable Nessus Agent のダウングレード

72

例 1: エージェント を手 動でダウングレード

72

例 2: 自 分のアップデート プランに合わせてエージェント を自動 的にダウングレード

73

Tenable Nessus Agent のバックアップ

73

Tenable Nessus Agent の復 元

74

Tenable Nessus Agent の削 除

75

-4-

Linux での Tenable Nessus Agent のアンインスト ール

75

Windows での Tenable Nessus Agent のアンインスト ール

76

macOS での Tenable Nessus Agent のアンインスト ール

77
79

エージェント の管 理
Tenable Nessus Agent の開 始 または停 止

79

Windows

79

Linux

80

macOS

80

エージェント のステータス

81

Tenable Nessus Agents のフィルタリング

82

Tenable Nessus Agents のエクスポート

82

Tenable Nessus Agent のリンク解除

82

エージェント グループ

82

スキャン

84

設定

85

Tenable Nessus Agent の設 定 を変 更する85

詳細 設 定85

Tenable Nessus Agent の詳 細 設 定

86

Tenable Nessus Agent の安 全 な設定

97

フリーズウィンドウ

108

log.json 設定の変更

109

プロキシ設 定109

プロキシ設 定を行 う

109

プロキシ接 続のフォールバック

109

-5-

111

追 加 のリソース
NIAP に準拠する Tenable Nessus Agent の設定

111

Tenable Nessus Agent インスト ール済みの Windows または Linux マスターイメージの作成

113

お客 様 のケーススタディ

114

ACME 社 のケーススタディ

115

Tenable Nessus Agent 運用 層 (Tenable Vulnerability Management)

116

レポート 層 (Tenable Security Center)

117

Initech 社 のケーススタディ

118

エージェント のデプロイメント (Tenable Nessus Manager と Tenable Vulnerability
Management)

120

レポート および従 来のネット ワークスキャン (Tenable Security Center)121

Sprocket 社のケーススタディ

122
123

ログを管理 する

129

デフォルト のログの場 所

129

大規 模 デプロイメント のサポート
環境 変 数130

JSON を使用 した Tenable Nessus Agent のデプロイ

131

config.json の詳細

132

Tenable Nessus Agent チート シート

136

Tenable Nessus Agents を使用 する利点 と制限

136

Tenable Nessus Agents のシステム要件

138

Tenable Nessus Agents のインスト ールとリンク

139

Tenable Nessus Agent CLI コマンド

141

Nessuscli の構 文

141

Nessuscli のコマンド

141

-6-

Tenable Nessus サービス

152

プラグインのアップデート

154

ルールベースのト リガーファイルの場 所

155
156

よくある質 問-7-

Tenable Nessus Agent 10.4.x にようこそ
Tenable Nessus Agents はローカルでホスト にインスト ールできる、軽 量 でフット プリント の小 さいプログラム
で、従 来 のネット ワークベースのスキャンを補完したり、従来 のスキャンでは見逃 されていたギャップを可 視化したりできます。Tenable Nessus Agents は脆 弱 性、コンプライアンス、システムデータを収集 し、分析するために、マネージャーに報告 します。Tenable Nessus Agents を使 用すれば、スキャンの柔 軟性と範囲を拡 張 でき、認証情 報 を使 用 せずに断 続的にインターネット に接続 するホスト やエンドポイント もス
キャンできます。さらに、ネット ワークにほとんど影 響を与えずに大 規 模 な同 時 並行スキャンを実行 できます。

Tenable Nessus Agents について
Tenable Nessus Agents は、従来 のネット ワークベースのスキャンの課題 に取 り組むのに役 立 ちます。特に、組織 のセキュリティ態 勢 に関 する情報 を一貫 して収集 するのが不 可 能 またはほぼ不可 能 な資 産 がある場 合 に役 立ちます。従 来のスキャンは、通常は選 択された間隔で、または指定された時間 枠 で行
われ、スキャンの実行 時にシステムにアクセス可 能 でなければなりません。スキャンの実行 時にノート パソ
コンやその他 の一 時 的デバイスにアクセスできないと、それらのデバイスはスキャンから除 外されるため、そこにある脆 弱 性が見 過 ごされてしまいます。
今日 の複雑 な IT 環 境にあるサーバー、ポータブルデバイス、またはその他の資 産に Tenable Nessus
Agents がインスト ールされると、インスト ール先のホスト の脆弱性 、ポリシー違反、設 定ミス、マルウェアを
特定 し、結果 を管理 製 品に報 告 します。Tenable Nessus Agents は Tenable Nessus Manager またはTenable Vulnerability Management で管理 できます。
ヒント : Tenable Nessus Agent ユーザーガイド は、英 語 と日本 語 で提 供されています。

Tenable Nessus Agents 製 品ページ

エージェント デプロイメント のワークフロー
以下 のドキュメント は、Tenable Nessus Agents をデプロイする際に推 奨 されているワークフローについて
概説 しています。

始める前に

-8-

l

Tenable Nessus Manager を使 用して Tenable Nessus Agents を管理 する場 合 、Tenable Nessus
Agents をデプロイする前に Tenable Nessus Manager をデプロイして設 定する必 要があります。詳
細については、Tenable Nessus ユーザーガイド の Tenable Nessus のインスト ール を参 照 してください。

lTenable Vulnerability Management を使用して Tenable Nessus Agents を管理 している場 合 、事前のデプロイは不 要 です。

Tenable Nessus Agents をデプロイするには、以下 を実 行 します。
1. 各ホスト に、Tenable Nessus Agents をインスト ールします。
このステップの一 部として、エージェント をマネージャーにリンクし、そのリンクを検証します。次 のステッ
プに進 む前 に、リンクが成功 している必要 があります。
2. マネージャーで、エージェント グループを作成 します。
3. (オプション) フリーズウィンドウを設 定します。
4. (オプション) デフォルト のエージェント 設定 を変 更します。
5. エージェント グループをターゲット とするスキャンを作 成します。詳細 については、次 を参照してください。
l

スキャンの作成 (Tenable Nessus)l

スキャンの作成 (Tenable Vulnerability Management)

このステップの一 部として、エージェント に実 行 させるスキャンのタイプと、エージェント がマネージャーと通信 する期間のスキャンウィンドウを設 定します。
指定 されたエージェント グループのエージェント がこのスキャンウィンドウ中 に次 回チェックインすると、Tenable Nessus Manager または Tenable Vulnerability Management からスキャンポリシーがダウンロードされ、スキャンが実 行され、スキャン結 果がマネージャーにアップロードされます。

利点と制 限
ネット ワーク上 の資 産を探 して脆弱 性 を分析 する際 、エージェント スキャンと従来のアクティブなネット ワー
クベースのスキャンには、それぞれ独 自の利点と制限 があります。
簡単 に言 えば、従来 のアクティブスキャンは Tenable Nessus スキャナーから始まり、スキャン対 象 のホストに到 達 しますが、エージェント スキャンはネット ワークの場 所や接 続性に関 係なくホスト で実行 され、ネット-9-ワーク接 続の再開時にその結 果をマネージャー (例: Tenable Nessus Manager または Tenable
Vulnerability Management) に報 告 します。

従来 の Tenable Nessus スキャンが現 在 の環境と要 件に十分 である場合は、エージェント を使用 する必要はないかもしれません。ただしほとんどの企業 には、ネット ワーク全体 を完全に可 視化できるように、
エージェント と従 来のスキャンを組み合 わせて使 用 することを Tenable は推 奨しています。
自社 のテクノロジーインフラに最適 なスキャン戦略を設計 する際は、利 用 可能 なスキャンテクノロジーのそれぞれの違いを理 解することが重 要です。以降 のセクションでは、各 スキャン方式 の利点と制 限 について
説明 します。
l

従来 のアクティブスキャン (非 認証 )l

従来 のアクティブスキャン (認 証)lエージェント スキャン

従来 のアクティブスキャン (非認 証)
非認 証 スキャンとも呼 ばれる、従 来のアクティブな非認証 スキャンは、システム権 限なしでシステムのセ
キュリティを評 価するためによく使われる方 法です。非 認証スキャンは、ホスト の公開 されたポート 、プロト
コル、サービスを列挙 し、攻 撃者 がネット ワークを危険にさらす可能性のある脆 弱 性と設定 ミスを特定 します。
利点- 10 -l

従来 のエンタープライズ環境での大 規模な評価 に最適 です。

l

外部 の攻 撃者 がネット ワーク侵 入 に悪用 する可能 性のある脆 弱性 を発見 します (悪意 のある攻撃者 目 線 で脆 弱性を発 見 します)。

l

制限 によりエージェント が実行 できないネット ワークベースのプラグインを実 行します。

l

認証 情 報 の総 当たり攻撃 などのターゲット を決 めた操作 を実行 できます。

制限l

他への影響があります。つまり、テスト しているネット ワーク、デバイス、またはアプリケーションに悪 影
響を与 える場 合 があります。

l

詳細 なパッチ情 報などのクライアント 側 の脆弱 性を検 出 しません。

l

常にネット ワークには接続されていない一時的なデバイスは、スキャンの対象 とならない場 合があります。

従来 のアクティブスキャン (認証 )認証 スキャンとも呼 ばれる従来 のアクティブな認証スキャンは、非認証スキャンよりも深い情報 が得られます。このスキャンの場合 、認証 情 報 を使用 してシステムおよびアプリケーションにログインし、必要なパッチや誤 った設 定の正 確なリスト を出 力 します。
認証 スキャンは、バージョン番 号 を含 め、インスト ールされているソフト ウェアを直 接検索 するため、次 のような項目 を評価 できます。
l

ソフト ウェアの脆 弱 性の特 定lパスワードポリシーの評 価l

USB デバイスの列挙

lウイルス対 策 ソフト ウェア設 定のチェック

デバイスへの影 響を最 小 限に抑えて、これらのタスクをすべて実行します。
利点l

スキャンはネット ワーク全 体 ではなくホスト 自 体で実 行 されるため、消費するリソースは非認証 ス
キャンよりもはるかに少なくなります。

- 11 -

l

他への影響がありません。つまり、テスト しているネット ワーク、デバイス、アプリケーションに悪影 響 を与えません。

lより正 確 な結 果 (ホスト にインスト ールされているソフト ウェアとパッチの完 全 な列 挙) が出 力 されます。

l

クライアント 側 のソフト ウェアの脆弱 性が明らかになります。

制限l

スキャンされる各 ホスト の認 証情 報 を管理する必要 があります。
o大 規模 な企業の場合 、認証 スキャンを安全 に実 行するために必要 な適切 な権限とアクセス権 を持つサービスアカウント の作成 が大変な場 合があります。

oパスワードローテーション要 件により、管理 がさらに複雑 になる可 能性 があります。

注 意 : Tenable は、主 要なパスワード保管 場所やパスワードマネージャーと統 合することにより、従来 のア
クティブな認 証スキャンのこの制限 を緩和 します。
l

常にネット ワークに接続されているとは限 らない一 時的なデバイスは、スキャンの対 象となりません。

エージェント スキャン
Tenable Nessus Agent スキャンは、ホスト にローカルでインスト ールされている、軽量で必 要なスペースの少ないプログラムを使用します。Tenable Nessus Agents は脆弱性 、コンプライアンス、システムデータを収集 し、それらの情 報を Tenable Nessus Manager または Tenable Vulnerability Management に分 析 のために報告します。Tenable Nessus Agents は、システムおよびネット ワークへの影響を最小 限 に抑える
ように設 計 されているため、エンドユーザーを混乱させることなく、すべてのホスト に直 接アクセスできるという利点 があります。

利点l

広いスキャン範 囲 と継続 的 なセキュリティを提供
oネット ワークベースのスキャンを実行することが実用的 ではないまたは可能 でない場 所 にもデプロイできます。

- 12 -

oインターネット に断 続的 に接続 する、ネット ワーク外の資産 やエンドポイント (ノート パソコンなど) を評 価できます。Tenable Nessus Agents は、ネット ワークの場所 に関係 なくデバイスをスキャンし、結 果をマネージャーに報告 できます。

l

認証 情 報 の管 理が不要o

実 行にホスト の認証 情報 を必要としません。そのため、認証 情 報が変 更されたときにスキャン設 定 の認 証 情報 を手動 で更新 したり、管 理者、スキャンチーム、企 業内 で認証 情 報を共有 したりする必要 はありません。

oドメインコント ローラー、DMZ、認証局 (CA) ネット ワークなど、リモート の認証アクセスが望まし
くない場 所にもデプロイできます。

l

効率 的
o

ネット ワークスキャンのオーバーヘッドを全 体的に削減できます。

o

ローカルホスト リソースに依 存 するので、パフォーマンスオーバーヘッドが最小 ですみます。

oネット ワーク帯 域幅の必 要 量 が減 ります。これは、低 速ネット ワークで接 続されているリモート
設 備にとって重 要 です。

oセグメント 化 されたネット ワークまたは複雑 なネット ワーク上 にあるスキャンシステムの課題を排除 します。

o

Tenable Nessus Agents は再起動やエンドユーザーの操 作 なしで自動 的にアップデート でき
るため、メンテナンスが最 小 ですみます。

oネット ワークにほとんど影 響 を与えずに大 規模 な同時並行 エージェント スキャンを実行 できます。

l

デプロイメント とインスト ールが簡 単
o

すべての主要なオペレーティングシステムに Tenable Nessus Agents をインスト ールして操 作
できます。

o

ノート パソコンなどの一 時的 なエンドポイント を含 め、どこにでも Tenable Nessus Agents をイ
ンスト ールできます。

oMicrosoft の System Center Configuration Manager (SCCM) などのソフト ウェア管理システムを使 用して Tenable Nessus Agents をデプロイできます。

制限- 13 -

l

ネット ワークチェック - エージェント はネット ワークチェックを実行するように設計 されていません。そのため、エージェント スキャンのみをデプロイする場合、特定のプラグイン項目 はチェックまたは取 得 できません。従 来のスキャンとエージェント ベースのスキャンを組み合 わせれば、このギャップを埋 めることが
できます。

l

リモート 接続 - DB サーバーへのログイン、デフォルト の認証 情報 (総 当たり) の試 行、ト ラフィック関
連の列挙 など、リモート 接続 を通 じてのみ実行 できることをエージェント は行 いません。

エージェント のユースケース
次のセクションでは、Tenable Nessus Agents のさまざまなユースケースについて説明 します。
lモバイルの分散 型 ワークフォースl

戦術 /衛星 /高 遅 延ネット ワークl

要塞 化 されたシステム

モバイルの分散 型 ワークフォース
Tenable では、モバイルワークフォース用 にエージェント をデプロイすることを推奨 しています。エージェント を
使用 すれば、デバイスをスキャンするために従業員が VPN を使 って組織 の本社ネット ワークに接続する
必要 がなくなるためです。このシナリオで WAN または VPN 接 続でアクティブスキャンを実 行すると、リンク
速度 が遅 くなったり、暗号化 オーバーヘッドが高くなったり、リンクの安 定性に問題 が発 生したりする可 能
性があります。しかし、エージェント を使用 するとスキャン時間 が数 時間 から数 分 に短縮 されます。
モバイルワークフォースをサポート するために、Tenable では次のことを推奨しています。
l

マネージャーを DMZ にデプロイし、エージェント が通 信に使 用できる公開 IP アドレスを割 り当 てます。エージェント とマネージャー間のすべての通信 は、TLS 暗号 化通 信を介して行われます。

lエージェント スキャンに適切なスキャンウィンドウを設 定 します。スキャンウィンドウとは、エージェント がスキャンを実行し、その結 果 をマネージャーに報告 する期 間のことです。エージェント は、スキャンウィ
ンドウが破 棄された後に送 信されたスキャンリクエスト や結 果を破棄 し、システムを未 スキャンとしてマークします。
このアプローチにより、正確 なセキュリティデータを確保 すると同時 に、重 複 する無関 係なスキャンの必要 性 を減らすことができます。たとえば、従業 員が 2 週間休 暇 を取 った場合 、休 暇開 けにキューで待 機している 14 回分 のスキャンを (その従業員 のシステムがオフラインだった日につき 1 回 ) 行 う
必要 はありません。

- 14 -

高遅 延 ネット ワーク
従来 の Tenable Nessus スキャンでは、スキャナーをスキャンターゲット の資産 の近くに配置 し、WAN 全体
をスキャンしないようにするのがベスト プラクティスでした。しかしこの戦略 は、ターゲット 資 産にローカルの
Tenable Nessus サーバーがないデプロイメント シナリオでは難しいことが判明 しています。航 行中 の船、モ
バイルの軍 事 作戦、高遅 延および低 帯域幅のエリアなどがそうです。これらのネット ワークは、通常 、衛星接 続 に依 存 しています。フルアクティブスキャンの実 行時に、ポート 、プロト コル、サービススキャンが生む
ネット ワーク負 荷により、サテライト 接 続が簡単にダウンしてしまう場合もあります。
Tenable Nessus Agents は、スキャンに関 連するネット ワークト ラフィックを大幅 に最小化 することで、この問題 を解 決 することができます。
Tenable Nessus Agents の使 用 時に送 信 されるデータには、3 つのタイプがあります。
lコマンドとコント ロールのデータ — マネージャーから Tenable Nessus Agents に送信 されるデータです。ローカルスキャンのタスクを実行 するために必 要な、誰が、何 を、いつ、どこで、どのように関する
情報 を示します。このデータは、ネット ワークを通 過する最 小のデータセット です。

l

結果 データ — スキャン設定 により、結果データのサイズは異なります。経験 的に、コンプライアンスス
キャンは脆弱 性 スキャンよりも大きくなります。このデータは、マネージャーに送 信され、集計 されます。アップデート データは、Tenable Nessus Agents を使 用して送信 される最大のデータタイプです。

l

アップデート — Tenable Nessus Agent をインスト ールして Tenable Nessus Manager にリンクすると、エージェント はプラグインのフルセット をダウンロードします。初 回のフルダウンロードが完了 すると、エージェント は増 分 のプラグインアップデート のみをダウンロードします。ネット ワークでコンテンツの差分のみを取 得するこのアプローチは、進 行中のネット ワークト ラフィックを大幅に削 減します。また、
System Center Configuration Manager (SCCM) や Yellowdog Updater Modified (YUM) などのパッ
チ管 理 システムによって、またはマネージャー自体を介して、コードのアップデート を処理 することもできます。

要塞 化 されたシステム
エンタープライズ環境 にあるシステムをスキャンする方法 として、Tenable Nessus Professional などのスキャナーを使 用 する従 来 のアクティブスキャンが長 い間 好まれてきました。アクティブスキャンはリモート で行
われ、主 要 なサービスへのアクセスを必 要 とします (リモート レジスト リへのアクセスなど)。しかしこれらは、シ
ステム要 塞 化 の一環 としてたいてい無効 になっています。システムの要塞 化により、アクティブスキャンによって収 集 されるデータが実 際 に制限 される場合があるのです。この問 題は、主要 なサービスの列 挙 に
認証 情 報 スキャンが必要 なことからさらに複 雑になります。主要 なデータセット にアクセスするには、昇 格- 15 -

した権 限 (root、ローカル管 理者 、またはドメイン管理 者) が必要 です。多 くのセキュリティ専 門家は、ネット ワークでこれらの昇 格された権 限 の使用 を推奨していません。ドメインコント ローラーなどさらに価 値の高いターゲット では、さらに注 意する必要 があります。
Tenable Nessus Agents は、システムレベルで動作 するため、昇 格した権 限や追加のアカウント を必 要としません。エージェント を使 用 すれば、セキュリティを低 下させることなく要 塞 化 されたシステムをスキャンできる低 リスクアプローチが可 能 になります。システムレベルでスキャンしながらも、認 証情報 の必要性 は効果的 に排 除 できます。

デプロイメント に関する考慮事項
すべての組 織は、テクノロジーのデプロイメント に関 してそれぞれ独 自の課 題に直 面しています。したがって、以下 に示すデプロイメント の考 慮 事 項 は、Tenable Nessus Agents をデプロイするための手 順ガイド
ではありません。特定 の製品 問題 に対 処 するには、Tenable テクニカルサポート チームに連絡してください。製 品 統 合 の要件 、複 雑なデプロイメント シナリオ、製 品ト レーニングについては、Tenable
Professional Services チームに問い合わせることもできます。
以下 のセクションには、デプロイメント ガイダンスが含まれています。
l

一般 的 な考慮事 項l

大規 模 デプロイメント (10,000 以 上 のホスト )一般 的 な考慮 事 項
Tenable Nessus Agents をデプロイする前 に確認する必要がある、いくつかの一般的 な質問を次 に示 し
ます。
l

l

Tenable Nessus Agent をデプロイする予 定のオペレーティングシステムは何ですか?
lLinux (Debian/RHEL/Fedora/Ubuntu)lWindows (Win 10、Win Server 2012/2016 R2)l

OS X (10.8+)

Tenable Nessus Agents をいくつデプロイすることを計画 していますか?
l1,000 未 満l1,000 以 上 5,000 未 満- 16 -

l

5,000 以 上 10,000 未 満

l10,000 以 上

注 意 : 10,000 を超 えるエージェント のデプロイメント シナリオでは、大 規 模 デプロイメント で説明 されているように、エージェント グループのサイジングとスキャンスタガリングによるパフォーマンスの最 適化を検 討 してください。
lTenable Nessus Agents をインスト ールするホスト の一般 的なハードウェア仕 様は何 ですか?たとえば、ディスク容 量、ディスクの種 類 と速度 、CPU、コア、RAM を考 慮します。

lTenable Nessus Agent から Tenable Nessus Manager への出 力通信 を防 ぐような対策 がホスト に存在 しますか (DST: TCP/8834 [デフォルト 、カスタマイズ可能])?

l

エージェント プロセスの実 行 を防 ぐような対 策がホスト に存 在 しますか?
注 意 : オペレーティングシステムごとに許 可するファイルとプロセスのリスト については、ファイルとプロセスの許可
リスト を参 照 してください。

lTenable Nessus Agents をエンタープライズ全体 にどのようにデプロイする予 定ですか?たとえば、
Active Directory、SMS、Microsoft SCCM、Red Hat Satellite などのエンタープライズデプロイメント
テクノロジーを使 用しますか?

l

仮想 システムまたは非永続 システムに Tenable Nessus Agents をデプロイしますか?その場合 は、基となるデバイステンプレート にエージェント を追 加することを検討 してください。所属 組織 の仮 想 /非永 続 ホスト のコミッションとデコミッションのプロセスを確認 し、Tenable Nessus Agents のアクティブ
化または非 アクティブ化が正 しく行 われたことを見届 けることを Tenable は推奨 しています。

l

潜在 的 にデプロイメント 可 能 なエージェント 資産とデプロイされたエージェント の実際 の資 産 の比 率をどのように追 跡する予 定ですか?

l

ホスト 上 のエージェント のヘルスとステータスをどのように追 跡する予 定ですか?たとえば、条件 x (x はサービスのステータスまたはエージェント の登録 ステータス) を監視 するとします。その状態 が発 生す
る場合 は、アクションまたは通知 がト リガーされます。

l

デプロイされたエージェント が存在 するインフラに最 適な命 名 スキーマはどれですか?エージェント を実行しているホスト の内 訳を整 理する方法を計画することが重 要 です。

l

従来 のネット ワークスキャンでエージェント ベースのスキャンを補完する予定ですか?エージェント ス
キャンとネット ワークスキャンで脆 弱 性情報 をどのように維持 する予定 ですか?複数 のリポジト リをどのように管理する予定ですか?

- 17 -

大規 模 デプロイメント
大規 模 な環 境にエージェント をデプロイする場 合、すべてのエージェント が継続的 にアクティブであり、Tenable Vulnerability Management または Tenable Nessus Manager に接続 された状態 を保つようなデプロイメント 戦略 にする必 要があります。

デプロイメント 戦 略
多数 のエージェント をデプロイする場合 は、ソフト ウェアを使用してネット ワーク経由でエージェント をプッ
シュすることを検討してください。例- 18 -

Tenable は、多 数 のエージェント をデプロイするときは、24 時間 かけてエージェント をバッチ処理でデプロイすることを推 奨 しています。この方法 は、ネット ワーク帯 域 幅が制限されており、ネット ワークが一 度にダウンロードするデータの量を制限 する必 要 がある場 合に特に役立ちます。
インスト ール後 、エージェント が評 価 を実 行する指 示 を受 けると、最 初 のプラグインアップデート を受 け取 ります。エージェント は、最 初のプラグインアップデート 時 刻から 24 時間 後に次 のアップデート を試 行 するようにタイマーを設 定 します (後続 のプラグインダウンロードが成功すると、プラグインアップデート 日が更 新 されます)。エージェント をバッチ処 理でデプロイすると、過 剰な数 のエージェント が一 度 に製品 のアップデートをチェックし、帯 域幅 が過 剰に消費 されることも回避 できます。
エージェント は、0～ 5 分 のランダムな遅 延 の後 に Tenable Nessus Manager または Tenable Vulnerability
Management にリンクします。この遅延 は、エージェント が最初 にリンクするとき、およびエージェント が手 動
またはシステムの再 起 動によって再 起 動するときにも発生 します。遅 延を強制 すると、大量 のエージェント
をデプロイまたは再起動 する際 のネット ワークト ラフィックを削 減 し、Tenable Nessus Manager またはTenable Vulnerability Management に対 する負荷を軽 減できます。

クラスタリング
Tenable Nessus Manager のクラスタリングを使 用すると、単一 の Tenable Nessus Manager インスタンス
から多 数 のエージェント をデプロイおよび管 理できます。10,000～200,000 のエージェント を持つ Tenable
Security Center ユーザーの場合 、Tenable Nessus Manager の複数 のインスタンスを Tenable Security
Center にリンクせずに、単一の Tenable Nessus Manager クラスターからエージェント スキャンを管理できます。
クラスタリングが有効 になっている Tenable Nessus Manager インスタンスは子ノード の親ノード として機 能し、それぞれが少数 のエージェント を管理 します。Tenable Nessus Manager インスタンスが親ノードになると、エージェント を直 接管 理 しなくなります。代わりに、子ノード全 体 にわたるすべてのエージェント のスキャ
ンポリシーとスケジュールを管理 できる単 一 のアクセスポイント として機能します。クラスタリングを使 用すると、複数 の異なる Tenable Nessus Manager インスタンスを個 別 に管理する場 合よりも簡 単にデプロイメ
ント サイズを調 整できます。

シナリオの例: 100,000 のエージェント をデプロイする
Tenable Security Center ユーザーの担当 者が、Tenable Nessus Managerに管 理されている 100,000 のエージェント をデプロイするとします。

クラスタリングを使用しない場 合 、それぞれが 10,000 のエージェント をサポート する、10 個の Tenable
Nessus Manager インスタンスをデプロイします。エージェント スキャンポリシーとスケジュールの設定、ソフト- 19 -

ウェアバージョンの更新 など、各 Tenable Nessus Manager インスタンスを個 別に手動で管 理する必要 があります。各 Tenable Nessus Manager インスタンスを、Tenable Security Center に個 別にリンクする必要があります。

クラスタリングを使用する場 合、1 つの Tenable Nessus Manager インスタンスを使用 して 100,000 のエー
ジェント を管 理します。Tenable Nessus Manager でクラスタリングを有 効 にすると、それが親ノードとなり、子ノードの管理 ポイント に変わります。10 個の子ノードをリンクし、それぞれが約 10,000 のエージェント を
管理 します。新 しいエージェント をリンクするか、クラスターに既存 のエージェント を移 行できます。子ノード
は、親ノードからエージェント スキャンポリシー、スケジュール、プラグイン、ソフト ウェアの更新 を受け取 ります。Tenable Nessus Manager 親 ノードのみを Tenable Security Center にリンクできます。
注 意 : クラスター内のすべての Tenable Nessus ノードは、同 じバージョンである必要があります (たとえば上 記のク
ラスターの例を使 用する場合 、Tenable Nessus Manager 親 ノードと 10 個 の子ノードは同 じ Tenable Nessus
バージョンである必 要 があります)。バージョンが異なる場合 、クラスターのデプロイメント はサポート されません。

詳細 は Tenable Nessus ユーザーガイド のクラスタリングを参照 してください。

エージェント グループ
Tenable Nessus Manager または Tenable Vulnerability Management でスキャンを管 理し、スキャンデー
タを Tenable Security Center にインポート する場 合は特 に、エージェント グループのサイズを適 切に設 定することをお勧 めします。Tenable Nessus Manager または Tenable Vulnerability Management でエージェ
ント を管 理 すると、エージェント グループのサイズを設定 できます。
スキャンして単 一 のエージェント グループに含めるエージェント が増えるほど、マネージャーが 1 つのバッチで処理 するデータが増えます。エージェント グループのサイズに応 じて、Tenable Security Center にインポー
ト する必 要 がある .nessus ファイルのサイズが決まります。.nessus ファイルのサイズは、ハードドライブの
容量 と帯 域 幅 に影 響します。
グループのサイジング
製品

グループごとに割 り当 てられるエージェント

Tenable Vulnerability

Tenable Security Center に送 信 しない場 合、グループあたりのエーManagement

ジェント は無制限
Tenable Security Center に送 信 する場合 、グループあたり 20,000
エージェントTenable Nessus Manager

Tenable Security Center に送 信 しない場 合、グループあたりのエー- 20 -

ジェント は無制限
Tenable Security Center に送 信 する場合 、グループあたり 20,000
エージェントTenable Nessus Manager ク

スキャンが個 別の子 ノードの数 に応 じて適 切に自 動 的に分割されラスター

るため、無制限

注 意 : 1 回 のスキャンで複数のエージェント グループをスキャンする場 合、スキャンあたりのエージェント の合 計 数が、グループあたりのエージェント の合計 数 と一致しないことがあります。たとえば、Tenable Vulnerability
Management に 7,500 のエージェント のグループが 3 つあり、すべてが 1 回のスキャンで行 われる場合 、22,500 のエージェント のデータが一度 に Tenable Security Center にインポート されるため、すべてを対処 しきれない可 能
性があります。

グループタイプ
エージェント を環 境 にデプロイする前 に、スキャン戦略に基づいてグループを作成 します。
以下 はグループタイプの例です。
オペレーティングシステム

資産 タイプまたは場所

複数 のスキャン戦 略 がある場 合は、複 数のグループにエージェント を追加することもできます。

- 21 -

スキャンプロファイル戦略
必要 なすべての資 産にエージェント をデプロイしたら、スキャンプロファイルを作 成 し、既存のエージェント グ
ループにそれらを結び付 けることができます。次のセクションでは、いくつかのスキャン戦略 について説 明 します。
オペレーティングシステムのスキャン戦 略
次の戦 略は、スキャン戦略が資産 のオペレーティングシステムに基づいている場合 に有 用です。

基本 エージェント スキャン - Linux
この例 では、スキャンは基 本 エージェント スキャンテンプレート に基 づいて作成 され、Amazon Linux、
CentOS、Red Hat グループに割 り当 てられます。このスキャンは、これらの資 産のみをスキャンします。

資 産 タイプまたは場 所 のスキャン戦 略
次の戦 略は、スキャン戦略が資産 のタイプや場所に基 づいている場 合 に役 立ちます。

- 22 -

基本 エージェント スキャン - 本番 サーバー
この例 では、スキャンは基 本 エージェント スキャンテンプレート に基 づいて作成 され、本番サーバーグループに割 り当てられます。このスキャンは、本 番 サーバー資産 のみをスキャンします。

基本 エージェント スキャン - ワークステーション
この例 では、スキャンは基 本 エージェント スキャンテンプレート に基 づいて作成 され、ワークステーショング
ループに割 り当 てられます。このスキャンは、ワークステーション資 産のみをスキャンします。

注 意 : ほとんどの企 業 は、(通常 24 時 間年中 無休で稼 働 しているサーバーとは対照的 に) これらのシステムがオンラインである時を保証 できないため、ワークステーションスキャンではより長いスキャンウィンドウを設定 することをお勧めします。

- 23 -

スキャンスタガリング
Tenable Nessus Agents を使 用 したスキャンは、多 くの点で従 来のネット ワークスキャンよりも効 率的 ですが、特 定のタイプのシステムでは、スキャンスタガリングを検討 することができます。
たとえば、仮 想 マシンに Tenable Nessus Agents をインスト ールする場 合 、複数 のグループにエージェント
を分散 し、関連 するスキャンウィンドウの開始 時点を少 しずらして起 動させることができます。
スキャンをスタガリングすると、仮想 ホスト サーバーに対する 1 回 の負荷 が制 限されます。これは、エージェ
ント が、スキャンウィンドウの開始 時 に可 能 な限り早く評価 を実 行 するためです。エージェント の評 価 がす
べてのシステムで同時 に開始 されると、オーバーサブスクライブの環 境またはリソース制 限のある仮想 環 境ではパフォーマンスの問 題 が発 生する可 能性があります。

Tenable Nessus Agents のベスト プラクティス
以降 のセクションで、ベスト プラクティスのガイダンスを示します。
l

一般 的 なベスト プラクティスlハイブリッド環境 のデータ集 約

一般 的 なベスト プラクティスl

従来 のネット ワークスキャンでは、ファイヤーウォールやスイッチなどのデバイスを通り越してスキャンしたり、バイパスしようとしたりしないでください。これらは、スキャンを複 雑 化したり妨げたりする造 りになっているからです (ネット ワークアドレス変換 など)。

l

すべてのセグメント でホスト に最も近い場 所 に Tenable Nessus スキャナーを配置 してください。ある

いはシステムのローカルでエージェント を実行してください。こうすれば、多くのファイヤーウォールルー
ルを明 示 的に作 成する必要はありません。どちらのソリューションも正 しく実 装されているなら、ファイヤーウォールルールが最小限 でも接 続可能 です。
lTenable では、ネット ワークを完全 に可視化するために、エージェント ベースのスキャンと従 来のス
キャンを組み合 わせて、ネット ワーク全体のリスクを特定 することを推 奨 しています。このアプローチは
米国 連 邦 政府の組織にとって特 に重要 です。リスクの全範 囲 を評価 することを要 求する特 有 の法律や法 令 があるからです。

ハイブリッド環 境 のデータ集 約- 24 -

このセクションでは、Tenable Nessus Agent データを Tenable Nessus Manager から Tenable Security
Center リポジト リに集 約する際 に考 慮 すべきことを簡 潔に示します。Tenable Nessus Manager と通 信 してデータを取 得 する場 合、その通 信 は Tenable Security Center から開 始 されることに注意してください。
Tenable Nessus Agent データがインポート されると、脆 弱性分 析 、コンプライアンス、ワークフロー自 動化など、すべての通 常の Tenable Security Center 操作 が適 用されます。
l

一度 に Tenable Security Center にインポート されるデータの量を減 らすには、エージェント グループのサイズを十分 に検討 してください。Tenable では、Tenable Nessus Manager または Tenable
Vulnerability Management のスキャンあたりのエージェント 数 を 1,000 に制限 することを推奨 しています。並列操作 をしながら大量 のデータを Tenable Security Center にインポート すると、Tenable
Security Center のパフォーマンスに悪影響 を与 えます。

lTenable Nessus スキャナーと Tenable Security Center に接 続されている Tenable Nessus
Manager の数 を適切 に計画 し、必 要に応 じて Tenable テクニカルサポート のスタッフにガイダンスを求めてください。

l

エージェント スキャン (エージェント データ取得 プロセス) に含める同 時並 行スキャンの数 、同 時 並 行
ユーザーの数、設定されているダッシュボードの数 、Tenable Security Center で実行されるレポートの頻 度やタイプを適 切に計 画 し、必 要に応 じて Tenable テクニカルサポート のスタッフにガイダンスを求めてください。

システム要件
このセクションには、Tenable Nessus Agents のインスト ールに必 要な要 件に関 連した情 報が含まれます。
l

ハードウェアl

ソフト ウェア

l

データフロー

l

ライセンス

l

エージェント の CPU リソースコント ロール- 25 -

l

パフォーマンスメト リクスllTenable Nessus Agent のパフォーマンス
l

ソフト ウェアフット プリントlエージェント のライフサイクルと帯 域幅Tenable Nessus Manager のパフォーマンス

ハードウェア要 件
Tenable Nessus Agents
Tenable Nessus Agents は、軽量 で最小 限のシステムリソースです。一般的 には、Tenable Nessus
Agent が使 用 する RAM は 50 ～ 60 MB です (すべてページング可能 )。Tenable Nessus Agent は、アイドル時 には CPU をほとんど使 用しませんが、ジョブ時に使用 可能な場合は CPU を最 大 100% まで使用するように設計されています。
Tenable Nessus Agent のリソース使 用 量の詳細 については、Nessus Agent のパフォーマンスを参 照 してください。
次の表 は、Tenable Nessus Agent の動 作に推 奨されるハードウェアの最 小要件 の概要 です。Tenable
Nessus Agents は、指定された同じ要 件 を満たす仮想マシンにインスト ールできます。
ハードウェ
ア
プロセッ

最小要件
デュアルコア CPU 1 個

サー
プロセッ

> 1 GHz

サー速 度
RAM
ディスク

> 1 GBl

容量

Agents 7.7.x 以 前: 1 GB 超 (ホスト オペレーティングシステムで使用 される容量 は含まれていません)lAgents 8.0 以 降 : 3 GB 超 (ホスト オペレーティングシステムで使 用される容 量 は含まれていません)- 26 -

ハードウェ
ア

最小要件
lAgents 10.0.x 以 降 : 2 GB 超 (ホスト オペレーティングシステムで使用 される容 量
は含 まれていません)

エージェント は、特定 のプロセス (plugins-code.db デフラグ処 理など) の実行中に、さらに多 くの容 量を必 要 とする可 能性 があります。
ディスク

15～50 IOPS

速度
注 意 : Tenable Nessus Agent のシステム上で実行されるその他のタスクに対する相 対的な優先 度を制 御 できます。詳 細 については、エージェント の CPU リソースコント ロールを参照 してください。

Tenable Nessus Manager
シナリオ

ハードウェアの最 小 要 件

Nessus Manager で 0～ 10,000 件のCPU: 2GHz コア x 4

エージェント を管理 する場 合

メモリ: 16 GB RAM
ディスク容 量 : 各同 時 スキャンの 5,000 エージェント につき 5 GB
注 意 : スキャン結 果とプラグインアップデート では、時の経
過 とともにより多 くのディスク容量 が必 要になります。

Nessus Manager で 10,001～20,000 件のエージェント を管理する場合

CPU: 2 GHz コア x 8
メモリ: 32 GB RAM
ディスク容 量 : 各同 時 スキャンの 5,000 エージェント につき 5 GB
注 意 : スキャン結 果とプラグインアップデート では、時の経
過 とともにより多 くのディスク容量 が必 要になります。
注 意 : デプロイメント の規 模が大きい場合は、Tenable の
担 当者にご連 絡 ください。

- 27 -

ソフト ウェア要件
Tenable Nessus Agents は、次の Linux、Windows、macOS のオペレーティングシステムをサポート しています。
Tenable Nessus Agent 10.7
オペレーティ
ングシステムLinux

対 応 バージョン
Amazon Linux 2 (x86_64、AArch64)
Amazon Linux 2023
CentOS Stream 9 (x86_64)
Kali Linux 2017、2018、2019、2020 (i386)
Debian 11、12 / Kali Linux 2017、2018、2019、2020 (x86_64)
Fedora 38 および 39 (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む)(AArch64、Graviton2)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (x86_64)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (AArch64、Graviton2)
SUSE Enterprise 12 SP5、15 SP2 以降 (x86_64)
TencentOS (x86_64)
Ubuntu 16.04、18.04、20.04、22.04、24.04 (x86_64)
Ubuntu 18.04、20.04、22.04、24.04 (AArch64、Graviton2)

Windows

Windows 10 (x86)
Windows 10、11 (x86_64)- 28 -Windows Server 2012、2012 R2、2016、2019、2022 (x86_64)
注 意 : Tenable Nessus Agent では、Windows ホスト システムで Universal Microsoft C
Runtime Library (UCRT) の最 新バージョンと PowerShell 5.0 以降 が実行 されている必要があります。Microsoft Windows の一部の古いバージョンでは、Tenable Nessus
Agent が動作 するための最低 限の更新が必要です。

macOS

macOS 12、13、14 (x86_64)
macOS 12、13、14 (Apple Silicon)

Tenable Nessus Agent 10.6
オペレーティ
ングシステムLinux

対 応 バージョン
Amazon Linux 2 (x86_64、AArch64)
Amazon Linux 2023
CentOS Stream 9 (x86_64)
Kali Linux 2017、2018、2019、2020 (i386)
Debian 11、12 / Kali Linux 2017、2018、2019、2020 (x86_64)
Fedora 38 および 39 (x86_64)
Red Hat ES 6 / Oracle Linux 6 (Unbreakable Enterprise Kernel を含む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む)(AArch64、Graviton2)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (x86_64)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (AArch64、Graviton2)
SUSE Enterprise 12 SP5、15 SP2 以降 (x86_64)- 29 -

TencentOS (x86_64)
Ubuntu 14.04、16.04、18.04、20.04、22.04 (x86_64)
Ubuntu 18.04、20.04、22.04 (AArch64、Graviton2)
Windows

Windows 10 (x86)
Windows 10、11 (x86_64)
Windows Server 2012、2012 R2、2016、2019、2022 (x86_64)
注 意 : Tenable Nessus Agent では、Windows ホスト システムで Universal Microsoft C
Runtime Library (UCRT) の最 新バージョンと PowerShell 5.0 以降 が実行 されている必要があります。Microsoft Windows の一部の古いバージョンでは、Tenable Nessus
Agent が動作 するための最低 限の更新が必要です。

macOS

macOS 12、13、14 (x86_64)
macOS 12、13、14 (Apple Silicon)

Tenable Nessus Agent 10.5
オペレーティ
ングシステムLinux

対 応 バージョン
Amazon Linux 2 (x86_64、AArch64)
Amazon Linux 2023
Kali Linux 2017、2018、2019、2020 (i386)
Debian 11、12 / Kali Linux 2017、2018、2019、2020 (x86_64)
Fedora 38 および 39 (x86_64)
Red Hat ES 6 / Oracle Linux 6 (Unbreakable Enterprise Kernel を含む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む)(AArch64、Graviton2)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise- 30 -

Kernel を含 む) / Rocky Linux 8、9 (x86_64)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (AArch64、Graviton2)
SUSE Enterprise 12 SP5、15 SP2 以降 (x86_64)
Ubuntu 14.04、16.04、18.04、20.04、22.04 (x86_64)
Ubuntu 18.04、20.04、22.04 (AArch64、Graviton2)
Windows

Windows 10 (x86)
Windows 10、11 (x86_64)
Windows Server 2012、2012 R2、2016、2019、2022 (x86_64)
注 意 : Tenable Nessus Agent では、Windows ホスト システムで Universal Microsoft C
Runtime Library (UCRT) の最 新バージョンと PowerShell 5.0 以降 が実行 されている必要があります。Microsoft Windows の一部の古いバージョンでは、Tenable Nessus
Agent が動作 するための最低 限の更新が必要です。

macOS

macOS 12、13、14 (x86_64)
macOS 12、13、14 (Apple Silicon)

Tenable Nessus Agent 10.4
オペレーティ
ングシステムLinux

対 応 バージョン
Amazon Linux 2 (x86_64、AArch64)
Kali Linux 2017、2018、2019、2020 (i386)
Debian 11 / Kali Linux 2017、2018、2019、2020 (x86_64)
Fedora 34、35、36 (x86_64)
Red Hat ES 6 / Oracle Linux 6 (Unbreakable Enterprise Kernel を含む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む)- 31 -

(AArch64、Graviton2)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (x86_64)
Red Hat ES 8、9 / AlmaLinux 8、9 / Oracle Linux 8、9 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8、9 (AArch64、Graviton2)
SUSE Enterprise 12 SP4 以降、15 SP2 以 降 (x86_64)
Ubuntu 14.04、16.04、18.04、20.04、22.04 (x86_64)
Ubuntu 18.04、20.04、22.04 (AArch64、Graviton2)
Windows

Windows 10 (x86)
Windows 10、11 (x86_64)
Windows Server 2012、2012 R2、2016、2019、2022 (x86_64)
注 意 : Tenable Nessus Agent では、Windows ホスト システムで Universal Microsoft C
Runtime Library (UCRT) の最 新バージョンと PowerShell 5.0 以降 が実行 されている必要があります。Microsoft Windows の一部の古いバージョンでは、Tenable Nessus
Agent が動作 するための最低 限の更新が必要です。

macOS

macOS 11、12、13、14 (x86_64)
macOS 11、12、13、14 (Apple Silicon)

Tenable Nessus Agent 10.3
オペレーティ
ングシステムLinux

対 応 バージョン
Kali Linux 2019、2020 (i386)
Debian 11 / Kali Linux 2019、2020 (x86_64)
Fedora 35、36 (x86_64)
Red Hat ES 6 / Oracle Linux 6 (Unbreakable Enterprise Kernel を含む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む) (x86_64)- 32 -

Red Hat ES 7 (AArch64、Graviton2)
Red Hat ES 8、9 / AlmaLinux 8.6、9 / Oracle Linux 8 (Unbreakable Enterprise
Kernel を含 む) / Rocky Linux 8.6、9 (x86_64)
Red Hat ES 8、9 / AlmaLinux 8.6、9 / Rocky Linux 8.6、9 (AArch64、Graviton2)
SUSE Enterprise 12 SP3 以降、15 SP2 以 降 (x86_64)
Ubuntu 14.04、16.04、18.04、20.04、22.04 (x86_64)
Ubuntu 18.04、20.04、22.04 (AArch64、Graviton2)
Windows

Windows 10 (x86)
Windows 10、11 (x86_64)
Windows Server 2012、2012 R2、2016、2019、2022 (x86_64)
注 意 : Tenable Nessus Agent では、Windows ホスト システムで Universal Microsoft C
Runtime Library (UCRT) の最 新バージョンと PowerShell 5.0 以降 が実行 されている必要があります。Microsoft Windows の一部の古いバージョンでは、Tenable Nessus
Agent が動作 するための最低 限の更新が必要です。

macOS

macOS 11、12、13 (x86_64)
macOS 11、12、13 (Apple Silicon)

Tenable Nessus Agent 10.2
オペレーティ
ングシステムLinux

対 応 バージョン
Kali Linux 2017.3、2018、2019、2020 (i386)
Debian 11 / Kali Linux 2017.3、2018、2019、2020 (x86_64)
Fedora 34、35、36 (x86_64)
Red Hat ES 6 / Oracle Linux 6 (Unbreakable Enterprise Kernel を含む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む) (x86_64)
Red Hat ES 7 / Oracle Linux 7 (Unbreakable Enterprise Kernel を含 む)- 33 -

(AArch64、Graviton2)
Red Hat ES 8、9 / Oracle Linux 8 (Unbreakable Enterprise Kernel を含む) (x86_64)
Red Hat ES 8、9 / Oracle Linux 8 (Unbreakable Enterprise Kernel を含む)
(AArch64、Graviton2)
SUSE Enterprise 12 SP3 以降、15 SP2 以 降 (x86_64)
Ubuntu 14.04、16.04、18.04、20.04、22.04 (x86_64)
Ubuntu 18.04、20.04、22.04 (AArch64、Graviton2)
Windows

Windows 10 (x86)
Windows 10、11 (x86_64)
Windows Server 2012、2012 R2、2016、2019、2022 (x86_64)
注 意 : Tenable Nessus Agent では、Windows ホスト システムで Universal Microsoft C
Runtime Library (UCRT) の最 新バージョンと PowerShell 5.0 以降 が実行 されている必要があります。Microsoft Windows の一部の古いバージョンでは、Tenable Nessus
Agent が動作 するための最低 限の更新が必要です。

macOS

macOS 11、12、13 (x86_64)
macOS 11、12、13 (Apple Silicon)

注 意 :Tenable Nessus Agent は、Java などの外部ランタイム環 境を必要 としません。
注 意 : Microsoft Visual C++ 再頒 布可 能 パッケージ 14.22 は、Nessus Agent とバンドルされたライセンスパッケージの一 部として含 まれています。

SELinux の強制 モードポリシーのカスタマイズ
Security-Enhanced Linux (SELinux) の強 制モードポリシーは、Tenable Nessus Agents とやり取 りできる
ようにカスタマイズする必要があります。
Tenable サポート は SELinux ポリシーのカスタマイズのサポート はしませんが、SELinux のログを監視して、ポリシー設 定 のエラーとその解決 策 を特定 することを Tenable は推 奨 しています。

始める前に- 34 -

l

SELinux sealert ツールを本番 環境 と同様のテスト 環境 にインスト ールします。

SELinux のログを監視して、エラーと解決策を特 定 する方法
1. sealert ツールを実行 します。SELinux 監 査ログの場所 は、/var/log/audit/audit.log です。
sealert -a /var/log/audit/audit.log

このツールが実行 されると、エラーのアラート と解 決策の概要が生 成 されます。例
SELinux は、/usr/sbin/sshd による sock_file /dev/log への書き込 みアクセスを防 止しています。
SELinux は、/usr/libexec/postfix/pickup がプロセス上 で rlimitinh アクセスを使用 することを防止しています。

2. 各エラーアラート に対して推奨 される解決策 を実行します。
3. Tenable Nessus Agent を再起 動 します。
4. 再度 sealert ツールを実行 し、エラーアラート が解 消されたことを確 認します。

ポート の要 件
Tenable Nessus Agent ポート の要 件 には、Tenable Nessus Agent 固有 の要件 とマネージャー固 有 の要件があります。デプロイメント 設定 に応 じて、Tenable Nessus Manager と Tenable Nessus のクラスター
ノード および Tenable Security Center のポート の要件を参照してください。

Tenable Nessus Agent
Tenable Nessus Agents は、送信 ト ラフィック用の特 定 のポート へのアクセスを必 要とします。

送信ト ラフィック
次のポート への送信 ト ラフィックを許可 する必要 があります。
Port(ポート )
TCP 443

ト ラフィック
Tenable Vulnerability Management との通信

- 35 -

Port(ポート )TCP

ト ラフィック
Tenable Nessus Manager との通 信

8834
注 意 : デフォルト の Tenable Nessus Manager ポート は TCP 8834 です。ただし、このポート は設定可能 であり、組織 によって異なる場合があります。

UDP 53

DNS 解決 の実 行

Tenable Nessus Manager と Tenable Nessus のクラスターノード
Tenable Nessus インスタンスは、受 信 と送信 のト ラフィック用の特定のポート へのアクセスを必 要 とします。

受信ト ラフィック
次のポート への受信 ト ラフィックを許可 する必要 があります。
Port (ポート )ト ラフィック

TCP 8834

Tenable Nessus インターフェースへのアクセス
Tenable Security Center との通 信
API とのインタラクション

送信ト ラフィック
次のポート への送信 ト ラフィックを許可 する必要 があります。
Port(ポート )ト ラフィック

TCP 25

SMTP メール通 知 の送 信

TCP 443

Tenable Vulnerability Management との通信 (sensor.cloud.tenable.com またはsensor.cloud.tenablecloud.cn)
プラグインアップデート での plugins.nessus.org サーバーとの通 信

UDP 53

DNS 解決 の実 行

- 36 -

Tenable Security Center
Tenable Security Center インスタンスは、受信と送信のト ラフィック用の特 定のポート へのアクセスを必要とします。

受信ト ラフィック
次のポート への受信 ト ラフィックを許可 する必要 があります。
Port (ポート)ト ラフィック

TCP 22

別の Tenable Security Center とのリモート リポジト リ同 期の実 行

TCP 443

Tenable Security Center インターフェースへのアクセス。
Tenable Security Center Director インスタンスとの通信
OT Security インスタンスとの通信
別の Tenable Security Center とのリモート リポジト リ同 期を行うための最初のキープッ
シュの実行
API とのインタラクション

送信ト ラフィック
次のポート への送信 ト ラフィックを許可 する必要 があります。
Port (ポート )ト ラフィック

TCP 22

イベント クエリのための Log Correlation Engine との通信

TCP 25

SMTP メール通知 の送 信

TCP 443

同期のための Tenable Lumin との通信
プラグインアップデート での plugins.nessus.org サーバーとの通 信

TCP 1243

Tenable Log Correlation Engine との通 信 。

TCP 8834

Tenable Nessus との通 信 。

TCP 8835

Tenable Nessus Network Monitor との通信 。

- 37 -

Port (ポート )ト ラフィック

UDP 53

DNS 解決 の実 行

エージェント コンテンツ配 信ネット ワーク (CDN)
採用 しているルールロジックによっては、エージェント コンテンツ配信 ネット ワーク (CDN) を利用 するために、ファイヤーウォールまたはプロキシルールの調 整が必要 になる場 合があります。
FQDN の更 新CDN は、sensor.cloud.tenable.com を使用 してプラグインとバイナリアップデート をダウンロードし、ス
キャン結 果 をアップロードし、Tenable Vulnerability Management とのリンクおよび通 信を行います。ファイ
ヤーウォールまたはプロキシルールが sensor.cloud.tenable.com に対 して設 定 されていれば、問題 は発生 しません。ただし、より厳 格なルールがある場合 は、ルールセット を更新する必要があります。
IP 許 可 リスト
sensor.cloud.tenable.com に関 連付 けられた IP アドレスは動 的であり、エージェント のロケールとイン
ターネット 接 続 に依存 しています。現 在、プロキシおよびファイヤーウォールに IP ベースのルールを設定 している場 合 、Amazon CloudFront が使 用する IP 範囲 に基づいてルールを更新 する必 要 があります。
Amazon のドキュメント の CloudFront エッジサーバーの場 所と IP アドレス範 囲 には、ダウンロードできる IP
範囲 のリスト が掲載 されています。
注 意 : 中 国本 土にある Tenable Nessus スキャナー、Tenable Nessus Agents、Tenable Web App Scanning ス
キャナー、または Tenable Nessus Network Monitor (NNM) を介して Tenable Vulnerability Management に接 続している場合 は、sensor.cloud.tenable.com ではなく sensor.cloud.tenablecloud.cn で接 続 する必要 があります。

ライセンス要件
Tenable Nessus Agents は、それらを管 理 する製 品 (Tenable Nessus Manager または Tenable
Vulnerability Management) を通 じてライセンス付 与されます。

Tenable Nessus Manager
Tenable Nessus は、サブスクリプションとして利用 することも、Tenable Security Center で管理 することも可能 です。Tenable Nessus をサブスクリプションモードで使 用するには、プラグインフィードのアクティベー
ションコードが必 要です。このコードで、ユーザーがインスト ールして使用 できるように Tenable がライセンス付与 した Tenable Nessus のバージョン、スキャンできる IP アドレスの数 、Tenable Nessus にリンクできるリ
モート スキャナーの数、Tenable Nessus Manager にリンクできる Tenable Nessus Agents の数が特定 さ- 38 -

れます。Tenable Nessus Manager のライセンスは、デプロイメント サイズ、特に大 規模 デプロイメント や多数の Tenable Nessus Manager インスタンスを含むデプロイメント に固 有 です。担 当 の Tenable Customer
Success Manager と要 件について話 し合 ってください。
Tenable Nessus のインスト ールプロセスを開始してセット アップを行 う前に、アクティベーションコードを取 得する必 要があります。
アクティベーションコード
l

ワンタイムコードです。ただし、ライセンスまたはサブスクリプションが変 更された場 合 は、Tenable が新しいアクティベーションコードを発 行します。

l

発行 後 24 時間以 内に、Tenable Nessus のインスト ールで使 用する必要 があります。

l

複数 のスキャナーで共有 することはできません。

l

大文 字 と小文字が区別されません。

lTenable Nessus のオフライン管 理 に必要 です。
注 意 : Tenable Nessus のオフラインでの管理 については、Tenable Nessus ユーザーガイド を参 照してください。
注 意 : アクティベーションコードを取 得するには、アクティベーションコードの取得 のページを参照してください。

管理 された Tenable Nessus スキャナーの場合、アクティベーションコードとプラグインのアップデート は
Tenable Security Center から管 理 されます。Tenable Security Center と通 信する前 に Tenable Nessusを起動 する必 要がありますが、通 常 、有 効なアクティベーションコードとプラグインがないと起 動しません。
Tenable Nessus がこの要 件を無 視して開始 し、Tenable Security Center から情報を取得 できるようにするには、スキャナーを登録 するときに [Managed by Security Center] (Security Center による管 理) を
選択 します。

エージェント の CPU リソースコント ロール
process_priority 設定 を使用 することで、システム上で実行中 の他のタスクの優先度 と比 較 して、
Tenable Nessus Agent の相 対 的 な優先 度 を制御 できます。このように設 定が相対 的なことから、
Tenable Nessus Agent が消費するシステムリソースの量 は、process_priority 設定 の値だけでなく、システムの全 体的 な負 荷によっても異 なります。このため、エージェント が優 先度の高いプロセスよりもリソースを消 費 しているかのように、システムモニターに映る場合 があります。リソースコント ロールのコマンドについては、Tenable Nessus Agent CLI コマンド を参 照 してください。

- 39 -

注 意 : process_priority の値 を設 定してから、Linux、Mac OS の適切な値、または Windows 優 先 度 クラスに変 更が反映 されるまでに、少し時 間 がかかることがあります。

process_priority 設定 の効果 を確認 するには、次 の表 を参照 してください。
設定値

Windows の優 先 度 クラス

macOS の適 切 な値

Linux の適 切 な値

通常 (デフォルト )

通常

0

0

通常 より下

low

10

10

通常 より上

high

-10

-5

注 意 : process_priority 設定 値を「低 」に設 定 すると、スキャンの実 行 が長 くなる可能性があります。この値を考 慮して、スキャンウィンドウの時 間枠 を増 やす必要があるかもしれません。

エージェント CPU リソースコント ロールの詳 細 設定
nessuscli ユーティリティを使 用 して、コマンドラインインターフェースで次のエージェント 設 定が可 能 です。
コマンド # nessuscli fix --set setting=value を使用 します。詳細 は、Tenable Nessus Agent
CLI コマンドを参 照してください。
詳細 および CLI で変 更可能 な設 定 の全 一覧については、詳 細 設定を参 照してください。
ヒント : 多 数 のエージェント (1 万以 上 ) がある場 合は、agent_merge_audit_trail、agent_merge_kb、
agent_merge_journal_mode、agent_merge_synchronous_setting の設 定を変更することもできますこれらの設 定 を変 更すると、エージェント のスキャン結果 のマージにかかる時 間が大 幅に短 縮されます推奨 される設定については、次 の表の説 明を参 照してください。

名前

設定

説明

デフォルト

有 効 な値

Pluginplugin_load_

CPU 使用 率に影

high

low、

Compilation

performance_

響 を与える、プラグ

medium、まPerformance (プmode

インのコンパイルパ

たは high

ラグインのコンパ

フォーマンスを設定

イルパフォーマン

します。パフォーマス)

ンスを low にするとプラグインのコンパ- 40 -

イル速度が低 下 しますが、エージェン
ト の CPU 消費量
は減 少します。パ
フォーマンスをmedium またはhigh にすると、プラ
グインのコンパイル
完 了 までの時 間が
短 縮 されますが、エージェント の CPU
消 費 量 は増加 します。各設 定 値 のターゲット 範囲は
次 のとおりです。
llow: プラグイ
ンのコンパイル中に
nessusd が使 用 する 1
つのコアの50％ 未 満。

lmedium: プラ
グインのコン
パイル中 にnessusd が使 用 する 2
つのコアの
100％。

l

high: 以前のバージョンから変更なし。8 を超え- 41 -

るコアを使用
しません。
Scan

scan_

CPU 使用 率に影Performance (スperformance_

響 を与える、スキャ

medium、まキャンパフォーマ

mode

ンのパフォーマンス

たは high

ンス)を設定します。パ
フォーマンスを lowにするとスキャン速
度 が低 下しますが、エージェント のCPU 消費 量は減
少 します。パフォー
マンスを medium ま
たは high にすると、スキャン完 了 ま
での時 間が短縮されますが、エージェ
ント の CPU 消費量
は増 加します。各
設 定 値 のターゲット
範 囲 は次のとおりです。
llow: スキャン中にnessusd が使 用 するシン
グルコアの50% 未 満。

lmedium: ス
キャン中にnessusd が使 用 する 2
つのコアの- 42 -

highlow、

100%。
lhigh: 以前のバージョンから変更なし。8 を超えるコアを使用しません。

パフォーマンスメト リクス
Tenable は、社 内 パフォーマンステスト に基 づくパフォーマンスメト リクスを開示 しています。パフォーマンスは
環境 によって異 なり、同 様 の結 果 が得 られる場合 とそうでない場合があります。
以降 のセクションでは、Tenable Nessus Agents および Tenable Nessus Manager のパフォーマンスメト リクスについて説 明します。
llTenable Nessus Agent のパフォーマンス
l

ソフト ウェアフット プリントlエージェント のライフサイクルと帯域幅

Tenable Nessus Manager のパフォーマンス

Tenable Nessus Agent のパフォーマンス
Tenable は、社 内 パフォーマンステスト に基 づくパフォーマンスメト リクスを開示 しています。パフォーマンスは
環境 によって異 なり、同 様 の結 果 が得 られる場合 とそうでない場合があります。
以降 のセクションでは、Tenable Nessus Agents のさまざまなパフォーマンスメト リクスについて説 明します。
l

ソフト ウェアフット プリントl

ライフサイクルと帯域幅

ホスト システムの利用
注 意 : パフォーマンスは環境 によって異 なり、同様の結果が得られる場合 とそうでない場合 があります。

- 43 -

一般 的 には、Tenable Nessus Agent が使用 する RAM は 50 MB ～ 60 MB です (すべてページング可能)。Tenable Nessus Agent は、アイドル時には CPU をほとんど使用 しませんが、ジョブ実 行中に使用 可
能な場 合は CPU を最 大 100% まで使用 するように設計されています。
結果 をアップロードするときのネット ワーク使用 率を測定 するため、Tenable は 7 日 間にわたってエージェン
ト から Tenable Vulnerability Management へのアップロードを36,000 件数 監視しました。
l

平均 サイズは 1.6 MB でした。

l

最大 サイズは 37 MB でした。

l

アップロード全体の 90% は 2.2 MB 以下でした。

l

アップロード全体の 99% は 5 MB 以 下でした。

lオペレーティングシステムによって異 なりますが、Tenable Nessus Agent プロセスは休止状 態 で 45
MB から 60 MB の RAM を消費 します。
注 意 : Linux 環 境では、Hugepagesize の値は、systemctl status nessusagent コマンドで表 示される使 用量 に大きな影 響を与えます。表示される使用 量 には、エージェント プロセスの RAM 消費 量 だけでなく、システムがメモリ不 足に陥 った場 合 にディスクに保 存されるキャッシュ
データも含まれます。
たとえば、x86-64 ベースの Linux システムでは通 常、デフォルト の Hugepagesize 値が 2048
KB の場 合、総使 用 量は 200 MB から 600 MB の範囲 になります。Hugepagesize 値 が大きい
ARM64 ベースの Linux システムでは、それに応 じてメモリ使 用量も多くなります (たとえば、デフォ
ルト の Hugepagesize が 512 M の場 合 、使 用 量は数 ギガバイト として表示 されます)。

l

Watchdog サービスは 3 MB を消 費します。

l

プラグインは、およそ 300 MB のディスク容量を消費します (オペレーティングシステムによって異 なります)。ただし、特定 の条件 下では、ディスクまたはメモリの使用 量 は 1 GB 以 上まで増える可能 性 が
あります。

l

Tenable Nessus Agents から Tenable Nessus Manager と Tenable Vulnerability Management に送信 するスキャン結果 は、2～3 MB の範 囲 です。

l

チェックイン頻度は少 なくとも 30 秒 で、管理 システム負 荷 (エージェント の数 ) に基づいて Tenable
Nessus Manager または Tenable Vulnerability Management によって調整されます。

ライフサイクルと帯 域幅
注 意 : パフォーマンスは環境 によって異 なり、同様の結果が得られる場合 とそうでない場合 があります。

- 44 -

プロセスまたはファイル

Windows

mac0S

Linux

エージェント コアソフト ウェアの初回 インスト ール~70 MB~38 MB~15 から
25 MB~32 MB

エージェント コアソフト ウェアのアップデート~38 MB~20 から
30 MB

プラグインの初 回 ダウンロード

150 MB118 MB

121 MB

差分 プラグイン更 新

0.1 から 150

0.1 から 118

0.1 から

MB

MB

121 MB

1〜100 MB

1〜100 MB1〜 100

以上

以上

MB 以上

注 意 : プラグインのアップデート のサイズは、提 供されている新 しいプラグインと、エージェント がプラグインを最後にアップデート した日付 との差 分 によって異なります。

レポート サイズ
注 意 : レポート のサイズは、スキャンによって大きく異 なる場合があります。コンプライアンス監査 スキャンは、特 に大きくなる可能性 があります。

ソフト ウェアフット プリント
注 意 : パフォーマンスは環境 によって異 なり、同様の結果が得られる場合 とそうでない場合 があります。

標準 エージェント スキャンを実行しているエージェント
ディスク

ディスク上

上の

のエージェ

スキャン

ンのコン

エージェ

ント ソフト

時 の平

パイル

ント の

ウェアの合

均 RAM

中 の平

フット プ

計 フット プ

使用量

均 RAM

リント

リント

~85 MB~720 MB
(プラグイ
ン更 新を
含 む)

プラグイ

非 スキャン時 の平 均 RAM 使 用 量

使用量~50 MB RAM
注 意 : Linux 環境では、
Hugepagesize の値は、

- 45 -

ネット
ワーク
帯域幅
の平 均
使用量

~85 MB~150 MB~8 MB/

RAM

RAM

日

ディスク

ディスク上

上の

のエージェ

スキャン

ンのコン

エージェ

ント ソフト

時 の平

パイル

ント の

ウェアの合

均 RAM

中 の平

フット プ

計 フット プ

使用量

均 RAM

リント

リント
注意:
特定
の条
件下
では、
ディス
クの使
用量
は1
GB 以
上まで
増える
可能
性があ
りま
す。

プラグイ

非 スキャン時 の平 均 RAM 使 用 量

使用量
systemctl status
nessusagent コマンドで表示される使 用量に大 きな影響 を与えます。表 示 される使 用量 には、
エージェント プロセスの RAM 消 費
量 だけでなく、システムがメモリ不足 に陥 った場合 にディスクに保存されるキャッシュデータも含 まれます。
たとえば、x86-64 ベースの Linuxシステムでは通常、デフォルト の
Hugepagesize 値 が 2048 KB の場 合、総使用量 は 200 MB から
600 MB の範囲になります。
Hugepagesize 値 が大きい
ARM64 ベースの Linux システム
では、それに応 じてメモリ使用 量も多くなります (たとえば、デフォル
ト の Hugepagesize が 512 M の場 合、使用量は数ギガバイト として表示 されます)。

インベント リスキャンを実行 しているエージェント- 46 -

ネット
ワーク
帯域幅
の平 均
使用量

ディスク

ディスク上

上の

のエージェ

スキャン

ンのコン

エージェ

ント ソフト

時 の平

パイル

ント の

ウェアの合

均 RAM

中 の平

フット プ

計 フット プ

使用量

均 RAM

リント

リント

~85 MB~150 MB
(プラグイ
ン更 新を
含 む)
注意:
特定
の条
件下
では、
ディス
クの使
用量
は 200
MB ま
で増え
る可
能性
があり
ます。

プラグイ

非 スキャン時 の平 均 RAM 使 用 量

使用量~50 MB RAM
注 意 : Linux 環境では、
Hugepagesize の値は、systemctl status
nessusagent コマンドで表示される使 用量に大 きな影響 を与えます。表 示 される使 用量 には、
エージェント プロセスの RAM 消 費
量 だけでなく、システムがメモリ不足 に陥 った場合 にディスクに保存されるキャッシュデータも含 まれま
す。

ネット
ワーク
帯域幅
の平 均
使用量

~80 MB~105 MB~8 MB/

RAM

RAM

日

たとえば、x86-64 ベースの Linuxシステムでは通常、デフォルト の
Hugepagesize 値 が 2048 KB の場 合、総使用量 は 200 MB から
600 MB の範囲になります。
Hugepagesize 値 が大きい
ARM64 ベースの Linux システム
では、それに応 じてメモリ使用 量も多くなります (たとえば、デフォル
ト の Hugepagesize が 512 M の場 合、使用量は数ギガバイト として表示 されます)。

インベント リスキャンの詳 細は、Tenable Vulnerability Management ユーザーガイド の Tenable 提 供のNessus Agent テンプレート を参照 してください。

Tenable Nessus Manager のパフォーマンス

- 47 -

Tenable は、2 つのシナリオで Tenable Nessus Manager のパフォーマンスをテスト しました。シナリオ 1 は、
Tenable Nessus Agents が Tenable Nessus Manager に接続され、ジョブをポーリングしている場 合 です。
シナリオ 2 は、Tenable Nessus Agents がアクティブにスキャンし、スキャン結 果をアップロードしている場合です。

テスト 環 境Tenable は、これら 2 つのシナリオに対して次のテスト 環境を使用 しました。
シナリオ 1l

OS: Ubuntu 16.04.2 LTS (GNU/Linux 4.4.0-75-generic x86_64)lRAM: 16 GBl

CPU: Intel(R) Xeon(R) CPU E5-2690 v3 @ 2.60GHz

l

コア: 2

シナリオ 2l

OS: Windows 10 v. 1703 (OS ビルド: 15063.447)

lRAM: 16 GBl

CPU: Intel(R) Xeon(R) CPU E5-2690 v3 @ 2.59GHz

l

コア: 2

シナリオ 1: Tenable Nessus Agents が Tenable Nessus Manager に接続 され、ジョブをポーリングしている場合
最大

平均

CPU 使

CPU 使

用率

用率

20

33%

5%

0.60 秒

2,000

40

34%

5%

1.05 秒

5,000

100

43%

6%

1.7 秒

7,500

150

92%

7%

3.22 秒エージェン

1 回 につきジョブリクエスト を送 信

ト の数するエージェント の数 (2%)

1,000

- 48 -

エージェント の平 均
ページ読 み込 み時 間

10,000

200

100%

7%

エージェン

ジョブリクエスト を一 度 に送 信 す

ト の数るエージェント の数 (5%)

1,000

3.26 秒

最大

平均

CPU 使

CPU 使

用率

用率

50

38%

7%

0.88 秒

2,000

100

39%

7%

1.14 秒

5,000

250

54%

6%

1.73 秒エージェント の平 均
ページ読 み込 み時 間

シナリオ 2: Tenable Nessus Agents がアクティブにスキャンし、スキャン結果 をアップロードしてい
る場合
エージェン

最 大 CPU平 均 CPUエージェント の平 均 ページ読

スキャンレポート

ト の数

使用率

使用率

み込 み時 間

のサイズ

1,000

65%

52%

1.16 秒

363 MB

2,000

82%

53%

1.45 秒726 MB

3,000

82%

46%

1.67 秒1079 MB

4,000

86%

40%

1.70 秒

1452 MB

5,000

99%

47%

1.73 秒

1780 MB

Tenable Nessus Agent のインスト ール
このセクションでは、次 のオペレーティングシステムに Tenable Nessus Agent をインスト ールする方法について説 明 します。
lWindows

l

macOS

l

Linux

インスト ールされたエージェント は、0～ 5 分 のランダムな遅延の後に Tenable Nessus Manager またはTenable Vulnerability Management にリンクします。遅 延を強 制すると、大 量 のエージェント をデプロイまたは再 起 動 する際のネット ワークト ラフィックを削減 し、Tenable Nessus Manager または Tenable- 49 -

Vulnerability Management に対 する負 荷を軽減 できます。エージェント は、最 初のスキャン開 始時 にマネージャーからプラグインをダウンロードします。このプロセスには数 分かかる場合 があります。これはエージェント がスキャン結果 を返 す前 に実行 する必 要があります。

Tenable Nessus Agent リンクキーの取 得
Tenable Nessus Agents のインスト ールプロセスを始める前 に、Tenable Nessus Manager または Tenable
Vulnerability Management からエージェント のリンクキーを取得 する必 要 があります。
エージェント リンクキーを取 得するには、Tenable Nessus Manager および Tenable Vulnerability
Management の各ユーザーガイド で説 明 されている手順 を使 用します。リンクキーを取得すると、1 つまたは複 数 のエージェント をインスト ールできます。

Linux での Tenable Nessus Agent のインスト ール
次の手 順を使 用して、Linux システムに Tenable Nessus Agent をインスト ールします。インスト ール後、エージェント をマネージャー (Tenable Vulnerability Management または Tenable Nessus Manager) にリンクします。これにより、インスト ールの完 了後にエージェント がスキャンデータの送信を開 始 できるようになり
ます。

始める前に
l

Nessus Agent のリンクキーを取 得 します。詳 細については、使 用しているマネージャーに応じて、
Tenable Nessus ユーザーガイド または Tenable Vulnerability Management ユーザーガイド を参照 してください。

l

Tenable Nessus Agent が事 前にシステムにインスト ールされている場合 、リンクエラーを回 避 する方法に関 するナレッジベースの記事 を参照してください。

警 告 : nessusd を実 行 している既存の Tenable Nessus Agent、Tenable Nessus Manager、Tenable Nessus ス
キャナーがすでに存在するシステムに Tenable Nessus Agent をインスト ールする場合、インスト ールプロセスにより他のすべての nessusd プロセスが強 制終 了されます。この結 果スキャンデータが失われる場 合 があります。

Tenable Nessus Agent をダウンロードする
Tenable Nessus Agent のダウンロードページで、ご利 用のオペレーティングシステムに固有のパッケージをダウンロードします。
エージェント パッケージをダウンロードしたら、エージェント をインスト ールします。

- 50 -

エージェント のインスト ール
注 意 : 次 の手順 は root 権限を必 要とします。

コマンドラインインターフェースを使 用して、Tenable Nessus Agent をインスト ールします。

Linux インスト ールコマンドの例
Debian# dpkg -i NessusAgent-<version number>-debian6_amd64.deb
Fedora 13 以 降# dnf install NessusAgent-<version number>-fc34.x86_64.rpm
Fedora 12 以 前# rpm -ivh NessusAgent-<version number>-fc34.x86_64.rpm
Red Hat 8 以 降 / CentOS 8 以 降 / Oracle Linux 8 以 降# dnf install NessusAgent-<version number>-es8.x86_64.rpm
Red Hat 7 以 前 / CentOS 7 以 前 / Oracle Linux 7 以 前# rpm -ivh NessusAgent-<version number>-es7.x86_64.rpm
SUSE# sudo zypper install NessusAgent-<version number>suse12.x86_64.rpm
Ubuntu# dpkg -i NessusAgent-<version number>-ubuntu1110_i386.deb
ヒント : リンクする前にフルプラグインセット をインスト ールすると、一括 インスト ール実 行 中に消費 される
帯域 幅 を減 らすことができます。これは、プラグインセット の場所 を指定する --file パラメーターを指- 51 -

定して nessuscli agent update コマンドを使用 して行うことができます。この作業は Tenable
Nessus Agent を開 始 する前に行う必 要があります。例/opt/nessus_agent/sbin/nessuscli agent update --file=./plugins_set.tgz

このプラグインセット は 5 日 以内 に入 手 したものである必要があります。入 手 後 5 日を超える古 いプ
ラグインセット では、フルプラグインのダウンロードが強 制的に開始されます。最新 のプラグインセット
は、Nessus Agent のダウンロードページからダウンロードできます。
注 意 : Nessus Agent をインスト ールした後 に、/sbin/service nessusagent start コマンドを使 用 し、手 動でサービスを開 始する必要 があります。Tenable では、ホスト が再起動 するたびに Nessus Agent サービスが開 始されるよう、systemctl enable nessusagent を実行することも推 奨 しています。

コマンドラインを使 用したエージェント のリンク付 け
コマンドプロンプト で、nessuscli agent link コマンドを使用 します。例/opt/nessus_agent/sbin/nessuscli agent link--key=00abcd00000efgh11111i0k222lmopq3333st4455u66v777777w88xy9999zabc00--name=MyOSXAgent --groups="All" --host=yourcompany.com --port=8834

注 意 : リンクコマンド全体 をコピーして、同 じ行に貼り付 ける必要があります。そうしないと、エラーが表 示 されます。

このコマンドがサポート する引 数 は次のとおりです。
引数

必須

値

--key

〇

(必須 ) マネージャーから取 得した値 を使 用 してください。

--host〇マネージャーからリンクキーを取 得 するには、使 用しているマネージャーに応じて、Tenable Nessus ユーザーガイド または Tenable Vulnerability--port〇Management ユーザーガイド を参照してください。

--name✕エージェント の名 前を指定 します。エージェント の名前 を指定 しない場
合、エージェント をインスト ールしているコンピューターの名前にデフォルト で設定 されます。

--groupsno

エージェント を追 加 する 1 つ以 上のエージェント グループを指 定します。イ- 52 -

引数必須

値
ンスト ールプロセス中にエージェント グループを指定 しない場 合 、Tenable
Nessus Manager または Tenable Vulnerability Management で、リンクされたエージェント をエージェント グループに後 から追加できます。
注 意 : エージェント グループ名は、大文字 と小 文 字を区別 し、正 確に一 致 す
る必 要があります。エージェント グループ名 は引用符 で囲 む必要 があります(例 : --groups="My Group")。

--offline-✕

install

Tenable Nessus Agent は、オフラインでもシステムにインスト ールできます。コマンドラインオプション offline-install="yes" をコマンドライン
入力 に追 加します。Tenable Nessus Agent は、定期的 に Tenable
Vulnerability Management または Tenable Nessus Manager へのリンクを試みます。
エージェント がコント ローラーに接続 できない場合 、1 時間 ごとに再 試 行 します。また、コント ローラーには接続できてもリンクに失敗 する場合は、24
時間 ごとに再試 行します。

--cloud✕--cloud の引数を指 定し、Tenable Vulnerability Management にリンクします。
--cloud 引数 は、--host=sensor.cloud.tenable.com -port=443 を指定するためのショート カット です。
注 意 : 中 国 本土にある Tenable Nessus スキャナー、Tenable Nessus
Agents、Tenable Web App Scanning スキャナー、または Tenable Nessus
Network Monitor (NNM) を介して Tenable Vulnerability Management に接続している場 合は、sensor.cloud.tenable.com ではなくsensor.cloud.tenablecloud.cn で接 続 する必 要 があります。
注 意 : エージェント の Tenable Vulnerability Management へのリンクについての詳細 は、Tenable Vulnerability Management ユーザーガイド のセンサーのリンクを参照 してください。

--network✕

Tenable Vulnerability Management にリンクされたエージェント の場合 、エージェント をカスタムネット ワークに追加 します。ネット ワークを指 定 しない
場合 、エージェント はデフォルト のネット ワークに属することになります。

- 53 -

引数

必須

値
注 意 : ネット ワーク名 は引 用符で囲む必要があります (例 : --network="My
Network")。

エージェント をインスト ールしてリンクしたら、Tenable では、マネージャーのユーザーインターフェースでエー
ジェント を表 示して、エージェント がマネージャーに正常 にリンクされていることを確認 することを推奨 しています。
ヒント : エージェント のクローンを作 り、Tenable Nessus Manager または Tenable Vulnerability Management にリンクしようとすると 409 エラーが表示 される場合 があります。このエラーは、他のマシンが、/etc/machine_id または /etc/tenable_tag ファイル内 の同じ UUID 値 にリンクされたために表示されます。この問題を解 決するには、/etc/tenable_tag ファイルの値 を有 効 な UUIDv4 値に置き換えます。/etc/machine_id ファイルが存 在しない場合 、/etc/tenable_tag を削除 して新しい値を生 成できます。

リンクされたエージェント の検 証
エージェント をインスト ールしてリンクしたら、次の手 順に沿 って、マネージャーのユーザーインターフェースで新しいエージェント を表示 します。
lTenable Vulnerability Management でリンクされたエージェント を検 証する方法
1. 左 上にある

ボタンをクリックします。

左 側にナビゲーションプレーンが表示されます。
2. 左 のナビゲーションプレーンで [設 定 ] をクリックします。
[Settings] (設 定 ) ページが表 示されます。
3. [Sensors] (センサー) タイルをクリックします。
[Sensors] (センサー) ページが表示されます。デフォルト では、左 側のナビゲーションメニューで[Nessus Scanners] (Nessus スキャナー) が選 択され、[Cloud Scanners] (クラウドスキャナー) タブがアクティブとなります。
4. 左 のナビゲーションメニューで、[Nessus Agent] をクリックします。
[Nessus Agent] ページが表示され、[Linked Agents] (リンクされたエージェント ) タブがアク- 54 -

ティブになります。
5. リンクされたエージェント の表 で新 しいエージェント を見つけます。
lTenable Nessus Manager でリンクされたエージェント を検証する方法
1. 上 部のナビゲーションバーで、[Sensors] (センサー) をクリックします。
[Linked Agents] (リンクされたエージェント ) ページが表示 されます。
2. リンクされたエージェント の表 で新 しいエージェント を見つけます。

Windows での Tenable Nessus Agent のインスト ール
次の手 順を使 用して、Windows システムに Tenable Nessus Agent をインスト ールします。インスト ールプ
ロセス中に、エージェント をマネージャー (Tenable Vulnerability Management または Tenable Nessus
Manager) にリンクします。これにより、インスト ールの完了 後にエージェント がスキャンデータの送 信を開 始できるようになります。

始める前に
l

Tenable Nessus Agent リンクキーを取得 します。詳細については、使 用 しているマネージャーに応 じて、Tenable Nessus ユーザーガイド または Tenable Vulnerability Management ユーザーガイド を参照してください。

l

Tenable Nessus Agent が事 前にシステムにインスト ールされている場合 、リンクエラーを回 避 する方法に関 するナレッジベースの記事 を参照してください。

注 意 : インスト ールを完 了するためにコンピューターの再起動 を求 められる場合 があります。
警 告 : nessusd を実 行 している既存の Tenable Nessus Agent、Tenable Nessus Manager、Tenable Nessus ス
キャナーがすでに存在するシステムに Tenable Nessus Agent をインスト ールする場合、インスト ールプロセスにより他のすべての nessusd プロセスが強 制終 了されます。この結 果スキャンデータが失われる場 合 があります。

Tenable Nessus Agent のダウンロード
Tenable Nessus Agent のダウンロードページで、ご利 用のオペレーティングシステムに固有のパッケージをダウンロードします。

- 55 -

エージェント パッケージをダウンロードしたら、コマンドラインを使 用してエージェント をインスト ールしてリンクできます。または、GUI インスト ールウィザードを使用してエージェント をインスト ールしてリンクすることもできます。

コマンドラインを使 ったインスト ールとリンク付 け
注 意 : コマンドラインからデプロイしてリンクするには、管理 者レベルの権限が必 要です。
注 意 : この手順ではコマンドラインを使 った Tenable Nessus Agents のデプロイについて説明しています。アクティ
ブディレクト リ (AD)、システム管理 サーバー (SMS) やその他 の MSI パッケージ向けソフト ウェア配信 システムなど、標準の Windows サービスで Tenable Nessus Agents をデプロイすることもできます。これらの方法 によるデプロイについての詳細 は、該当するベンダーのドキュメント を参照 してください。

コマンドラインを使 っていくつものリンク付 けパラメーターを指定して、Tenable Nessus Agents をインスト ー
ルしリンクすることができます。例:
msiexec /i NessusAgent-<version number>-x64.msi NESSUS_GROUPS="Agent Group Name"NESSUS_SERVER="192.168.0.1:8834" NESSUS_
KEY=00abcd00000efgh11111i0k222lmopq3333st4455u66v777777w88xy9999zabc00 /qn

エージェント コマンドラインのリンク付 けパラメーター
次のリンク付 けパラメーターを使 用できます。
パラメーター説明

ADDLOCAL=ALL

Tenable Nessus Agent ユーザーガイド の Tenable
Nessus Agent を Windows にインスト ールするの手 順
8 の説明 に従 って、Tenable Nessus Agent システムト
レイアプリケーションをインスト ールします。

NESSUS_CA_PATH

マネージャーのサーバー証明書 を検証 するのに使 用するカスタム CA 証明書 を指定 します。

NESSUS_GROUPS

エージェント を追加 する 1 つ以 上のエージェント グルー
プを指定します。インスト ールプロセス中 にエージェント
グループを指 定 しない場合、Tenable Nessus- 56 -

Manager または Tenable Vulnerability Management
で、リンクされたエージェント をエージェント グループに後から追加できます。
注 意 : エージェント グループ名 は、大文 字と小文 字 を区別し、正 確に一致する必要 があります。エージェント グ
ループ名は引用符 で囲 む必要 があります (例 : -groups="My Group")。

注 意 : 複数のグループを列記する場 合 、あるいは
1 つのグループの名 前 にスペースが含まれている場
合は、二 重 引用符 (") で囲 む必 要 があります。例

NESSUS_NAMElGroupNamel"Group Name"l"Group, Another Group"

エージェント の名 前 を指 定 します。エージェント の名 前を指定 しない場 合、エージェント をインスト ールしている
コンピューターの名前 にデフォルト で設定 されます。

NESSUS_OFFLINE_INSTALL

Tenable Nessus Agent は、オフラインでもシステムにインスト ールできます。コマンドラインのオプション
NESSUS_OFFLINE_INSTALL="yes" をコマンドライン
入力 に追加 します。Tenable Nessus Agent は、定 期
的に Tenable Vulnerability Management またはTenable Nessus Manager へのリンクを試 みます。エー
ジェント がコント ローラーに接 続できない場合 、1 時 間
ごとに再試行します。また、コント ローラーには接 続 できてもリンクに失敗する場合 は、24 時 間ごとに再 試行します。

NESSUS_PLUGINS_

一括 インスト ールの実 行中に消 費 される帯域 幅 を減

FILEPATH="C:\path\to\plugins_

らすために、リンクする前 にフルプラグインセット をインス

set.tgz"

ト ールします。コマンドラインのオプション NESSUS_PLUGINS_FILEPATH="C:\path\to\plugins_- 57 -

set.tgz" を加えます。ここで plugins_set.tgz は、入手後 5 日 以内 の最 新 のプラグインセット の tarball です。入 手後 5 日 を超 える古いプラグインセット では、フルプラグインのダウンロードが強 制的に開 始されます。
最新 のプラグインセット は、Tenable ダウンロードページ
からダウンロードできます。
NESSUS_PROCESS_PRIORITY

システム上で実行されるその他のタスクと比 較して、
エージェント の相 対 的な優先 度を決 定します。有 効
な値 、およびこの設定 の動 作方 法に関 する詳 細 は、Tenable Nessus Agent デプロイメント とユーザーガイドのエージェント の CPU リソースコント ロールを参 照 してください。

NESSUS_PROXY_AGENT

プロキシが事 前定義 されているユーザーエージェント を要求 する場合は、ユーザーエージェント 名を指定 しま
す。

NESSUS_PROXY_PASSWORD

ユーザー名として指定 したユーザーアカウント のパス
ワードを指 定します。

NESSUS_PROXY_SERVER

プロキシサーバーのホスト 名 または IP アドレスを指 定 します。

NESSUS_PROXY_USERNAME

プロキシサーバーへのアクセスと使用 が許可されている
ユーザーアカウント 名を指定 します。

NESSUS_SERVER

サーバーのホスト 名または IP アドレスを指定します。
lTenable Vulnerability Management にリンクする
場合 は、sensor.cloud.tenable.com:443 と入
力します。

l

Tenable Nessus Manager にリンクする場 合 は、
ポート 8834 を付 けて、マネージャーの IP または
ホスト 名 を入力 します (例: 192.168.2.1:8834)。

NESSUS_SERVICE_AUTOSTART=false

インスト ール後に Tenable Nessus Agent が起 動 しな

- 58 -

いようにします。
このパラメーターは、合理化 されたデプロイメント オプ
ション (JSON ファイルを使用 したデプロイメント など) で役立 つ可能 性があります。
注 意 : Windows では、エージェント サービスのStartType は [Automatic] (自動) に設定 されます。そのため、Windows システムを再 起動すると、エージェント
サービスが常 に開始されます。

エージェント をインスト ールしてリンクしたら、Tenable では、マネージャーのユーザーインターフェースでエー
ジェント を表 示して、エージェント がマネージャーに正常 にリンクされていることを確認 することを推奨 しています。

インスト ールウィザードを使 ったインスト ールとリンク付け
注 意 : Windows でインスト ールを完 了 するために、コンピューターの再 起動が必要 な場 合があります。

1. Tenable Nessus Agent のインスト ーラをダウンロードしたフォルダーに移 動します。
2. 次に、ファイル名 をダブルクリックし、インスト ールのプロセスを開始 します。[Welcome to the
InstallShield Wizard for Nessus Agent] (Nessus Agent の InstallShield ウィザードへようこそ) ウィ
ンドウが表 示されます。
3. [Welcome to the InstallShield Wizard for Nessus Agent] (Nessus Agent の InstallShield ウィ
ザードへようこそ) ウィンドウで、[Next] (次 へ) をクリックして続 行 します。
4. [License Agreement] (ライセンス契 約) ウィンドウで、Tenable, Inc. Nessus ソフト ウェアライセンスとサブスクリプション契 約の条項 に目を通します。
5. [I accept the terms of the license agreement] (ライセンス契 約の条 項に同意 します) をクリックします。
6. [Next] (次 へ) をクリックします。
7. [Destination Folder] (保存 先フォルダー) ウィンドウで、[Next] (次 へ) をクリックし、デフォルト のインスト ールフォルダーを使用 します。
-または-- 59 -

[Change] (変 更) をクリックし、Tenable Nessus Agents をインスト ールする別 のフォルダーを参照 して選 択 し、[Next] (次 へ) をクリックします。
8. [Setup Type] (設定タイプ) ウィンドウで、次のいずれかを実行します。
lエージェント をシステムト レイアプリケーションを使 用してインスト ールするは、[Custom] (カスタム) を選 択し、[Next] (次へ) をクリックして、ドロップダウンメニューで次の手 順を完 了 します。
これにより、マシンでエージェント ステータスを表示 できます。
システムト レイアプリケーションの設 定
a. [Custom Setup] (カスタムセット アップ) ページが表示 されます。デフォルト では、システム
ト レイアプリケーションはインスト ールパッケージに含まれていません。

b. [SystemTray Application] (SystemTray アプリケーション) ドロップダウンボックスをクリックします。

- 60 -

c. [This feature will be installed on local hard drive] (この機 能をローカルハードドライ
ブにインスト ールする) をクリックします。
d. [Next] (次へ) をクリックします。
lシステムト レイアプリケーションを使用せずにエージェント をインスト ールするには、[Typical] (標準 ) を選択 し、[Next] (次へ) をクリックします。

9. [Configuration Options] (設 定オプション) ウィンドウで、次のようにエージェント キーの値を入 力 しま
す。
フィール
ド
キー

値
(必 須) マネージャーから取得したリンクキーを使 用します。
マネージャーからリンクキーを取得 するには、使 用しているマネージャーに応 じて、Tenable Nessus ユーザーガイド または Tenable Vulnerability Management ユー

ザーガイド を参照 してください。
サーバー(必 須) マネージャーのホスト サーバーを入 力します。
lTenable Vulnerability Management にリンクする場 合は、
sensor.cloud.tenable.com:443 と入力 します。

- 61 -

注 意 : 中国 本土にある Tenable Nessus スキャナー、Tenable Nessus
Agents、Tenable Web App Scanning スキャナー、または Tenable Nessus
Network Monitor (NNM) を介して Tenable Vulnerability Management に接続している場 合は、sensor.cloud.tenable.com ではなく sensor.cloud.tenablecloud.cn
で接 続する必 要 があります。
注 意 : エージェント の Tenable Vulnerability Management へのリンクについての
詳 細は、Tenable Vulnerability Management ユーザーガイド のセンサーのリンクを
参 照してください。
lTenable Nessus Manager にリンクする場 合 は、ポート 8834 を付けて、マネージャーの IP またはホスト 名を入力 します (例 : 192.168.2.1:8834)。

グループ

エージェント を追 加 したい既 存のエージェント グループを指 定します。
インスト ールプロセス中にエージェント グループを指定しない場合、リンクされたエー
ジェント を後 からエージェント グループに追 加できます。

10. [Next] (次 へ) をクリックします。
11. [Ready to Install the Program] (プログラムのインスト ールの準 備完 了) ウィンドウで [Install] (インスト ール) をクリックします。
12. [User Account Control] (ユーザーアカウント 制 御 ) メッセージが表 示されたら、[Yes] (はい) をクリッ
クし、Tenable Nessus Agent のインスト ールを許 可 します。
13. [InstallShield Wizard Complete] (InstallShield ウィザードが完 了しました) ウィンドウで、[Finish](終 了 ) をクリックします。
エージェント をインスト ールしてリンクしたら、Tenable では、マネージャーのユーザーインターフェースでエー
ジェント を表 示して、エージェント がマネージャーに正常 にリンクされていることを確認 することを推奨 しています。
注 意 : エージェント 名 は、エージェント をインスト ールしているコンピューターの名 前にデフォルト で設 定されます。
ヒント : エージェント のクローンを作 り、Tenable Nessus Manager または Tenable Vulnerability Management にリンクしようとすると 409 エラーが表示 される場合 があります。このエラーは、HKLM/Software/Tenable/TAG ファイ
ルで、別 のマシンが同じ UUID 値でリンクされたために表 示されます。この問 題を解決するには、
HKLM/Software/Tenable/TAG ファイルのこの値を有効な UUIDv4 値に置 き換 えます。

リンクされたエージェント の検 証

- 62 -

エージェント をインスト ールしてリンクしたら、次の手 順に沿 って、マネージャーのユーザーインターフェースで新しいエージェント を表示 します。
lTenable Vulnerability Management でリンクされたエージェント を検 証する方法
1. 左 上にある

ボタンをクリックします。

左 側にナビゲーションプレーンが表示されます。
2. 左 のナビゲーションプレーンで [設 定 ] をクリックします。
[Settings] (設 定 ) ページが表 示されます。
3. [Sensors] (センサー) タイルをクリックします。
[Sensors] (センサー) ページが表示されます。デフォルト では、左 側のナビゲーションメニューで[Nessus Scanners] (Nessus スキャナー) が選 択され、[Cloud Scanners] (クラウドスキャナー) タブがアクティブとなります。
4. 左 のナビゲーションメニューで、[Nessus Agent] をクリックします。
[Nessus Agent] ページが表示され、[Linked Agents] (リンクされたエージェント ) タブがアクティブになります。
5. リンクされたエージェント の表 で新 しいエージェント を見つけます。
lTenable Nessus Manager でリンクされたエージェント を検証する方法
1. 上 部のナビゲーションバーで、[Sensors] (センサー) をクリックします。
[Linked Agents] (リンクされたエージェント ) ページが表示 されます。
2. リンクされたエージェント の表 で新 しいエージェント を見つけます。

macOS での Tenable Nessus Agent のインスト ール
次の手 順を使 用して、macOS システムに Tenable Nessus Agent をインスト ールします。インスト ール後、エージェント をマネージャー (Tenable Vulnerability Management または Tenable Nessus Manager) にリンクします。これにより、インスト ールの完 了後にエージェント がスキャンデータの送信を開 始 できるようになり
ます。

始める前に

- 63 -

lTenable Nessus Agent リンクキーを取得 します。詳細については、使 用 しているマネージャーに応 じて、Tenable Nessus ユーザーガイド または Tenable Vulnerability Management ユーザーガイド を参照してください。

l

Tenable Nessus Agent が事 前にシステムにインスト ールされている場合 、リンクエラーを回 避 する方法に関 するナレッジベースの記事 を参照してください。

注 意 : フルディレクト リアクセス権 の一 部の監査では、エージェント がフルディスクアクセス権 を必要とする場 合があります。したがって、Tenable では、macOS にインスト ールされているエージェント にフルディスクアクセス権を許可 す
ることを推奨 しています。
警 告 : nessusd を実 行 している既存の Tenable Nessus Agent、Tenable Nessus Manager、Tenable Nessus ス
キャナーがすでに存在するシステムに Tenable Nessus Agent をインスト ールする場合、インスト ールプロセスにより他のすべての nessusd プロセスが強 制終 了されます。この結 果スキャンデータが失われる場 合 があります。

Tenable Nessus Agent のダウンロード
Tenable Nessus Agent のダウンロードページで、ご利 用のオペレーティングシステムに固有のパッケージをダウンロードします。
エージェント パッケージをダウンロードしたら、エージェント をインスト ールします。

エージェント のインスト ール
注 意 : 次 の手順 を実 行するには、root 権限 が必 要です。

GUI インスト ールウィザードまたはコマンドラインを使用 して、Tenable Nessus Agent をインスト ールできます。
GUI インスト ール
1. Nessus Agent .dmg (Mac OS ディスクイメージ) ファイルをダブルクリックします。
2. Install Nessus Agent.pkg をダブルクリックします。
3. Nessus Agent インスト ールウィザードを終了します。
コマンドラインインスト ール- 64 -

1. Install Nessus Agent.pkg と .NessusAgent.pkg を NessusAgent-<version
number>.dmg から展開 します。
注 意 : .NessusAgent.pkg ファイルは通 常 macOS Finder では表示 されません。

2. ターミナルを開 きます。
3. コマンドラインから、次のコマンドを入 力 します。
# sudo installer -pkg /<path-to>/Install Nessus Agent.pkg -target /エージェント のインスト ールが完了 したら、エージェント をマネージャーにリンクします。
ヒント : リンクする前にフルプラグインセット をインスト ールすると、一括 インスト ール実 行 中に消費 される
帯域 幅 を減 らすことができます。これは、プラグインセット の場所 を指定する --file パラメーターを指定して nessuscli agent update コマンドを使用 して行うことができます。この作業は Tenable
Nessus Agent を開 始 する前に行う必 要があります。例/opt/nessus_agent/sbin/nessuscli agent update --file=./plugins_set.tgz

このプラグインセット は 5 日 以内 に入 手 したものである必要があります。入 手 後 5 日を超える古 いプ
ラグインセット では、フルプラグインのダウンロードが強 制的に開始されます。最新 のプラグインセット
は、Tenable Nessus Agent ダウンロードページからダウンロードできます。

コマンドラインを使 用したエージェント のリンク付 けmacOS でエージェント をリンクするには、次のようにします。
1. ターミナルを開 きます。
2. コマンドラインから、nessuscli agent link コマンドを使用 します。
例# sudo /Library/NessusAgent/run/sbin/nessuscli agent link--key=00abcd00000efgh11111i0k222lmopq3333st4455u66v777777w88xy9999zabc00--name=MyOSXAgent --groups=All --host=yourcompany.com --port=8834- 65 -

注 意 : リンクコマンド全体 をコピーして、同じ行に貼り付 ける必要があります。そうしないと、エラーが表 示 されます。

エージェント コマンドラインのリンク付 けパラメーター
このコマンドがサポート する引 数 は次のとおりです。
引数

必須

値

--key

〇

(必須 ) マネージャーから取 得した値を使用 してください。

--host〇マネージャーからリンクキーを取 得 するには、使 用しているマネージャーに応じて、Tenable Nessus ユーザーガイド または Tenable--port〇Vulnerability Management ユーザーガイド を参 照してください。

--name✕エージェント の名 前を指定 します。エージェント の名前 を指定しない
場合 、エージェント をインスト ールしているコンピューターの名前 にデフォルト で設定 されます。

--groups✕

エージェント を追 加 したい既 存のエージェント グループを指 定します。インスト ールプロセス中にエージェント グループを指定 しない場
合、Tenable Nessus Manager または Tenable Vulnerability
Management で、リンクされたエージェント をエージェント グループに後から追加 できます。
注 意 : エージェント グループ名は、大 文字 と小 文 字を区別 し、正 確に一致 する必 要があります。エージェント グループ名は引 用 符で囲 む必要があります (例 : --groups="My Group")。

--offlineinstall✕

Tenable Nessus Agent は、オフラインでもシステムにインスト ールできます。コマンドラインのオプション NESSUS_OFFLINE_
INSTALL="yes" をコマンドライン入 力に追加 します。Tenable
Nessus Agent は、定期 的に Tenable Vulnerability Management
または Tenable Nessus Manager へのリンクを試 みます。
エージェント がコント ローラーに接続 できない場合 、1 時間 ごとに再試行 します。また、コント ローラーには接 続 できてもリンクに失 敗 する

- 66 -

場合 は、24 時 間ごとに再 試行 します。
--cloud✕--cloud の引 数を指 定し、Tenable Vulnerability Management に
リンクします。
--cloud 引数 は、--host=cloud.tenable.com --port=443
を指 定 するためのショート カット です。
注 意 : 中 国 本土にある Tenable Nessus スキャナー、Tenable Nessus
Agents、Tenable Web App Scanning スキャナー、または Tenable
Nessus Network Monitor (NNM) を介して Tenable Vulnerability
Management に接 続している場合 は、sensor.cloud.tenable.com ではな
く sensor.cloud.tenablecloud.cn で接 続 する必 要があります。
注 意 : エージェント の Tenable Vulnerability Management へのリンクについての詳細 は、Tenable Vulnerability Management ユーザーガイド のセンサーのリンクを参照 してください。

--network✕

Tenable Vulnerability Management にリンクされたエージェント の場
合、エージェント をカスタムネット ワークに追 加します。ネット ワークを
指定 しない場合、エージェント はデフォルト のネット ワークに属 することになります。

エージェント をインスト ールしてリンクしたら、Tenable では、マネージャーのユーザーインターフェースでエー
ジェント を表 示して、エージェント がマネージャーに正常 にリンクされていることを確認 することを推奨 しています。
ヒント : エージェント のクローンを作 り、Tenable Nessus Manager または Tenable Vulnerability Management にリンクしようとすると 409 エラーが表示 される場合 があります。このエラーは、/private/etc/tenable_tag ファイ
ルで、別 のマシンが同じ UUID 値でリンクされたために表 示されます。この問 題を解決するには、/private/etc/tenable_tag ファイルのこの値を有効 な UUIDv4 値に置 き換 えます。

リンクされたエージェント の検 証
エージェント をインスト ールしてリンクしたら、次の手 順に沿 って、マネージャーのユーザーインターフェースで新しいエージェント を表示 します。

- 67 -

lTenable Vulnerability Management でリンクされたエージェント を検 証する方法
1. 左 上にある

ボタンをクリックします。

左 側にナビゲーションプレーンが表示されます。
2. 左 のナビゲーションプレーンで [設 定 ] をクリックします。
[Settings] (設 定 ) ページが表 示されます。
3. [Sensors] (センサー) タイルをクリックします。
[Sensors] (センサー) ページが表示されます。デフォルト では、左 側のナビゲーションメニューで[Nessus Scanners] (Nessus スキャナー) が選 択され、[Cloud Scanners] (クラウドスキャナー) タブがアクティブとなります。
4. 左 のナビゲーションメニューで、[Nessus Agent] をクリックします。
[Nessus Agent] ページが表示され、[Linked Agents] (リンクされたエージェント ) タブがアクティブになります。
5. リンクされたエージェント の表 で新 しいエージェント を見つけます。
lTenable Nessus Manager でリンクされたエージェント を検証する方法
1. 上 部のナビゲーションバーで、[Sensors] (センサー) をクリックします。
[Linked Agents] (リンクされたエージェント ) ページが表示 されます。
2. リンクされたエージェント の表 で新 しいエージェント を見つけます。

Tenable Nessus Agent のアップデート
インスト ールされたエージェント は、そのマネージャー (Tenable Vulnerability Management または Tenable
Nessus Manager のいずれか) から自 動 的にアップデート を取 得 します。
どちらのマネージャーのユーザーインターフェースでも、エージェント アップデート プランを設 定して、エージェン
ト の自 動 更 新 後 のバージョンを指定 できます。詳 細 については、Tenable Vulnerability Management
ユーザーガイドおよび Tenable Nessus Manager ユーザーガイドで説 明されている手 順に従 ってください。

手動アップデート
エアギャップのネット ワークやインターネット が制限 されているネット ワークなどの特定のケースでは、エージェ
ント アップデート を手 動でダウンロードする必 要がある場 合があります。また、アップデート を個 別のエージェ- 68 -

ント に直 接 インスト ールすることも、一 括アップデート ファイル tar.gz を Tenable Nessus Manager ディレク
ト リにインスト ールすることもできます。後 者の場合、Tenable Nessus Manager は tar.gz アップデート ファ
イルを使 用 して、リンクされた各 エージェント にアップデート を配 布します。
注 意 : 初 期 設 定 では、Tenable Vulnerability Management にリンクされたエージェント は、バージョンが一 般 公 開(GA) された一 週 間後 に GA にアップデート されます。従 って、その日以 前に Tenable Vulnerability Managementにリンクされたエージェント を手 動 で最 新バージョンにアップデート する場合 は、自 動アップデート を無効 にするか、
更新プランで早 期 アクセス版 リリースを選 択してください。これを行うことで、エージェント が前 のバージョン (GA) に
自動的 にダウングレードされないようになります。

Tenable Nessus Agent にアップデート を手動 でインスト ールするには
注 意 : 以 下 の手 順をオフラインのマシンで実 行 する必要がある場合は、インターネット にアクセスできるマシンで手順 1 から 3 を実行 してください。手順 3 の後に、ダウンロードしたファイルをオフラインのマシンにコピーし、オフラインのマシンで手順 4 を実 行します。

1. Tenable Nessus Agent Downloads (Tenable Nessus Agent ダウンロード) ページに移動 します。
2. ご使 用のオペレーティングシステムに応じて、ダウンロードするエージェント アップデート ファイルをクリッ
クします。
[License Agreement] (ライセンス契 約) ウィンドウが表示されます。
3. [I Agree] (同意 する) をクリックします。
アップデート ファイルがマシンにダウンロードされます。
4. ご使 用のオペレーティングシステムに応じて、次 のいずれかを実 行します。
注 意 : 以 下 の手 順を完了 するには、管理 者 レベルの権限が必要です。

Windows
次のいずれかを行います。
l

ダウンロードした .msi ファイルをダブルクリックして、画面 上 の指 示 に従います。

l

ダウンロードしたパッケージの場 所とファイル名を使 用して、次のコマンドをコマンドラインイン- 69 -

ターフェースで入力 します。
> msiexec /i <path-to>\NessusAgent-<version>.msi /qn

Linux
l

コマンドラインインターフェースで、お使いの Linux 環境 固 有 の install または upgrade コマンドを使 用して、ダウンロードしたファイルをインスト ールします。

macOSa. ダウンロードした .dmg ファイルをマウント します。
# sudo hdiutil attach <path-to>/NessusAgent-<version>.dmg

b. パッケージをインスト ールします。
# sudo installer -package /Volumes/Nessus\ Install/Install\ <pathto>/NessusAgent-<version>.dmg -target /オペレーティングシステムにより Tenable Nessus Agent アップデート がインスト ールされます。
場合 によっては、アップデート をエージェント に直接インスト ールする代わりに、Tenable Nessus Managerにエージェント アップデート プログラムをインスト ールすることもできます。こうすると、リンクされたエージェントにアップデート が配 布されます。
Tenable Nessus Agent の新 しいバージョンがリリースされると、Tenable Nessus Manager はフィードアップ
デート を通 じてそれらの新しいバージョンを認識し、リンクされたエージェント にそれらのアップデート を渡します。オフラインまたはエアギャップモードで登 録された Tenable Nessus Manager は、新 しいエージェント のバージョンを自 動的 には認識しません。次 の手順に従 って、最 新の Tenable Nessus Agent アップデート
ファイルを手 動でインスト ールし、エージェント のバージョンを更 新する必 要があります。

Tenable Nessus Manager にエージェント アップデート を手 動でインスト ールするには
注 意 : 以 下 の手 順をオフラインのマシンで実 行 する必要がある場合は、インターネット にアクセスできるマシンで手順 1 と 2 を実行 してください。それから、手 順 3 でダウンロードしたファイルをオフラインのマシンにコピーします。

- 70 -

1. Tenable Nessus Agent Downloads (Tenable Nessus Agent ダウンロード) ページに移動 します。
2. nessus-agent-updates-<version>.tar.gz ファイルをダウンロードします。このファイルには、Tenable Nessus Agent をインスト ールできるすべてのオペレーティングシステムとプラット フォームのアップデート ファイルが含まれています。
パッケージはシステム間で転送 されるため、転送 後は必 ず MD5 チェックサムをプルしてファイルの整合性 を検証してください。
3. tar.gz ファイルを Tenable Nessus Manager ディレクト リにコピーします。ファイルは、Tenable
Nessus Manager ディレクト リ内 のアクセス可能な任意の子フォルダーに貼 り付 けることができます。
4. お使 いのオペレーティングシステムに応じて、次のいずれかのコマンドを実 行してエージェント のアップ
デート ファイルを準 備します。
注 意 : 以 下 のコマンドを実 行 するには、管理者 レベルの権限 が必要 です。

Windows> C:\Program Files\Tenable\Nessus\nessuscli.exe update <\path\to\nessus-agentsupdate-<version>.tar.gz>

Linux# /opt/nessus/sbin/nessuscli update </path/to/nessus-agent-updates<version>.tar.gz>

macOS# /Library/Nessus/run/sbin/nessuscli update </path/to/nessus-agent-updates<version>.tar.gz>

アップデート パッケージは /remote ディレクト リにプッシュされます。このディレクト リがローカルエージェ
ント スト アとして機能します。

- 71 -

5. Tenable Nessus Manager ユーザーインターフェースの [Sensors] (センサー) > [Agent Updates](エージェント の更 新) をクリックして、リンク済みエージェント を自動的 に更新するように Tenable
Nessus Manager が設定 されていることを確 認します。.[Enable Agent Updates] (エージェント 更
新を有 効にする) オプションが有 効になっている場 合はオフにします。
リンクされたエージェント は Tenable Nessus Manager に定期的にチェックインします。次回エージェン
ト がマネージャーにチェックインしたときに、そのオペレーティングシステムに適 用可能 な新 しいバージョンが自 動的に提供されます。

Tenable Nessus Agent のダウングレード
Tenable Nessus Agents では、Tenable Nessus を以 前 のバージョンの Tenable Nessus にダウングレード
できます。
以降 の例では 2 つのシナリオを説 明します。1 つはエージェント ソフト ウェアを手動 でダウングレードするシナ
リオ、もう 1 つはエージェント アップデート プランの設 定に従いエージェント が自動 的にダウングレードするシナリオです。

例 1: エージェント を手 動 でダウングレード
シナリオ
早期 アクセス用 リリース 10.0.0 を現 在実 行していて、前 のバージョン 8.3.0 にダウングレードしたいと考 えています。
解決策
1. 次のいずれかを実行して、ソフト ウェアの自動 アップデート をオフにします。
lTenable Nessus Manager で、詳 細設定 の [Automatically Download Agent Updates](エージェント の更 新プログラムを自動 ダウンロードする) または agent_updates_from_feed
を無 効にします。

lTenable Vulnerability Management で、エージェント 設 定の [Exclude all agents fromsoftware updates] (ソフト ウェアの更新からすべてのエージェント を除 外) を有効 にします。

lエージェント で、詳細 設定 の disable_core_updates を有 効にします。

2. エージェント をアンインスト ールします。

- 72 -

3. 古いバージョンのパッケージを手動 でダウンロードしてインスト ールします。この例では、Tenable
Nessus Agent 8.3.0 です。

例 2: 自分 のアップデート プランに合 わせてエージェント を自 動的 にダウングレード
シナリオ
自動 アップデート を有効にしている場合 、Tenable Nessus Agent をどのバージョンにアップデート するかはAgent Update Plan (エージェント アップデート プラン) によって決定 されます。このシナリオでは、アップデート
プランが gaに設 定 されています。これは、エージェント が最新の一般 提 供 (GA) リリースに自動 的に更新 されることを意 味 します。現在 Tenable Nessus Agent の GA バージョン (10.0.0 など) を使用 しています。
しかし、アップデート プランの設定 を stable に変 更しました。これにより、エージェント はアップデート を遅 らせ、古 いリリースを維 持 します。
結果
新しいエージェント アップデート プランの設定に従 い、エージェント のバージョンは (現 行の) 最 新 GA バージョンより古 いリリースになります。したがって、エージェント のバージョンをこの設定 に合 わせるために、次 回
エージェント がアップデート をチェックすると、エージェント は自 動 的に古 いバージョンになります。Tenable
Nessus Agent は、最 新 の GA バージョンの 1 つ前 のリリースである 8.3.0 に自 動的 にダウングレードします。

Tenable Nessus Agent のバックアップ
Tenable Nessus Agent CLI コマンド を使 用して Tenable Nessus Agent をバックアップし、後 から任意 のシステムで復 元できます (異なるオペレーティングシステムでも復 元可 能です)。Tenable Nessus Agent をバックアップすると、個 人設 定は保 存されます。Tenable Nessus Agent はスキャン結果 はバックアップしま
せん。
注 意 : Linux システムと Windows システムとの間でプラット フォームをまたぐバックアップと復 元 を行 った場 合 、Tenable Nessus Agent を復 元した後 に、スケジュールを使用する Tenable Nessus Agent の設 定 (スキャンのス
ケジュールなど) は再 度行う必要 があります。これは、双 方のオペレーティングシステムで異 なるタイムゾーン名 が使用されているため、これらのプラット フォームの間 でスケジュールが正しく転 送されないためです。

Tenable Nessus Agent をバックアップするには
1. コマンドターミナルから Tenable Nessus Agent にアクセスします。
2. Tenable Nessus Agent バックアップファイルを作 成します。

- 73 -

> nessuscli backup --create <backup_filename>

Tenable Nessus Agent によって次のディレクト リにバックアップファイルが作成 されます。
lLinux : /opt/nessus_agent/var/nessuslWindows: C:\ProgramData\Tenable\Nessus Agent\nessus\l

Mac: /Library/NessusAgent/run/var/nessus/

次の手 順
l

Tenable Nessus Agent の復 元

Tenable Nessus Agent の復元
Tenable Nessus Agent CLI コマンド を使 用して、Tenable Nessus Agent の以前 のバックアップを使用 して後 から任 意 のシステムで復元できます (異なるオペレーティングシステムでも復 元 可能 )。Tenable
Nessus Agent をバックアップすると、個 人設定 も保 存されます。Tenable Nessus Agent はスキャン結 果
は復 元 しません。
注 意 : Linux システムと Windows システムとの間でプラット フォームをまたぐバックアップと復 元 を行 った場 合 、Tenable Nessus Agent を復 元した後 に、スケジュールを使用する Tenable Nessus Agent の設 定 (スキャンのス
ケジュールなど) は再 度行う必要 があります。これは、双 方のオペレーティングシステムで異 なるタイムゾーン名 が使用されているため、これらのプラット フォームの間 でスケジュールが正しく転 送されないためです。

始める前に
l

Tenable Nessus Agent のバックアップ

Tenable Nessus Agent を復 元するには、以下 を行 います。
1. コマンドターミナルから Tenable Nessus Agent にアクセスします。
2. Tenable Nessus Agent サービスを停止 します。
例# systemctl stop nessusagent

Tenable Nessus Agent によってすべてのプロセスが終了 します。

- 74 -

3. 以前 に保 存したバックアップファイルから Tenable Nessus Agent を復元します。
> nessuscli backup --restore path/to/<backup_filename>

Tenable Nessus Agent によってバックアップが復 元されます。
4. Tenable Nessus Agent サービスを停止 して開始します。
例# systemctl stop nessusagent# systemctl start nessusagent

Tenable Nessus Agent が初 期化 を開始し、バックアップからの設定 を使 用します。

Tenable Nessus Agent の削除
このセクションでは、Tenable Nessus Agent をホスト からアンインスト ールする方法 について説明します。
lLinux での Tenable Nessus Agent のアンインスト ールlWindows での Tenable Nessus Agent のアンインスト ールlmacOS での Tenable Nessus Agent のアンインスト ール

注 意 : ホスト にエージェント をインスト ールしたまま、マネージャーからエージェント を削除する方 法については、
Tenable Nessus Agent のリンク解除 を参照 してください。

Linux での Tenable Nessus Agent のアンインスト ール
コマンドラインから Linux 上のエージェント をアンインスト ールできます。

始める前に
l

管理 ツールからエージェント へのリンクを解除 します。

Tenable Nessus Agent を Linux からアンインスト ールする方 法
1. ご使 用の Linux 系 オペレーティングシステム固 有の削 除コマンドを入 力 します。

Nessus Agent 削除コマンドの例- 75 -

Debian/Kali と Ubuntu# dpkg -r NessusAgentRed Hat 6 と 7、Oracle Linux 6 と 7# yum remove NessusAgentRed Hat 8 以 降 、Oracle Linux 8 以 降 、Fedora# dnf remove NessusAgent
SUSE# sudo zypper remove NessusAgent
注 意 : システムから Tenable Nessus Agent を完全 に削除 するには、削 除コマンドの実行 後 にエージェント
ファイルシステムを手動 で削 除する必要 があります。

次の手 順
l

Tenable Nessus Agent をシステムに再インスト ールする予定の場合、リンクエラーを回 避 する方法に関 するナレッジベースの記 事を参 照してください。

Windows での Tenable Nessus Agent のアンインスト ール
Windows ユーザーインターフェースまたは Windows CLI を使 用して、Windows からエージェント をアンイン
スト ールできます。

始める前に
l

管理 ツールからエージェント へのリンクを解除 します。

Windows ユーザーインターフェースから Tenable Nessus Agent をアンインスト ールするには
1. Windows で、[Add or Remove Programs] (プログラムの追加 または削除 ) または[Uninstall orchange a program] (プログラムのアンインスト ールまたは変更 ) ができる場所に移動します。
2. インスト ール済みプログラムのリスト で、Tenable Nessus Agent 製 品を選 択します。

- 76 -

3. [Uninstall] (アンインスト ール) をクリックします。
Tenable Nessus Agent 削除 の選 択 を確 認するよう求 めるダイアログボックスが表 示 されます。
4. [Yes] (はい) をクリックします。
Windows で Nessus 関 連のファイルとフォルダーがすべて削除されます。

Windows CLI から Tenable Nessus Agent をアンインスト ールするには
1. 管理 者 権 限で PowerShell を開 きます。
2. 次のコマンドを実 行してください。
msiexec.exe /x <path to Nessus Agent package>

注 意 : オプションの msiexec /x パラメーターの詳 細については、Microsoft ドキュメント の msiexec を参照
してください。

次の手 順lTenable Nessus Agent をシステムに再インスト ールする予定の場合、リンクエラーを回 避 する方法に関 するナレッジベースの記 事を参 照してください。

macOS での Tenable Nessus Agent のアンインスト ール
macOS からエージェント をアンインスト ールするには、関連するエージェント ディレクト リを削 除し、エージェン
ト サービスを無 効にします。

始める前に
l

管理 ツールからエージェント へのリンクを解除 します。

Tenable Nessus Agent を macOS からアンインスト ールする方法
1. Tenable Nessus Agent ディレクト リを削除 します。コマンドプロンプト から、次 のコマンドを入 力 します。
l$ sudo rm -rf /Library/NessusAgentl$ sudo rm /Library/LaunchDaemons/com.tenablesecurity.nessusagent.plist- 77 -

l$ sudo rm -r "/Library/PreferencePanes/Nessus Agent
Preferences.prefPane"

注 意 : システムから Tenable Nessus Agent を完全 に削除 するには、削 除コマンドの実行 後 にエージェント
ファイルシステムを手動 で削 除する必要 があります。

2. Tenable Nessus Agent のサービスを無 効にします。
a. コマンドプロンプト から、次 のコマンドを入力 します。
$ sudo launchctl remove com.tenablesecurity.nessusagent

b. 指 示されたら、管 理 者パスワードを入 力 します。

次の手 順
l

Tenable Nessus Agent をシステムに再インスト ールする予定の場合、リンクエラーを回 避 する方法に関 するナレッジベースの記 事を参 照してください。

- 78 -

エージェント の管 理
エージェント を管 理 するには、次 のト ピックを参照 してください。
lTenable Nessus Agent の開 始 または停 止lTenable Nessus Agents のフィルタリング

lTenable Nessus Agents のエクスポートlTenable Nessus Agent のリンク解除lエージェント グループ

Tenable Nessus Agent の開始 または停 止エージェント によるデータ収 集を一 時的 に停止し、エージェント を再起動 してデータ収 集を再 開 できます。
エージェント の停 止と開始は、ト ラブルシューティングに役立つことがあります。また、Tenable では、手動アップデート を実行 するときは必 ずエージェント を停 止することを推奨しています。
以下 のセクションで、ホスト で Tenable Nessus Agent を開 始および停 止 する際 のベスト プラクティスを説明します。

Windows
1. [Services] (サービス) に移 動 します。
2. [Name] (名 前) 列 で [Tenable Nessus Agent] をクリックします。
3. 次のいずれかを実行します。

lエージェント のサービスを停止 するには、[Tenable Nessus Agent] を右クリックしてから[Stop] (停止 ) をクリックします。

lエージェント のサービスを再起 動するには、[Tenable Nessus Agent] を右 クリックしてから[Start] (開始 ) をクリックします。

- 79 -

または、次 のコマンドを使用して、コマンドラインからエージェント を開始 したり停止 したりすることもできます。
開 始 または停 止

Windows コマンドライン操 作

開始

C:\Windows\system32>net start "Tenable Nessus Agent"

停止

C:\Windows\system32>net stop "Tenable Nessus Agent"

Linux
Linux システムでエージェント を開 始または停止するには、次 のコマンドを使用 します。
開 始 または停 止Linux コマンドライン操 作

Red Hat、CentOS、Oracle Linux開始# systemctl start nessusagent

終了# systemctl stop nessusagent

SUSE
開始

# systemctl start nessusagent

終了# systemctl stop nessusagent

Debian、Kali、Ubuntu
開始# systemctl start nessusagent

終了# systemctl stop nessusagent

macOS
1. [System Preferences] (システム環 境設定) に移 動 します。
2.

ボタンをクリックします。

3.

ボタンをクリックします。

4. ユーザー名 とパスワードを入力 します。

- 80 -

5. 次のいずれかを実行します。

lエージェント のサービスを停止 するには、[Stop Nessus Agent] (Nessus Agent の停止 ) ボタ
ンをクリックします。

lエージェント のサービスを開始 するには、[Start Nessus Agent] (Nessus Agent の開始 ) ボタ
ンをクリックします。

または、次 のコマンドを使用して、コマンドラインからエージェント を開始 したり停止 したりすることもできます。
開 始 または停 止macOS コマンドライン操 作

開始# sudo launchctl start com.tenablesecurity.nessusagent

停止# sudo launchctl stop com.tenablesecurity.nessusagent

エージェント のステータス
Tenable Nessus Agents は、次のいずれかのステータスとなります。
ステータス

説明

Online (オンラTenable Nessus Agent を含 むホスト は、現 在 接 続 済みで、Tenable Nessus

イン)Manager または Tenable Vulnerability Management と通信 しています。

Offline (オフラTenable Nessus Agent を含 むホスト は現在停 止中か、ネット ワークに接 続されて

イン)

いません。

Initializing (初Tenable Nessus Agent は、Tenable Nessus Manager または Tenable

期化 )Vulnerability Management でのチェックインが進行 中です。

Unlinked (リン(Tenable Nessus Manager のみ) エージェント はリンクされていない状態 です。

クなし)

このステータスのエージェント は、[Track unlinked agents] (リンク解除 されたエー
ジェント の追 跡 ) が有 効になっている場合にのみ存 在します。
注 意 : [Unlink inactive agents after X days] (X 日後 非 アクティブなエージェント をリンク解除する) の設定により自動 的 にリンク解除 されたエージェント がオンラインに戻ると、
Tenable Nessus Manager に自動 的に再リンクされます。手動 でリンクを解除 したエー

- 81 -

ステータス説明
ジェント は、手 動で再 リンクする必要があります。

Tenable Nessus Agents のフィルタリング
lTenable Nessus Manager でエージェント をフィルタリングするには、Tenable Nessusユーザーガイド のエージェント のフィルタリングを参照 してください。

lTenable Vulnerability Management でエージェント をフィルタリングするには、Tenable Vulnerability
Management ユーザーガイド のエージェント のフィルタリングを参照 してください。

Tenable Nessus Agents のエクスポートlTenable Nessus Manager でエージェント データをエクスポート するには、Tenable Nessus ユーザーガ

イド のエージェント のエクスポート を参 照してください。
lTenable Vulnerability Management でエージェント データをエクスポート するには、Tenable
Vulnerability Management ユーザーガイド のエージェント のエクスポート を参 照してください。

Tenable Nessus Agent のリンク解 除
エージェント を手 動 でリンク解除すると、エージェント はマネージャーのリンク済みエージェント リスト からは消えますが、関 連 データはエージェント 設定 で指定 された期間 保 持されます。エージェント を手動でリンク解除すると、そのエージェント が Tenable Nessus Manager または Tenable Vulnerability Management に自動的 に再 リンクすることはありません。
ヒント : エージェント のリンク解除 とは、Tenable Nessus Manager であれ Tenable Vulnerability Management であれ、エージェント とそのマネージャーの間 の接続を解除 する行為を指します。マシンからエージェント を削除 またはアンインスト ールする場 合は、Tenable Nessus Agent の削除 を参照してください。
lTenable Nessus Manager でエージェント のリンクを解 除するには、Tenable Nessus ユーザーガイドのエージェント のリンク解 除を参照 してください。

lTenable Vulnerability Management でエージェント のリンクを解 除 するには、Tenable Vulnerability
Management ユーザーガイド のエージェント のリンク解除を参照してください。

エージェント グループ- 82 -

エージェント グループを使 用 して、Tenable Nessus Manager または Tenable Vulnerability Managementにリンクしたエージェント を編成 して管理 できます。複数 のエージェント グループを追 加 し、これらのグループ
をターゲット として使 用するようスキャンを設定できます。
lTenable Nessus Manager でエージェント グループを管理するには、Tenable Nessus ユーザーガイドのエージェント グループを参 照してください。

lTenable Vulnerability Management でエージェント グループを管 理 するには、Tenable Vulnerability
Management ユーザーガイド のエージェント グループを参照 してください。

- 83 -

スキャン
Tenable Nessus Manager と Tenable Vulnerability Management では、Tenable Nessus Agents スキャンの作 成 と設定 ができます。
エージェント スキャン、エージェント テンプレート 、エージェント 設 定の詳 細については、組織 で使 用しているマネージャーに応じて、Tenable Nessus ユーザーガイド またはTenable Vulnerability Management ユーザー

ガイド を参 照してください。

- 84 -

設定
Tenable Nessus Manager と Tenable Vulnerability Management では、Tenable Nessus Agent 設定 を変更 できます。
次のト ピックを参照してください。
lTenable Nessus Agent の設 定 を変 更する - Tenable Nessus Manager または Tenable
Vulnerability Management にリンクされた Tenable Nessus Agents の設 定を変 更します。

l

詳細 設 定 – エージェント のコマンドラインインターフェースから Tenable Nessus Agents の詳 細 設定
を行 います。

l

フリーズウィンドウ - Tenable Nessus Manager および Tenable Vulnerability Management のTenable Nessus Agents のフリーズウィンドウを作成、変 更、削 除 します。

llog.json 設定 – Tenable Nessus Manager のエージェント ログ設 定を変更 します。

lプロキシ設 定 – プロキシを介 して Tenable Nessus Manager または Tenable Vulnerability
Management に接続 するようにエージェント を設定 します。

Tenable Nessus Agent の設定 を変 更 するTenable Nessus Manager または Tenable Vulnerability Management からエージェント 設 定を変更 でき、
コマンドラインインターフェースで nessuscli ユーティリティを使用 して特 定の設 定を変更 できます。
lTenable Vulnerability Management でエージェント 設定を変更するには、Tenable Vulnerability
Management ユーザーガイド のエージェント 設定を参照 してください。

lTenable Nessus Manager でエージェント 設 定を変 更するには、Tenable Nessus ユーザーガイド のエージェント 設定の変 更 を参 照 してください。

lnessuscli ユーティリティからエージェント の設 定を変 更するには、Tenable Nessus Agent CLI コマ
ンド を参 照してください。

詳細設 定エージェント のコマンドラインインターフェースから詳 細設 定を行 うことで、エージェント を手動 で設定 できます。システム全 体のエージェント 設 定の中 には、Tenable Nessus Manager の詳 細設 定 または Tenable- 85 -

Vulnerability Management の [Linked Agents] (リンクされたエージェント ) タブから変更 できるものもあります (詳 細 は、Tenable Vulnerability Management ユーザーガイド のエージェント の設定を参 照 してください)。Nessus Agent は、入力された値 を検 証 して、有 効 な設定のみを許可 します。

Tenable Nessus Agent の詳 細 設 定
nessuscli ユーティリティを使 用 して、コマンドラインインターフェースで次のエージェント 設 定が可 能 です。
コマンド # nessuscli fix --set setting=value を使用 します。詳細 は、Tenable Nessus Agent
CLI コマンドを参 照してください。
ヒント : 多 数 のエージェント (10,000 以 上 ) を抱えるお客様の場 合、agent_merge_audit_trail、agent_
merge_kb、agent_merge_journal_mode、および agent_merge_synchronous_setting の設定を変 更 することができます。これらの設定を変 更すると、エージェント のスキャン結果 のマージにかかる時間 が大 幅に短 縮されます。推奨 される設定 については、次の表の説明を参照してください。

名前

設定

説明

デフォルト

有 効 な値

Agent Update

agent_(Tenablega

ga: 一 般公開 (GA)Plan (エージェupdate_Vulnerability

され次第 、自 動 的

ント アップデー

channelManagement にリンに最新 の Agent

クされたエージェント

バージョンへと更 新のみ)されます。注 意 : こト プラン)

エージェント アップ
デート プランを設定
して、エージェント が自動的にアップデー
ト するバージョンを指定します。
注 意 : Tenable
Vulnerability
Management にリンクされているエー
ジェント の場合は、エージェント のnessuscli ユー- 86 -の日 付は通常 、バージョンが一般公開 された日から1 週間後 です。重大なセキュリティ問
題に対 処 するためのバージョンの場
合は、Tenable から直ちに公開 される場 合があります。
ea: 早 期アクセス(EA) 用にリリースされ次 第、自動 的 に

名前

設定

説明

デフォルト

有 効 な値
最新 の Agent バー

ティリティからagent_update_channel コマンドを実行する必要 があります。Tenable
Nessus Managerにリンクされている
エージェント の場
合は、Tenable
Nessus Managerの nessuscli
ユーティリティからagent_update_channel コマンドを実行する必要 があります。

ジョンへとアップデー
ト します。通 常 、一般公 開 よりも数週間早 いタイミングです。
stable:自 動的 に
最新 の Tenable
Nessus Agent
バージョンに更 新しません。Tenable が設定 した、Tenable
Nessus Agent の古いバージョンを維持します。これは
通常 、最 新 の一般公 開 バージョン
よりも 1 リリース前のものとなりますが、7.7.0 よりも前のバージョンにはなりません。Tenable
Nessus Agent が新しいバージョンがリリースすると、
エージェント はソフ
ト ウェアバージョンをアップデート しますが、最新 のリリースよりも前 のバージョンに留 まります。

Alwaysstrict_この機能 を有 効にす- 87 -noyes または no

名前

設定

説明

Validate SSL

certificate_

ると、初 期リモート リ

Servervalidation

ンク中 であっても、Certificates

SSL サーバー証明(SLL サーバー

書を常 に検証します

証明 書を常 に(マネージャーが信 頼

検証 する)

できるルート CA をデフォルト

有 効 な値✕

yes または no

900

299 より大 きい整使用する必要 があります)。
Automatic

update_

この機能 を有 効にす

Hostnamehostname

ると、エンドポイント

Update (ホス上のホスト 名 が変更

ト 名の自 動されたとき、新しいホアップデート )スト 名がエージェントのマネージャーで更新されます。カスタムのエージェント 名が上書きされないようにするために、この機
能はデフォルト で無効になっています。

Connection

connection_(Tenable

Status Checkstatus_check_

Vulnerability

Time (接 続 ス

timeManagement にリンテータスのクされたエージェント

チェック時 間 )のみ)

数

オフライン時にエージェント が接続ス
テータスをチェックする頻度 を秒単位 で設定します。
Days To Keep

day_to_keep_(Tenable14- 88 -

7 よりも大 きい整

名前

設定

説明

デフォルト

Unusedunused_Vulnerability

Plugins (未使plugins

Management にリン用のプラグイン

クされたエージェントを保持 する日のみ)

数)

有 効 な値数

エージェント が未 使用のプラグインセットを削除 するまでの期
間 (日数 ) を決定 します。
たとえば、この設定を14 に設定し、エージェント が 14 日 以
上スキャンにプラグインセット のいずれかを使用しなかった場
合、エージェント はそのプラグインセット を削除します。

Detectdetect_

この設定 に関係 な

Duplicate

duplicates

く、エージェント は、Agents (重 複MAC アドレスの現在エージェント をのリスト をエージェン

検出 する)

ト がリンク時 に保持していた MAC アドレスと比較 することで、重複しているエー
ジェント かどうかを自動的にチェックしま
す。Tenable
Vulnerability
Management または- 89 -noyes または no

名前

設定

説明

デフォルト

Tenable Nessus
Manager 8.11.1 以降にリンクされている
エージェント の場合、マネージャーは同 じ
チェックを実 行して重複するエージェント を特定します。
無効にすると、エージェント は自動的に重複をbackend.log に記録しますが、アクショ
ンは実 行 されません。
有効にした場合 、エージェント またはマネージャーのいずれかが重 複するエー
ジェント を検出すると、エージェント は自動的にそのリンクを解除し、識別 情報(例: UUID) を再生 成
して、再度 リンクできるようにします。このイベント は、
backend.log に記録されます。エージェ
ント を手動 で再リンクする必要があります。

- 90 -

有 効 な値

名前

設定

説明

デフォルト

有 効 な値

Disable Coredisable_core_

yes に設 定すると、

noyes または noUpdates (コアupdates

エージェント は自動アップデート をコアアップデート をリク

無効 にする)エスト しません。ただし、ソフト ウェアのバージョンは手動でアップグレードできます。エージェント は引
き続きプラグインアッ
プデート を受 信できます。

Log File

logfile_max_

Tenable Nessus

Tenable1 から 1000 までのMaximum

files

Agent がディスク上

Nessus — 100

整数

Files (ログファに保持する

イルの最 大nessusd.message

ファイル数 )s ファイルの最大 数を決定 します。

TenableNessusAgent — 2

nessusd.message
s ログファイル数 が指定された値 を超えると、Tenable Nessus
Agent は最も古いログファイルを削除 します。
Log File

logfile_max_

nessusd.message

Tenable1 から 2048 までのMaximumsize

s ファイルの最大 サイ

Nessus —512

整数

Size

ズ (MB) を決 定 しま
す。ファイルサイズが最大サイズを超えると、Tenable Nessus
Agent は新しいメッセージログファイルを- 91 -

TenableNessusAgent — 10

名前

設定

説明

デフォルト

有 効 な値1

1～ 365 の整数

サイズ

size — Tenable

作成します。
Log File

logfile_Tenable Nessus

Rotationrotation_time

Agent メッセージログ

Time

ファイルのローテー
ションの頻度を日 数で指 定します。

Log File

logfile_rot

Rotation

Tenable Nessus
Agent がメッセージロ

Nessus Agent は、グファイルをローテー

logfile_max_

ションする基 準が、size で指 定されローテーションの最たサイズに基 づいて大サイズと時間 のど

ログファイルをローちらであるかを決定

テーションします。

します。

time — Tenable
Nessus Agent は、
logfile_rotation_time
で指 定された時 間に基づいてログファ
イルをローテーショ
ンします。

Long Term

long_term_(Tenable

Uploadupload_Vulnerability

Intervalinterval_Management にリンSeconds (長seconds

クされたエージェント

期アップロード
間隔 の秒 数)180のみ)
スマート スキャン結果のアップロードを次回試行するまでエージェント が待機する
秒数を設定します。

- 92 -

59 よりも大 きい整
数

名前

設定

説明

デフォルト

有 効 な値

Maximum

Maximum_

エージェント が 1 日に10

整数 の 1 〜 48

Scans Per

scans_per_day

つき実行 できる最 大

104 よりも大 きい整

Day (一日 あた

スキャン数を設 定し

りの最大ス

ます。

キャン数 )
Minimummin_(Tenable

Metadata

metadata_

Vulnerability

Updateupdate_Management にリンIntervalinterval

クされたエージェント

数のみ)
エージェント がメタデータの Tenable
Vulnerability
Management へのプッシュを次 回試行するまでの最 小 分
数を決 定します。
注 意 : エージェント
は、メタデータが変更された場合にのみ、メタデータを
TenableVulnerability
Management にプッシュしようとします。

Nessus Dump

dumpfile_

ディスク上に保存 さ

File Max Files

max_files

れる nessusd.dump(Nessus ダン

ファイルの最 大 数をプファイルの最設定します。この設大ファイル数)

定では、ファイル数が指定された値を超 え- 93 -

100

1 から 1000 までの
整数

名前

設定

説明

デフォルト

有 効 な値5121 から 2048 までのると、最 も古 いダンプ
ファイルが削 除されます。
Nessus Dump

dumpfile_

nessusd.dump ファ

File Max Size

max_size

イルの最 大サイズ

整数(MB) を設 定します。
ファイルサイズが最大サイズを超 えると、新しいダンプファイルが作成されます。
Offline Agent

offline_agent_(Tenable

Scan Trigger

scan_trigger_

Vulnerability

Execution

execution_

Management にリンThreshold (オthreshold_

クされたエージェント

フラインエーdays

のみ)

ジェント スキャ

14

ゼロより大 きい整数

ルールベースのスキャ

ント リガーを実ンが起 動されなくな

行するしきいるまでのオフラインの値)

日数を決定します。

Pluginplugin_load_

CPU 使用 率 に影響

Compilation

performance_

を与える、プラグイン

Performancemodeのコンパイルパフォー(プラグインのコ

マンスを設 定しま

ンパイルパ

す。パフォーマンスを

フォーマンス)low にするとプラグインのコンパイル速度が低 下しますが、
エージェント の CPU
消費量は減少 します。パフォーマンスを
medium または high- 94 -

highlow、medium、または high

名前

設定

説明

デフォルト

有 効 な値high

low、medium、まにすると、プラグインのコンパイル完 了までの時間が短 縮 されますが、エージェン
ト の CPU 消費 量 は増加します。詳細 については、エージェン
ト の CPU リソースコ
ント ロールを参照 してください。
Scan

scan_

CPU 使用 率 に影響

Performance

performance_

を与える、スキャンの(スキャンパmode

パフォーマンスを設

フォーマンス)たは high

定します。パフォーマ
ンスを low にするとス
キャン速 度 が低 下し
ますが、エージェントの CPU 消費 量は減少します。パフォーマ
ンスを medium または high にすると、ス
キャン完 了 までの時
間が短縮されます
が、エージェント のCPU 消費 量 は増加します。詳細 については、エージェント のCPU リソースコント
ロールを参 照してくだ
さい。

Skip Assetskip_asset_

TenableObservation

observation_

Vulnerabilityno- 95 -

yes または no

名前

設定

説明

デフォルト

On Update

on_update

Management にリン(アップデート

クするときに、エー

時に資 産 観ジェント が資産メタ

察をスキップす

データのみを更 新する)るかどうかを決定しま

有 効 な値す。この設 定を noに設定すると、エージェント は Minimum
Metadata Update
Interval に基づいて新しい資 産メタデー
タで Tenable
Vulnerability
Management を更新します。
SSL Cipher

ssl_cipher_list

エージェント アウト バ

compatiblellegacy - 旧

List (SSL 暗ウンド接続に使 用す

式の API と号リスト )

る暗号 リスト を設定

統合 できるします。

暗号 のリスト。
lcompatible- 安 全 な暗号のリスト 。
最新 のすべての暗 号が含まれていない場合 があります。

lmodern - 最
新の最 も安
全な暗 号のリスト 。

- 96 -

名前

設定

説明

デフォルト

有 効 な値lcustom - カ
スタム
OpenSSL 暗号リスト 。有効な暗 号リスト の形式 に
ついては、
OpenSSL のドキュメントを参照 してください。

SSL Mode(SSL モード)

ssl_mode

サポート される TLS

tls_1_2

lcompat —の最 小バージョンでTLS v1.0 以

す。

上
l

ssl_3_0 SSL v3 以 上

ltls_1_1 TLS v1.1 以上ltls_1_2 TLS v1.2 以上Tenable Nessus Agent の安 全 な設定
nessuscli ユーティリティを使 用 して、コマンドラインインターフェースで次の安 全 な設定 が可 能 です。
コマンド # nessuscli fix --secure --set setting=value を使 用します。詳細 は、Tenable
Nessus Agent CLI コマンドを参 照 してください。
警 告 : ドキュメント にない --secure 設定の変更は Tenable でサポート されない設定 となるため推奨 していません。

- 97 -

設定説明

有 効 な値

auto_proxy(Windows のみ) 有 効 な場 合 、エージェント は Web Proxy Autotrue また

Discovery (WPAD) を使 用 して Proxy Auto Config (PAC) ファイルを

は false取得し、プロキシを設 定します。この設 定 は、他のすべてのプロキ
シ設 定 に優 先します。
無効な場合 、エージェント は残 りのプロキシ設 定 をデフォルト にします。
ignore_

有効にした場 合 、エージェント は、設 定されたプロキシを使用 する

yes またはproxy

代わりに、10 回 失敗 するまでマネージャーへの直接接 続を試 行 しnoます。
無効にした場 合 、エージェント は、設 定されたプロキシを使用 して、3 回 失 敗 するまで接続 を試 行します。
プロキシ接 続 のフォールバックで説明されているように、この設定 は自動的に変 更されます。この設 定を手動 で設 定することもできます。ただし、いずれかの時 点で、エージェント が プロキシ接続 の
フォールバックで説 明されている条件 の 1 つを満たした場合 、エージェント は自 動 的に設定を変更します。
有効にすると、エージェント はプロキシを使用 してマネージャーに接true また続します。

は falseproxy

プロキシサーバーのホスト 名 または IP アドレス。

文 字列

proxy_port

プロキシサーバーのポート 番 号。

文 字列

proxy_auth(オプション) 認 証 を使用してプロキシに接続 する場合 は、認証ス

basic、

キームを指 定 します。

digest、

ms_proxyntlm、または autoproxy_

認証を使 用 してプロキシに接続 する場合、プロキシサーバーへの

文 字列 (スusername

アクセスと使 用が許 可され ているユーザーアカウント 名。

ペースがある場合 は、
引 用符 (")
を使用 しま- 98 -

設定説明

有 効 な値す)proxy_

プロキシで認 証 する場合 、ユーザー名に関連付けられたパスワー

password

ド。

文 字列

Tenable Nessus Manager の詳 細 設 定[Agents & Scanners] (エージェント とスキャナー) セクションで、以下に示す、Tenable Nessus Manager のシステム全 体 のエージェント 設定 が可 能 です。詳細は、Tenable Nessus ユーザーガイド の詳細設 定を参照してください。
再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必要

Agent Autoagent_auto_delete

Deleteエージェント がno

非アクティブにyes または

×

no

なってから
agent_
auto_
delete_threshold
で設 定されている期間が経過した後、エージェント が自動的 に削除されるかどうかを制 御します。
Agent Autoagent_auto_delete_agent_

Deletethresholdauto_- 99 -

60

1 から 365までの整 数

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必
要Thresholddelete がyes に設定されている場 合に、非 アクティ
ブなエージェン
ト が自動 的に削除されるまでの日数です。

Agent Autoagent_auto_unlink

Unlinkエージェント がno

非アクティブにyes または

×

no

なってから
agent_
auto_
unlink_threshold
で設 定されている期間が経過した後、エージェント が自動的 にリン
ク解 除されるかどうかを制御します。
Agent Autoagent_auto_unlink_

agent_

Unlinkthresholdauto_

Thresholdunlink がyes に設定さ- 100 -

30

30 から 90までの整 数

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必要

れている場 合に、非 アクティ
ブなエージェン
ト が自動 的にリンク解 除 されるまでの日数です。
注 意 : この値は、agent_
auto_
delete_threshold の値 より
少なくする
必要があり
ます。

Agentsagents_progress_

エージェントProgressviewable数がこの設定で表 示され

値を超 えるます。

と、スキャンでエージェント から情 報が収集されても、
TenableNessusManager は
エージェント の詳細情 報を- 101 -

100

これは整 数ゼロに設 定された場
合 、デフォ
ルト 値 の100 に戻り
ます。

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値

動が
必
要

表示しませ
ん。その代わりに、スキャン
が完 了したときに、スキャン
結果が収集されて閲覧 できることを示すメッセージが表 示されます。
Automaticallyagent_updates_from_

この機能 を有Downloadfeed

効にすると、

Agent

TenableUpdates

Nessusyes

yes または〇no

Agent ソフト
ウェアの新 しい更 新プログ
ラムが自 動でダウンロードされます。
Concurrent

cloud.manage.downloa

エージェント の

Agent

d_max

更新プログラSoftwareムを同 時にダ

Updates

ウンロードできる最大 数です。

- 102 -

10

整数

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値

動が必
要Include Audit

agent_merge_audit_

エージェント ス

Trail Data

trail

キャン結 果 の監査証 跡
データをメインのエージェント
データベースに含めるかどうかを決 めます。監査 証跡データを除外すると、エージェント ス
キャン結 果 の処理パフォー
マンスが大幅に向上します。
この設定 が[false] に設定されていると、個 別のス
キャンやポリシーの [Audit
Trail
Verbosity](監 査証跡の詳細) 設 定がデフォルト で[No audit- 103 -

false

true または false

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必
要

trail] (監査証跡 なし)に設定されます。
Nessus 8.3
以降で利用
できます。
Include KB
Data

agent_merge_kb

メインのエージェント データ
ベースにエージェント のス
キャン結 果 のKB データを含めます。KB
データを除 外すると、エージェント スキャン結 果の処理パフォーマンスが大幅に向上します。
この設定 が[false] に設定されていると、個 別のス
キャンやポリシーの- 104 -

false

true または false

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必
要[Include theKB] (KB を含む) 設定 がデ
フォルト で[ExcludeKB] (KB を含
まない) に設定されます。
Nessus 8.3
以降で利用
できます。
Resultagent_merge_journal_

エージェント のProcessing

mode

結果を処理

Journal Mode

するときに使用するジャー
ナルモードを設定します。
環境によっては、これによって処理パ
フォーマンスが向上する場
合がありますが、クラッシュが発 生した場
合にスキャン
結果が破損するリスクもあ- 105 -

DELETEMEMORYTRUNCATE
DELETE

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必要ります。詳 細は、sqlite3 のドキュメント を参照してください。
Nessus 8.3
以降で利用
できます。
Resultagent_merge_

エージェント のProcessing

synchronous_setting

結果を処理

Sync Mode

するときに使用するファイ
ルシステムの同期モードを設定します。
この設定 をオフにすると処理パフォーマンスは大 きく
向上します
が、クラッシュが発 生した場
合にスキャン
結果が破損するリスクもあります。詳 細は、sqlite3 のドキュメント を- 106 -FULLOFFNORMAL
FULL

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値動が必要参照してください。
Nessus 8.3
以降で利用
できます。
Track Unique
Agentstrack_unique_agents

この機能 を有効にすると、
TenableNessusManager はリ
ンクしようとしているエージェント の MAC ア
ドレスが、同じホスト 名 、プラット フォー
ム、ディスト リ
ビューションを持つ、リンク
済みエージェ
ント の MAC ア
ドレスと一致するかどうかをチェックします。Tenable
NessusManager は
エージェント の- 107 -noyes または
no

×

再
名前

設定

説明

デフォル
ト

起
有 効 な値

動が
必
要

重複があれ
ばそれを削除します。

フリーズウィンドウ
エージェント のフリーズウィンドウは、Tenable Vulnerability Management と Tenable Nessus Manager で異なる動作 をします。
Tenable Vulnerability Management の場 合
フリーズウィンドウにより、Tenable Vulnerability Management がすべてのリンクされたエージェント の特定 のエージェント アクティビティを一時 停止 する期間をスケジュールできます。アクティビティには、次のものが含まれます。
lソフト ウェアアップデート の受 信と適 用

フリーズ期間を使用すると、リンクされているエージェント は次の動作を行 うことはできません。
l

プラグインアップデート の受 信lエージェント スキャンのインスト ールまたは実行

Tenable Nessus Manager の場 合
フリーズウィンドウにより、Tenable Nessus Manager がすべてのリンクされたエージェント の特定 のエージェン
ト アクティビティを一 時停 止 する期 間をスケジュールできます。アクティビティには、次 のものが含まれます。
l

ソフト ウェアアップデート の受 信と適 用lプラグインアップデート の受 信lエージェント スキャンのインスト ールまたは実行

フリーズウィンドウを管 理 するには、Tenable Nessus および Tenable Vulnerability Management の各ユー

ザーガイド で説明されている手 順 を使 用 します。

- 108 -

log.json 設 定の変 更Tenable Nessus Agent の log.json 設 定の変更については、Tenable Nessus ユーザーガイド のログ設 定を変更 するの log.json を変 更 するセクションを参照してください。
注 意 : www.server.log に関連 するドキュメント は Tenable Nessus Agents に適 用されません。

プロキシ設 定プロキシ設 定を行 う
次のいずれかの方法 で、プロキシを介 してマネージャー (Tenable Nessus Manager または Tenable
Vulnerability Management) に接 続 するように Tenable Nessus Agent を設 定できます。
l

初期 インスト ールおよびリンク中
詳細 については、Tenable Nessus Agent CLI コマンド のリンクコマンドのプロキシ設定 を参 照 してください。

lインスト ールしてリンクした後
初期 リンク後、コマンドラインでプロキシを設 定したり、既 存のプロキシ設 定 を変 更したりできます。
詳細 は、Tenable Nessus Agent の安全な設 定を参 照してください。

プロキシ接 続のフォールバック
エージェント がマネージャーに接 続 するためにプロキシを使 用している場 合 、接続 に失敗 した場 合に備えてプロキシフォールバックが組 み込 まれています。
自動 フォールバックプロセスは次 のように行 われます。
1. エージェント がプロキシ経 由でマネージャーにアクセスできず、3 回 続 けて失 敗する場 合、エージェン
ト はマネージャーへの直接 接 続 を試 みます。
2. エージェント がマネージャーに直 接 接続されると、エージェント は 安 全な設 定 である ignore_proxy
を自 動 的に yes に設 定します。ユーザーがこの設 定を有 効にすると、エージェント は、以 降の試 行でプロキシを使用せずに、マネージャーに直接 接 続します。

- 109 -

3. ただし、エージェント がマネージャーに直接 10 回続けて接続 できない場合、エージェント はプロキシ
経由 の接 続を再試行 します。エージェント がプロキシ経 由の接 続 に成功 すると、エージェント は自動的 に ignore_proxy を no に設 定します。これは、エージェント が以降 の試 行でプロキシを使 用して接続 することを意味します。
4. このプロセスは、エージェント がプロキシへの接 続に失 敗 するか、マネージャーへの直 接接続 に失敗
するかによって、必要に応じて繰 り返されます。
安全 な設定 である ignore_proxy を yes または no に変 更 して、自 動フォールバックプロセスをいつでも中断 できます。これにより、エージェント は、ユーザーの設 定内容に応 じて、直接接 続 かプロキシ経 由の接続 を試 行 します。ただし、いずれかの時 点で、エージェント が上 記のいずれかの条 件 を満たした場 合(プロキシ経 由 で 3 回続けて接 続できないなど)、自 動フォールバックプロセスが再開します。

- 110 -

追 加 のリソース
このセクションには、次のリソースが含 まれています。
l

大規 模 デプロイメント のサポート

lTenable Nessus Agent インスト ール済みの Windows または Linux マスターイメージの作 成lログを管理するl

Tenable Nessus サービスlTenable Nessus Agent CLI コマンドl

プラグインのアップデート

l

ルールベースのト リガーファイルの場 所

NIAP に準 拠 する Tenable Nessus Agent の設 定
Tenable Nessus Agent を National Information Assurance Partnership (NIAP) 標 準に適 合させる必要がある場 合 、関 連する設定 が NIAP 標 準 に準拠 するように Tenable Nessus Agent を設 定できます。

始める前に
l

Tenable Nessus Agent が Tenable Nessus Manager にリンクされている場合 は、Tenable Nessus
Manager の CA 証明書 が custom_CA.inc または known_CA.inc にあることを確 認してください。

lTenable Nessus Agent がインスト ールされているホスト のオペレーティングシステムが提 供 するフル
ディスク暗 号化 機 能が有効 になっていることを確認 します。

NIAP に準 拠 するよう Tenable Nessus Agent を設 定するには、次 の手順 に従 います。
1. コマンドラインインターフェースからエージェント にアクセスします。
2. コマンドラインインターフェースを使 用して NIAP モードを有効 にします。
l

コマンドラインで、次のコマンドを入力 します。
nessuscli fix --set niap_mode=enforcing- 111 -

Linux の例/opt/nessus_agent/sbin/nessuscli fix --set niap_mode=enforcing
Tenable Nessus Agent は以 下 を実 行します。
注 意 : Tenable Nessus Agent が NIAP モードの場合 、Tenable Nessus Agent が NIAP モードのままである
限 り、Tenable Nessus Agent は以下の設定 をオーバーライドします。NIAP モードを無効 にすると、Tenable Nessus Agent は以 前 の設 定に戻ります。
l

SSL モード (ssl_mode) を TLS 1.2 (niap) でオーバーライドします。

l

SSL 暗号リスト (ssl_cipher_list) の設定 を、NIAP 準 拠 の暗 号 (niap) でオーバーライド
します。そうすると、次の暗号 が設定されます。

ll

ECDHE-RSA-AES128-SHA256l

ECDHE-RSA-AES128-GCM-SHA256l

ECDHE-RSA-AES256-SHA384l

ECDHE-RSA-AES256-GCM-SHA384

厳 格な証 明書検 証 を使 用します。
l

中間証 明 書に CA 拡 張 がない場合 、証明 書チェーンを許 可しません。

l

署名 CA 証明書 を使用して、サーバー証 明 書を認 証 します。

lログインにクライアント 証 明書 認証を使用 する際に、クライアント 証 明書を認 証 します。

lOnline Certificate Status Protocol (OCSP) を使 用 して、CA 証明 書の失効 ステータスをチェックします。証 明書が取 り消されると、証 明 書 は無 効 としてマークされます。応 答がない場 合 、証 明 書は無効 としてマークされず、他の方法で有 効な場合はその使 用が許可 されます。

l

証明書 に、known_CA.inc にある有効で信 頼できる CA があることを確認 します。
Tenable Vulnerability Management および plugins.nessus.org の CA 証 明書 は、プラグインディレクト リの known_CA.inc にすでにあります。

- 112 -

lTenable Nessus Manager にリンクされている場 合は、Tenable Nessus Manager の CA
証明書 が custom_CA.inc または known_CA.inc にあることを確認してください。

lエージェント 通信およびデータベース暗 号化 で最新 の検 証 済み FIPS モジュールを強 制 実行
します。FIPS モジュールはスキャン暗号 化に影響 しません。
注 意 : NIAP モードを強 制実 行 せずに、エージェント nessuscli ユーティリティから FIPS モジュールを
強 制実 行 することができます。詳細 は、Tenable Nessus Agent CLI コマンドを参 照してください。

Tenable Nessus Agent インスト ール済みの Windows または Linux マス
ターイメージの作 成Windows または Linux 用 のマスターイメージを作成するときに、エージェント のインスト ールを含 めることができます。ただし、ホスト ごとに設 定する必要 があるファイルおよびレジスト リ設定 があります。ファイルを削除および変 更 することで、エージェント は再起動後 に新しいファイルを生 成します。ホスト がこれらのファイ
ルを含 めてイメージ化され、いくつかのイメージ化 されたエージェント をリンクしようとすると、409 UUID エラー
を受け取 ります。
次の手 順を実 行する必要 があるのは、イメージで使 用されているエージェント がすでに Tenable
Vulnerability Management または Tenable Nessus Manager にリンクされている場 合のみです。
注 意 : 以 降 のステップは管理者 権限 または root 権 限を必 要とします。

マスターイメージを作 成 するには
1. エージェント サービスを停止します。
2. 次のように、prepare-image コマンドを実行します (例として Linux 構 文を使用 )。
./nessuscli prepare-image
注 意 : イメージを取得するまで、ホスト でエージェント サービスを再起 動しないでください。エージェント サー
ビスを再 起動すると、prepare-image コマンドがパージした UUID、タグ、ファイルが再 生成されます。

これでエージェント のインスト ールは、マシンイメージで使 用できる状態 になります。

その他のリソース- 113 -

l

大規 模 デプロイメント のサポート

lJSON を使用 した Tenable Nessus Agent のデプロイ

お客 様のケーススタディ
このお客 様のケーススタディでは、実 際のお客様 の環境 における Tenable Nessus Agent デプロイメント を
紹介 します。これらのケーススタディでは、主要な設定 とデプロイメント の考 慮事 項に焦 点を当てて説 明
しています。
1. ACME 社 の環境 には 70,000 個 の資産 があります。ACME 社は Tenable Vulnerability
Management プラット フォームを利用 してエージェント スキャン操 作 を管 理し、単一の Tenable
Security Center インスタンスを使 用 して 40 個のスキャナーを管 理し、ネット ワークと Tenable
Nessus Agent の両 方の評価 結 果を統 合して分析しています。
ACMElTenable Nessus Agent 運用 層 (Tenable Vulnerability Management)lレポート 層 (Tenable Security Center)

2. Initech 社 は、30 以 上 の子 会 社 、40,000 人のユーザー、60,000 個 のデバイス、および 15 万以 上のアクティブ IP アドレスを擁 するグローバル企業 です。Initech は、Tenable Nessus Agents を管 理するために Tenable Vulnerability Management と Tenable Nessus Manager のハイブリッドソリュー
ションを使 用 しました。Tenable Vulnerability Management はユーザーワークステーションの Tenable
Nessus Agent スキャン操 作に、Tenable Nessus Manager はサーバーおよびその他 の恒 久的なオ
ンプレミスインフラに使用されました。その後、Initech 社は、すべての Tenable Nessus Agent スキャ
ンデータを Tenable Security Center にインポート し、統 合されたレポート 作 成 と分 析を実行しています。
Initech 社
lエージェント のデプロイメント (Tenable Nessus Manager と Tenable Vulnerability
Management)lレポート および従 来のネット ワークスキャン (Tenable Security Center)

3. Sprocket 社は、Tenable Nessus Agent の管理 とローカルのスキャンおよび監査情 報、リモート ネッ
ト ワークスキャン機 能、および Tenable Vulnerability Management API を介したサードパーティアプリ
ケーションとの統合 に Tenable Vulnerability Management を利 用しました。
Sprocket 社のケーススタディ- 114 -

ACME 社 のケーススタディ
ACME 社 は、単一の Tenable Security Center インスタンスを使用して 40 個のスキャナーを管 理し、約1,200 店舗 のネット ワーク脆 弱 性評 価を毎月実 行していました。
ACME 社 は、既存の運用モデルをアップデート して、Tenable Nessus Agents を利用 して約 70,000 個 の資産 の評価 結 果を収 集 したいと考 えていました。ACME 社は、Tenable Vulnerability Management プラット フォームを使用 するハイブリッドアプローチを実装 し、エージェント スキャン操作 を管 理し、エージェント ス
キャン結 果 を Tenable Security Center にインポート して、ネット ワークとエージェント の両 方の評価 結 果 を統合 して分 析 とレポート 作成 を行 いました。
このケーススタディは、ACME 社 が Tenable Nessus Agents のデプロイを進める際 に実装 された、設 定 に関する主な考慮事 項 をハイライト しています。

目的
Tenable Nessus Agent プロジェクト の成 功を測定 するために ACME 社が定めた主 な目標 は、スト アイン
フラ全体 でエージェント を利 用して詳 細な資産データを収集するのと同時に、従 来のリモート ネット ワーク
スキャンで経 験 していた現在のネット ワーク遅延を軽 減することでした。
スキャン範 囲l

全店 舗 の資産 に対 するローカルホスト スキャンを、エージェント を使用して実装 し、現 在の非 認 証
ネット ワークアクティブスキャンよりも詳 細な脆弱性 評価 結果を、本部 のデータセンターから店舗に提供 する。

l

エージェント スキャンを使 用して ACME 社 のネット ワークへの影響を軽減し、より頻繁 にスキャンを実行できるようにする。

ソリューション
このエンタープライズ環境には、Tenable Vulnerability Management と Tenable Security Center のハイブ
リッドデプロイメント が使 用 されました。エージェント のスキャン操 作には Tenable Vulnerability
Management が必要 でした。高 度 な分 析とレポート には既 存 の Tenable Security Center インフラが使用されました。Tenable Vulnerability Management をエージェント スキャン操 作に利用 することで、ACME
社はオンプレミスのソフト ウェアやハードウェアを必要とせずに、多数のエージェント と資 産に合 わせて自動的にスケールできます。

- 115 -

ACME 社 は、既存の Tenable Security Center インフラを利用 して、エージェント スキャンデータを Tenable
Vulnerability Management から Tenable Security Center にインポート し、統合 されたレポート 作 成 と分析を行 うことで、脆弱 性 管理 プログラムの目標を達 成しました。環境をレポート (Tenable Security
Center) と運 用 (Tenable Vulnerability Management) の 2 つの層に分 割するこのソリューションにより、
ACME 社 はプラット フォームのデータ取 得 機能に影 響を与えずに、エンドユーザーのレポート エクスペリエン
スを最適 化 することができました。
この複 層 デプロイメント の詳 細については、以下 を参照 してください。
lTenable Nessus Agent 運用 層 (Tenable Vulnerability Management)lレポート 層 (Tenable Security Center)

Tenable Nessus Agent 運用層 (Tenable Vulnerability Management)
運用 層 (Tenable Vulnerability Management) の主 な目 的は、エージェント 管 理とエージェント スキャンの操作 を実 行 することでした。
実 行 される機 能次のプロセスと使用が運 用 層 (Tenable Vulnerability Management) で行われます。
l

デプロイされたエージェント は Tenable Vulnerability Management にリンクしています。

lエージェント は、エージェント グループに編 成 されています。インスト ールプロセス中に、エージェント をエージェント グループに割 り当 てることができます。

lエージェント スキャンは、エージェント グループを介してエージェント から評価 結果 を取得するために確立 されます。

lTenable Vulnerability Management によって、エージェント のプラグインとバージョンのアップデート が
自動 的 に適用 されます。

l

お客 様は、エージェント のバージョンアップデート の自 動適 用をオプト アウト できます。

考慮事項
lエージェント は、ACME 社 の社 内ソフト ウェア配 布 プロセス (この場 合 は SCCM) を使 用 してデプロイさ
れました。

l

エージェント グループに含 まれるエージェント は、グループあたり 20,000 以下です (推奨 は 10,000)。
各エージェント グループのエージェント 数を制限 することで、Tenable Security Center がスキャン結- 116 -

果を正 常にインポート できるようになります。この制限 は、Tenable Security Center がデプロイメントの一 部である場 合 にのみ適 用されます。
lエージェント スキャンは、1 回につき 1 つのエージェント グループに制限 されていました。

lエージェント グループのメンバーシップは、企 業 の目 的 に応じて、機 能的 なゾーン (場 所、ロールなど)
別に確 立 されました。

lACME 社 は、エージェント デプロイメント の問題 (インスト ールの失敗、リンクの失敗 など) を帯域 外(ログクライアント 、スクリプト など) で監視 しました。

lエージェント はローカルの脆弱 性 評価のみを実行し、ネット ワークベースの評 価 (SSL または CGI ネッ
ト ワークベースの評価 など) は行 っていません。

lエージェント が https://cloud.tenable.com と通信できるように、ネット ワークとファイヤーウォールが設定されました。

層 の設 計設計 の前提 条 件は、以 下の通りです。
lACME 社 は、社内 プロセスとツールを利 用 して、Tenable Nessus Agent ソフト ウェアをデプロイします。

lACME 社 は 50〜70 のエージェント グループを確 立 します。

lACME 社 は 50～70 のエージェント スキャンを設定します。

レポート 層 (Tenable Security Center)
レポート 層 の主 な目 的は、Tenable Nessus Agent の運用層 (Tenable Vulnerability Management) から収集 されたデータの一元 的 な分 析 とレポート 作成を可能 にすることでした。ダッシュボード、分析、レポー
ト 、および Assurance Report Card がこの層で利 用されます。
実 行 される機 能次のプロセスと使用がレポート 層で行われます (Tenable Security Center)。
l

Tenable Vulnerability Management が「エージェント 対応 」スキャナーとして Tenable Security
Center に追加 されました。

lTenable Security Center のエージェント スキャンは、Tenable Vulnerability Management からエー
ジェント スキャン結果 を取得 するように設 定されました。

- 117 -

lTenable Security Center の分析 、ダッシュボード、レポート 、および Assurance Report Card が、すべての評 価タイプ (エージェント およびネット ワークスキャン) で利用されました。

考慮事項
lTenable は、Tenable Vulnerability Management がエージェント から評価 結果 を収集 する同 じ日に、Tenable Vulnerability Management からエージェント のスキャン結 果を取得するように Tenable
Security Center を設定することを ACME 社 に推 奨しました。このように設 定すると、Tenable
Security Center が確 実 に適 切な検 出 日をキャプチャできるようになります。

lTenable Security Center はエージェント の結果 をサポート するために追 加のデータリポジト リを必 要としました。リポジト リはそれぞれ 50,000 個 程度の資 産しか処 理できないため、Tenable は ACME
社がエージェント の結果 用に Tenable Security Center で 2 つの新 しいリポジト リを確 立することを推奨 しました。

lTenable Security Center 5.7 で導 入されたエージェント 固有 のリポジト リは、エージェント UUID を利用して、結果を Tenable Security Center にインポート する際の一 意性をより適切 に追 跡できるよ
うになっています。

lACME 社 は、エージェント スキャン結 果 のインポート から生じた追加 データのために CPU/RAM/HDD
がさらに必 要かどうかを判断するため、現 在 の Tenable Security Center ハードウェア設定 でフル分
析を実 行する必要がありました。

層 の設 計設計 の前提 条 件は、以 下の通りです。
lACME 社 は、エージェント のスキャン結果を保存する 2 つのリポジト リを確 立します。

lACME 社 は、50 〜 70 のエージェント スキャンを確立して、Tenable Vulnerability Management から
エージェント スキャン結果 を取 得 します。

lACME 社 は、2 つの新 しいリポジト リ間で各 エージェント スキャンの取 得を均等 に分散 します。

lACME 社 は現 在のインフラを評 価し、CPU/RAM/HDD がさらに必要かどうかを判断 します。

Initech 社 のケーススタディ
Initech 社 は、30 以 上 の子会 社 、40,000 人のユーザー、60,000 個のデバイス、および 15 万以 上 のアク
ティブな IP を擁 する大 規模 なフェデレーション環境 全体 に Tenable Security Center を複層 式でデプロイ
メント していました。Initech 社は、米 国各 地にある拠 点に 75 個を超 えるスキャナーを配置 し、毎 週ネット
ワーク脆 弱性 評価 を行 っていました。

- 118 -

Initech 社 のレポート 要件 には、システムの評価 をより頻繁に行うこと、およびユーザーのノート パソコンが持ち出 されている間 もリモート でデータを収 集 できるようにすることが含 まれていました。Initech 社はこのタスクを完 遂 するために 50,000 を超 える Tenable Nessus Agents をデプロイしました。そして、Tenable
Nessus Manager と Tenable Vulnerability Management の両 方でハイブリッドモデルを使用 し、分析 とレ
ポート のためにデータを Tenable Security Center にフィードしました。
このケーススタディは、Initech 社が Tenable Nessus Agents のデプロイを進める際に実 装された、設 定 に関する主な考慮事 項 をハイライト しています。

目的
Tenable Nessus Agent プロジェクト の成 功を測定 するために Initech 社 が定 めた主 な目 標 は、データをより頻繁 に収 集 し、リモート システムを評 価し、分散している大規 模なエンタープライズ全 体 の認証 情報 管理の負 荷を軽 減することでした。

ソリューション
このエンタープライズ環境のエージェント には、Tenable Nessus Manager と Tenable Vulnerability
Management のハイブリッドデプロイメント が使用 されました。Tenable Vulnerability Management はユー
ザーワークステーションの Tenable Nessus Agent スキャン操 作に必 須で、Tenable Nessus Manager は
サーバーおよびその他 の恒 久的 なオンプレミスインフラに使 用 しました。
lTenable Vulnerability Management のスケーリング機 能、アップタイム保 証、クラウドの柔軟 性 を利用して、絶えず変化 するワークステーション環 境の動的要 件に対 応 しました。

lオンプレミスソリューションに Tenable Nessus Manager を使用して、サーバーインフラなどのより機 密性の高いシステムのスキャンデータをより詳 細 に制御 できるようにしました。

Initech 社 は、既存 の Tenable Security Center インフラを利 用して、エージェント スキャンデータを
Tenable Nessus Manager および Tenable Vulnerability Management から Tenable Security Center にインポート して統 合されたレポート 作成 と分析を行 うことで、脆弱性 管理 プログラムの目標 を達 成 しました。
この複 層 デプロイメント の詳 細については、以下 を参照 してください。
lエージェント のデプロイメント (Tenable Nessus Manager と Tenable Vulnerability Management)lレポート および従 来のネット ワークスキャン (Tenable Security Center)- 119 -

エージェント のデプロイメント (Tenable Nessus Manager と Tenable Vulnerability
Management)
Tenable Nessus Manager の主な目 的 は、オンプレミスインフラ (10,000 システム) のエージェント 管理 とエージェント スキャン操作 を実 行することでした。一方 、Tenable Vulnerability Management はユーザー
ワークステーション (40,000 システム) のエージェント 管 理 とスキャン操作 に使 用されていました。
実 行 される機 能l

デプロイされたエージェント は、システムタイプに応 じて Tenable Nessus Manager または Tenable
Vulnerability Management にリンクされます。

lエージェント は、エージェント グループに編 成 されています。インスト ールプロセス中に、エージェント をエージェント グループに割 り当 てることができます。

lエージェント スキャンは、エージェント グループを介してエージェント から評価 結果 を取得するために確立 されます。

lTenable Nessus Manager または Tenable Vulnerability Management によって、エージェント のプラ
グインとバージョンのアップデート が自 動的に適 用されます。

考慮事項
lInitech の社内 ソフト ウェア配 布プロセス (このケースでは、Altiris、SCCM、Tivoli、Casper などを含む多 様なプラット フォーム) を使 用 して、エージェント がデプロイされました。

lエージェント グループに含 まれるエージェント は、グループあたり 2,000 以下です (推 奨は 1,000)。各
エージェント グループのエージェント 数を制限することで、Tenable Security Center がスキャン結 果を正常 にインポート できるようになります。この制 限は、Tenable Security Center がデプロイメント の一部である場 合 にのみ適 用 されます。

lエージェント スキャンは、1 回につき 1 つのエージェント グループに制限 されていました。

lエージェント スキャン配布 の効 率が向上したため、エージェント スキャンポリシーは、従来のネット ワー
クスキャンよりも詳細で冗 長でした。

lオンプレミス/サーバーエージェント のスキャンウィンドウは、個々の組織の要件 を満 たすために、各サ
ブ組 織 によって選択 されたカスタムタイムフレームに制限 されていました。

lユーザーワークステーションのスキャンウィンドウは最 大 24 時 間に設 定され、システムがいつオンになったかにかかわらず完全 にカバーされるように、毎日繰 り返されました。

- 120 -

lエージェント グループメンバーシップは、企 業別に確立され、場合によっては運用 層または他 の部署の要 件に合わせて確立 されました。

lInitech 社 は、エージェント のデプロイメント の問 題 (インスト ールの失 敗、リンクの失敗 など) を帯 域
外 (ログクライアント 、スクリプト など) で監 視 しました。

lエージェント はローカルの脆弱 性 評価のみを実行し、ネット ワークベースの評 価 (SSL または CGI ネッ
ト ワークベースの評価 など) は行 っていません。

l

ネット ワークとファイヤーウォールは、インフラのエージェント がオンプレミスの Tenable Nessus Managerとカスタムポート 経 由で通 信 し、ユーザーのワークステーションが https://cloud.tenable.com と通 信できるように設定 されていました。

層 の設 計設計 の前提 条 件は、以 下の通りです。
lInitech 社 は、社 内 プロセスとツールを利 用して、エージェント ソフト ウェアをデプロイします。

lInitech 社 は、Tenable Nessus Manager と Tenable Vulnerability Management の両 方に 30 〜
50 のエージェント グループを確立 します。

lInitech 社 は、Tenable Nessus Manager と Tenable Vulnerability Management の両 方に 30 〜
50 のエージェント スキャンを設 定 します。

lInitech 社 は、接 続 している 10,000 エージェント を処理 できるように Tenable Nessus Manager を設定しプロビジョニングします。

レポート および従来 のネット ワークスキャン (Tenable Security Center)
レポート 層 の主 な目 的は、Tenable Nessus Agents と既存の従 来のネット ワークスキャンから収集 された
データの一 元的 な分析 とレポート 作成 を可能 にすることでした。ダッシュボード、分 析、レポート 、およびAssurance Report Card がこの層 で利 用 されます。
実 行 される機 能次のプロセスと使用が Tenable Security Center で行われます。
lTenable Nessus Manager および Tenable Vulnerability Management が「エージェント 対応 」スキャ
ナーとして Tenable Security Center に追加 されました。

- 121 -

lTenable Security Center のエージェント スキャンは、Tenable Nessus Manager および Tenable
Vulnerability Management からエージェント スキャン結 果を取 得 するように設定 されました。

l

既存 のデータモデルに従 って、エージェント データが新しいリポジト リに配 置されました。

lTenable Security Center の分析 、ダッシュボード、レポート 、および Assurance Report Card が、すべての評 価タイプ (エージェント およびネット ワークスキャン) で利用されました。

考慮事項
lTenable Security Center はエージェント の結果 をサポート するために追 加のデータリポジト リを必 要としました。Tenable は、Initech 社 がエージェント 結果 用の複 数 の新 しいリポジト リを Tenable
Security Center で確 立することを推奨 しました。これは、同 じリポジト リでエージェント とネット ワークの評 価結 果を組み合 わせると、レポート 作 成 で問題 が発 生する可能 性があるためです。

lInitech 社 は、エージェント スキャン結 果のインポート から生 じた追 加データのために CPU/RAM/HD
がさらに必 要かどうかを判断するため、現 在 の Tenable Security Center ハードウェア設定 でフル分
析を実 行する必要がありました。

lエージェント 評価が実 行され、データが Tenable Security Center にインポート された後 、既 存 の従来のスキャン構 造 /ポリシーを評 価 して、データの重複を確実に抑 える必要 がありました。

層 の設 計設計 の前提 条 件は、以 下の通りです。
lInitech 社 は、エージェント のスキャン結果を保存 する複数 のリポジト リを確 立します。

lInitech 社 は、60 〜 100 のエージェント ジョブを確立 して、Tenable Vulnerability Management および Tenable Nessus Manager からエージェント スキャン結果を取得します。

lInitech 社 は、現 在 のインフラを評価 し、CPU/RAM/HDD がさらに必 要かどうかを判 断します。

lInitech 社 は、既 存 のスキャン構 造/ポリシーを評価して、データの重複 を抑 えます。

Sprocket 社のケーススタディ
Sprocket 社 は、ほぼすべての国 にオフィスと従業員 を持つグローバル企業です。同 社は規 模 が大 きく分
散した業 務 環 境のため、セキュリティソリューションを選 択 および設計 する際にいくつかの問 題 を抱えていました。そのため、以下を実現 するソリューションが必 要でした。

- 122 -

l

企業 のデータセンターのサーバー、クラウドサーバー (Azure と AWS)、および従業 員のノート パソコンなどの一 時的なデバイスを含 む、330,000 個のすべての資産でローカルスキャンを素 早く一 貫して即座 に実 行l

データセンターの能 力 が限界 に達していたため、ネット ワーク負 荷 を最低限 に抑えるlグローバルに分 散 した業 務 環境 と、企業のサイロ化 に対 応するための、認証 情報 管理の改善

l

IT ランドスケープ全 体で情 報 を管理 および監視するために使用 されるサードパーティアプリケーショ
ンと統 合 する機 能l

OT Security、Tenable Web App Scanning、コンテナ環 境の増 加に合 わせてスケールできるソリューション

ソリューション
Sprocket 社 は、環境 のすべての面を管 理するために Tenable Vulnerability Management を利用 しました。このソリューションでは、ローカルのスキャンおよび監査 情 報にはすべての Windows、Linux、macOS デバイスに Tenable Nessus Agents を使用 し、リモート のネット ワークスキャンには組 織の各 担当地域 にあるプライベート クラウドインスタンスに配置 された Tenable Nessus スキャナーを使 用 しました。Tenable
Vulnerability Management は、サードパーティおよびカスタマイズされたアプリケーションを利用 するために必要 な API も提 供 しました。
Sprocket 社 は、資産 機 能に基 づいて、各オペレーティングシステム用 にカスタマイズされたスクリプト を使用して Tenable Nessus Agents をデプロイしました。Tenable Nessus Agents は、オペレーティングシステ
ムと資産 所有 者 に基 づいて、130 グループの 1 つに割り当 てられました。

ログを管 理する
Tenable Nessus Agent には、次 のデフォルト のログファイルがあります。
lnessusd.dump — デバッグ出力 に使用されるエージェント のダンプログファイル。
nessusd.dump を設 定 する
1. エージェント のコマンドラインインターフェースを開 きます。
2. コマンド # nessuscli fix --set setting=value を使用して、次 の設 定を行 います。

- 123 -

有効な

名前

設定

説明

デフォルト

Nessusdumpfile_

ディスク上 に保 存さ

100

Dump File

max_files

れる

1000 まで

Max Files

nessusd.dump ファの整 数(Nessus ダ

イルの最大 数 を設

ンプファイル

定します。この設 定の最大ファでは、ファイル数がイル数)指定された値 を超値
1 からえると、最 も古いダ
ンプファイルが削除されます。
Nessusdumpfile_

nessusd.dump ファ

Dump File

max_size

イルの最大 サイズ

2048 ま(MB) を設 定します。

での整数

Max Size

512

1 から

ファイルサイズが最大サイズを超えると、新しいダンプファ
イルが作成されます。
詳 細は、詳細 設定 を参 照してください。
lnessusd.messages — エージェント メッセージのログ。
nessusd.messages を設 定 する
1. エージェント コマンドラインインターフェースを開きます。
2. コマンド # nessuscli fix --set setting=value を使用して、次 の設 定を行 います。
名前

設定

説明

デフォルト

Log File

logfile_Tenable Nessus Agent2- 124 -

有効な
値
1 から

Maximummax_files

がディスク上に保持 する1000 まFiles (ログファ

nessusd.messages ファ

での整

イルの最大

イルの最大数 を決定 し数

ファイル数 )

ます。
nessusd.messages のログファイル数が指定された値 を超えると、
Tenable Nessus Agentは最も古いログファイルを削 除 します。

Log File

logfile_nessusd.messages ファ

Maximum

max_size

イルの最大サイズ (MB)2048 まを決定 します。ファイルサでの整イズが最大サイズを超え

数

Size

10

1 から

ると、Tenable Nessus
Agent は新 しいメッセー
ジログファイルを作 成 します。
詳 細は、詳細 設定 を参 照してください。
lbackend.log — エージェント バックエンドのログ。
backend.log を設 定 する
log.json ファイルを編集 して、backend.log のログの場所とローテーション戦 略を設 定 できます。
また、新 しい reporters[x].reporter セクションを作 成してカスタムファイル名を作 成することにより、カスタムログを設定 することもできます。
1. テキスト エディターを使用 して、対応するディレクト リにある log.json ファイルを開 きます。
lWindows — C:\ProgramData\Tenable\Nessus Agent\nessus\log.jsonlLinux — /opt/nessus_agent/var/nessus/log.jsonlmacOS — /Library/NessusAgent/run/var/nessus/log.json- 125 -

2. backend.log の reporters[x].reporter セクションを編 集または作成し、次のパラメー
ターを追 加または変更 します。
パラメーター

デフォルト 値

変更可能か ？

説明

tags

log、info、warn、〇

ログに含 めるログ情報 を決定 します。

error、tracelresponse —ウェブサーバーのアクティビティ
ログlinfo — 特 定 のタスクの情報 ログlwarn — 特 定 のタスクの警告 ログlerror — 特 定のタスクのエラーログ

ldebug — デバッ
グ出力lverbose —debug よりも情報 の多 いデバッ
グ出力

ltrace — 出 力の追跡 に使用するログ- 126 -

type

非推 奨

file

ログファイルの種類を決 定します。

rotation_

サイズ〇

ログがファイルをアーカ
イブする基準が最 大

strategy循 環サイズ、または循 環時 間のどちらであるかを指 定 します。
有 効な値:
lsize — max_
size の規 定に従 い、サイズを基 準としてロー
テーションしますldaily —
rotation_time の規 定に従 い、時 間 を基 準としてロー
テーションしますrotation_

86400 (1 日 )〇循 環時 間 (秒 単
位 )。

time

rotation_strategy が dailyに設定されている場
合 にのみ使用します。
max_size

10485760 (10 MB)〇循 環サイズ (バイト 単
位 )。

- 127 -

rotation_
strategy が sizeに設定されている場
合 にのみ使用します。
max_files

2〇

ファイル循環で許容される最 大ファイル数。
最 大数 には、メイン
ファイルが含まれるため、10 の max_files
はメインファイル 1 つと
バックアップ 9 つで設定 されます。この数 を減 らすと、古いログはTenable Nessus によって削 除されます。

file

オペレーティングシス

yes

テムとログファイルにログファイルの場所と名 前。

応じて異なる

デフォルト の Tenable
Nessus Agent ログ
ファイルの名 前 を変
更 した場 合、一 部 の詳 細設 定でログ設
定 を変更 できなくな
る可 能 性があります。

context

非推 奨

true

ログのより多 くの文 脈
情 報を有 効にしま

- 128 -

す。
format非推 奨

system出 力の形式を決 定します。
lcombined —ウェブサーバーのログに使用 される形 式 で出力 を行いますlsystem — デフォルト のオペ
レーティングシス
テムのログ形 式
で出力 を行 います

3. log.json ファイルを保 存します。
4. エージェント サービスを再 起動 します。
エージェント により、ログ設定 が更新 されます。
lnessuscli.log — エージェント CLI のログ。

デフォルト のログの場 所
次の表 に、各オペレーティングシステムにおけるデフォルト のログファイルの場所 を示します。
オペレーティングシステム

ログの場 所

Windows

C:\ProgramData\Tenable\Nessus Agent\nessus\logsLinux/opt/nessus_agent/var/nessus/logs

macOS/Library/NessusAgent/run/var/nessus/logs

大規模 デプロイメント のサポート- 129 -

環境 変 数 または JSON 設 定ファイルを使 用 して、エージェント を自動 的に設 定 してデプロイできます。これにより、大 規 模 なデプロイメント を効 率化 できます。
インスト ール後 に初めてエージェント を起動すると、エージェント は最初 に環境 変数が存在 するかどうかをチェックし、次に config.json ファイルがあるかチェックします。エージェント の初 回起動 時 に、エージェント
はその情 報 を使 用してマネージャーにリンクし、環 境設 定を行 います。
注 意 : 情 報 が環 境変 数と config.json の両方にある場合、エージェント は両方 の情報 を使 用します。競 合 す
る情 報がある (たとえば、環 境変 数 と config.json で異 なるリンクキーを持 つ) 場 合 、エージェント は環 境 変 数の情報を使用 します。

詳細 については、次 を参照 してください。
l

環境 変 数l

JSON を使用 した Tenable Nessus Agent のデプロイ

環境 変 数環境 変 数 に基 づいて を設 定する場 合、が動作しているシェル環 境に次の環 境変数 をセット することができます。
インスト ール後 に初めてを起 動 すると、は最初 に環境 変 数が存 在するかどうかをチェックし、次 にconfig.json ファイルがあるかチェックします。

リンクの設 定リンクの設 定 には、次 の環 境変数 を使用 します。
l

NCONF_LINK_HOST: リンク先 となるマネージャーのホスト 名 または IP アドレスです。Tenable
Vulnerability Management にリンクするには、cloud.tenable.com を使用 します。

l

NCONF_LINK_PORT: リンクするマネージャーのポート 。

l

NCONF_LINK_NAME - リンク時 に使 用 するの名前 。

l

NCONF_LINK_KEY: リンクするマネージャーのリンクキー。

l

NCONF_LINK_CERT: (オプション) マネージャーへの接続 の検 証に使用 する CA 証 明 書。

l

NCONF_LINK_RETRY - (オプション) がリンク付けを再試行 する回 数 。

- 130 -

l

NCONF_LINK_GROUPS: (オプション) エージェント を追 加する 1 つ以 上の既存 のエージェント グループ。インスト ールプロセス中 にエージェント グループを指定 しない場 合 、Tenable Nessus Manager ま
たは Tenable Vulnerability Management で、リンクされたエージェント を後 からエージェント グループに追 加 できます。コンマ区 切 りリスト で複数 のグループをリスト にします。グループ名 にスペースが含まれる場 合は、リスト 全 体 を引 用 符で囲みます。例: "Atlanta,Global Headquarters"

JSON を使 用 した Tenable Nessus Agent のデプロイ
インスト ール後 に初めてエージェント を起動すると、エージェント は最初 に環境 変数が存在 するかどうかをチェックし、次に config.json ファイルがあるかチェックします。エージェント の初 回起動 時 に、エージェント
はその情 報 を使 用してマネージャーにリンクし、環 境設 定を行 います。

config.json ファイルで Tenable Nessus Agent をデプロイするには
1. config.json ファイルを設 定 します。
注 意 : config.json は ASCII 形式 である必要 があります。PowerShell などの一部のツールは、デフォル
ト で他 の形式 のテスト ファイルを作 成します。

Tenable Nessus Agent config.json ファイル形式の例:{ "link": { "name": "sensor name", "host": "hostname or IP address", "port": 443,
"key": "abcdefghijklmnopqrstuvwxyz", "ms_cert": "CA certificate for linking","retry": 1, "proxy": { "proxy": "proxyhostname", "proxy_port": 443, "proxy_username": "proxyusername", "proxy_password": "proxypassword", "user_agent":"proxyagent", "proxy_auth": "NONE" } }, "preferences": { "global.max_hosts": "500"} }Tenable Nessus Agent の config.json ファイル形式の例 (auto_proxy を使 用する場合){ "link": { "name": "sensor name", "host": "hostname or IP address", "port": 443,
"key": "abcdefghijklmnopqrstuvwxyz", "ms_cert": "CA certificate for linking",- 131 -

"retry": 1, "proxy": { "proxy": "proxyhostname", "proxy_port": 443, "auto_proxy":"true" } } }config.json の詳細
config.json の、各セクションの個 別設定 の書式を以下に記載します。
注 意 : すべてのセクションは省 略可能です。セクションを含 めない場 合、そのセクションは Tenable Nessus
Agent を初 めて起 動したときには設定 されません。その設定 は、後 で手動で設定できます。

リンク
link セクションでは、エージェント をマネージャーにリンクする際 の環 境設 定を設定 します。
設定

説明

名前

(オプション)
スキャナーの名前。
エージェント の名 前。エージェント の名 前を指 定しない場合 、名
前 はエージェント をインスト ールしているコンピューターの名 前 にデフォルト で設定されます。

host

リンク先となるマネージャーのホスト 名 または IP アドレスです。
Tenable Vulnerability Management にリンクするには、
cloud.tenable.com を使用します。

port

リンク先のマネージャーのポート 。
Tenable Nessus Managerの場合 : 8834 またはカスタムポート 。
Tenable Vulnerability Managementの場 合 : 443

keyManager から取 得 したリンクキー。

network(オプション、Tenable Vulnerability Management にリンクされた
エージェント のみ)- 132 -

設定

説明
リンク先にするカスタムネット ワーク。ネット ワークを指 定 しない場
合 、エージェント はデフォルト のネット ワークに属すことになります。

ms_cert(オプション)
マネージャーのサーバー証明書の検 証に使用 するカスタム CA 証
明 書。

groups(オプション)
スキャナーを追加する、1 つ以 上 の既 存のスキャナーグループ。コンマ区 切りリスト で複 数のグループをリスト にします。グループ名にスペースが含まれる場 合は、リスト 全体 を引 用符 で囲 みます。
例 : "Atlanta,Global Headquarters"
エージェント を追加 する 1 つ以上 の既 存 のエージェント グループ。
インスト ールプロセス中にエージェント グループを指定 しない場
合 、Tenable Nessus Manager または Tenable Vulnerability
Management で、リンクされたエージェント を後からエージェント グ
ループに追加 できます。
コンマ区 切りリスト で複 数のグループをリスト にします。グループ名にスペースが含まれる場合は、リスト 全体 を引 用符で囲みます。
例 : "Atlanta,Global Headquarters"
注 意 : エージェント グループ名 は、大 文字 と小 文字 を区 別し、正確に一 致する必要があります。エージェント グループ名 は引用符 で囲む必 要があります (例 : --groups="My Group")。

retry(オプション)
最 初の試 行が失 敗した場合に、エージェント がマネージャーへのリンクを試行 する回 数。
再 試行を環 境設 定を含めない場合 、エージェント は最初 の失- 133 -

設定

説明
敗 後にリンクを試 行しません。最 大 許 容値 は 10 です。
注 意 : 再試 行 を 1 に設 定すると、エージェント は最初の失敗から 30
秒 後 にマネージャーへのリンクを試 みます。次の再試行 は、前 回 の再 試 行の待 機の 2 倍の時間 になります。たとえば、再 試行を 5 に設 定 した場合、エージェント は、最 初の失敗 から 30 秒後 、2 番目の失 敗から 60 秒後 、3 番目の失敗から 120 秒後、4 番 目 の失敗
から 240 秒 後 、5 番目の失敗 から 480 秒 後にリンクを試 行します。

proxy(オプション)プロキシサーバーを使用している場 合は、次 のように記 載します。
lproxy : プロキシサーバーのホスト 名または IP アドレス。

lproxy_port: プロキシサーバーのポート 番号 。

lauto-proxy (Windows のみ): 有効 な場合、エージェント
は WPAD (Web Proxy Auto Discovery) を使用 してプロキシ
自動設 定 (PAC) ファイルを取得 し、プロキシを設定します。
この設 定は、他 のすべてのプロキシ設定に優 先 します。無効な場合、エージェント は残 りのプロキシ設定 をデフォルトにします。
注 意 : 設定 ファイルに auto_proxy を含 める場合 は、proxyおよび proxy_port パラメーターも指定 する必 要 があります。

lproxy_username: プロキシサーバーへのアクセスと使 用 が許可されているユーザーアカウント 名 。

lproxy_password: ユーザー名として指定したユーザーアカ
ウント のパスワード。

luser_agent: ユーザーエージェント 名 (プロキシで事 前 定
義されているユーザーエージェント が必要 な場 合)。

lproxy_auth: プロキシで使 用する認証 方法。

- 134 -

設定

説明

profile_uuid(オプション)
エージェント の割 り当 て先となるエージェント プロファイルの UUID
(例: 12345678-9abc-4ef0-9234-56789abcdef0)。詳 細 については、Tenable Vulnerability Management ユーザーガイド のエージェント プロファイルを参 照してください。

環境 設 定環境 設 定 セクションでは、詳 細 な設定を行います。詳 しくは、詳 細 設定を参 照してください。
2. ご使 用のオペレーティングシステム用 の Tenable Nessus Agent インスト ールパッケージをダウンロード
してください。
3. (Windows のみ) パッケージをインスト ールする前に、パッケージを変 更して、インスト ール後 にエー
ジェント が自動的に起動 しないようにする必 要があります。これは、エージェント サービスを初めて起動するときに、エージェント が config.json ファイルを読み取 る必 要があるためです。
パッケージを変 更するには、次 のコマンドを実 行します。
msiexec /i <agent package>.msi NESSUS_SERVICE_AUTOSTART=false /qn

4. Tenable Nessus Agent をインスト ールします。詳細 は、Windows での Tenable Nessus Agent のイ
ンスト ール、macOS での Tenable Nessus Agent のインスト ール、またはLinux での Tenable Nessus
Agent のインスト ールを参 照 してください。
5. (macOS のみ) Windows とは異 なり、Tenable Nessus Agent をインスト ールする前 に自 動起 動をオフにする方法はありません。したがって、config.json を追 加 してエージェント サービスを開 始する
前に、Tenable Nessus Agent を新 しい状態 にリセット する必要 があります。
macOS で Tenable Nessus Agent を新しい状態 に戻 し、config.json を検 証し、config.json
を適 切 なディレクト リに配置 するには、次のコマンドを実 行 します。
/Library/NessusAgent/run/sbin/nessuscli prepare-image --json=<path to json file>- 135 -

注 意 : Tenable Nessus Agent の自 動 起動 は、Linux パッケージではデフォルト で無効になっています。したがって、Linux を使用している場合 は、手順 3 と 5 を無視できます。

6. config.json がまだない場合 は、Tenable Nessus Agent ディレクト リに配 置します。
lWindows — C:\ProgramData\Tenable\Nessus Agent\nessus\config.jsonlmacOS — /Library/NessusAgent/run/var/nessus/config.jsonlLinux — /opt/nessus_agent/var/nessus/config.json

7. エージェント サービスを開始します。
8. オペレーティングシステムに応じて、次のコマンドを実 行して config.json 環境設 定を検 証 します。
lWindows — "C:\Program Files\Tenable\Nessus Agent\nessuscli.exe" fix -secure --list

lmacOS — /Library/NessusAgent/run/sbin/nessuscli fix --secure --listlLinux — /opt/nessus_agent/sbin/nessuscli fix --secure --list

設定 が正 常に適用されたことを確認したら、リンク処 理は完了です。

Tenable Nessus Agent チート シート
Tenable Nessus Agents を使 用 する利 点と制限
利点l

広いスキャン範 囲 と継続 的 なセキュリティを提供
oネット ワークベースのスキャンを実行することが実用的 ではないまたは可能 でない場 所 にもデプロイできます。

oインターネット に断 続的 に接続 する、ネット ワーク外の資産 やエンドポイント (ノート パソコンなど) を評 価できます。Tenable Nessus Agents は、ネット ワークの場所 に関係 なくデバイスをスキャンし、結 果をマネージャーに報告 できます。

- 136 -

l

認証 情 報 の管 理が不要o

実 行するのにホスト の認証 情 報を必 要としません。そのため、認証情 報が変更 されたときにスキャン設 定 の認 証 情報 を手動でアップデート したり、管 理 者、スキャンチーム、企 業内 で認証 情報 を共 有したりする必 要はありません。

oドメインコント ローラー、DMZ、認証局 (CA) ネット ワークなど、リモート の認証アクセスが望まし
くない場 所にもデプロイできます。

l

効率 的
o

ネット ワークスキャンのオーバーヘッドを全 体的に削減できます。

o

ローカルホスト リソースに依 存 するので、パフォーマンスオーバーヘッドが最小 ですみます。

oネット ワーク帯 域幅の必 要 量 が減 ります。これは、低 速ネット ワークで接 続されているリモート
設 備にとって重 要 です。

oセグメント 化 されたネット ワークまたは複雑 なネット ワーク上 にあるスキャンシステムの課題を排除 します。

o

Tenable Nessus Agents は再起動やエンドユーザーの操 作 なしで自動 的にアップデート でき
るため、メンテナンスが最 小 ですみます。

oネット ワークにほとんど影 響 を与えずに大 規模 な同時並行 エージェント スキャンを実行 できます。

l

デプロイメント とインスト ールが簡 単
o

すべての主要なオペレーティングシステムに Tenable Nessus Agents をインスト ールして操 作
できます。

o

ノート パソコンなどの一 時的 なエンドポイント を含 め、どこにでも Tenable Nessus Agents をイ
ンスト ールできます。

oMicrosoft の System Center Configuration Manager (SCCM) などのソフト ウェア管理システムを使 用して Tenable Nessus Agents をデプロイできます。

制限l

ネット ワークチェック — エージェント はネット ワークチェックを実行 するように設計 されていません。そのため、エージェント スキャンのみがデプロイされている場 合、特定 のプラグイン項目 はチェックされず、- 137 -

取得 もされません。従来 のスキャンとエージェント ベースのスキャンを組 み合わせれば、このギャップを埋めることができます。
lリモート 接続 — 特 にリモート 接 続でのみ実 行できることをエージェント は感知 しません。たとえば、DB
サーバーへのログイン、デフォルト 認 証情報 の試 行 (総 当たり)、ト ラフィック関連の列 挙などです。

Tenable Nessus Agents のシステム要 件
データフローおよびライセンス要 件については、ポート の要 件 とライセンス要 件を参照 してください。
ハードウェア
Tenable Nessus Agents は、軽量 で、最 小限 のシステムリソースのみを使 用します。一般 的 には、
Tenable Nessus Agent が使用する RAM は 50 ～ 60 MB です (すべてページング可 能 )。Tenable Nessus
Agent は、アイドル時には CPU をほとんど使用しませんが、ジョブ実行中 に使 用可 能な場 合 は CPU を
最大 100% まで使 用 するように設計 されています。
Tenable Nessus Agent のリソース使 用 量の詳細 については、ソフト ウェアフット プリント を参 照してください。
次の表 は、Tenable Nessus Agent の動 作に推 奨されるハードウェアの最 小要件 の概要 です。Tenable
Nessus Agents は、指定と同じ要 件 を満 たす仮想マシンにインスト ールできます。
ハードウェ
ア
プロセッ

最小要件
デュアルコア CPU 1 個

サー
プロセッ

> 1 GHz

サー速 度
RAM
ディスク

> 1 GBl

容量

Agents 8.0 以 降 : 3 GB 超 (ホスト オペレーティングシステムで使 用される容 量 は含まれていません)lAgents 10.0.x 以 降 : 2 GB 超 (ホスト オペレーティングシステムで使用 される容 量
は含 まれていません)- 138 -

ハードウェ
ア

最小要件
エージェント は、特定 のプロセス (plugins-code.db デフラグ処 理など) の実行中に、さらに多 くの容 量を必 要 とする可 能性 があります。

ディスク

15～50 IOPS

速度
ソフト ウェア
Tenable Nessus Agent のソフト ウェア要件 を確認するには、Tenable Nessus Agent のソフト ウェア要 件を参照 してください。

Tenable Nessus Agents のインスト ールとリンク
以下 は、コマンドラインを使 ったインスト ール手 順です。ユーザーインターフェースを使 用してインスト ールする方法 については、Windows での Tenable Nessus Agent のインスト ールまたはmacOS での Tenable
Nessus Agent のインスト ールを参 照してください。
Linux
パッケージをインスト ールします。
Red Hat/CentOS/Oracle Linux# dnf install NessusAgent-<version number>-es8.x86_64.rpm
Fedora# dnf install NessusAgent-<version number>-fc34.x86_64.rpm
Ubuntu# dpkg -i NessusAgent-<version number>-ubuntu1110_i386.deb
Debian# dpkg -i NessusAgent-<version number>-debian6_amd64.deb- 139 -

注 意 : エージェント をインスト ールした後に、/sbin/service nessusagent start コマンドを実 行 して手動 でサービスを開 始する必 要があります。

エージェント を Tenable Nessus Manager または Tenable Vulnerability Management にリンクします。
コマンドプロンプト で、nessuscli agent link コマンドを使用 します。例/opt/nessus_agent/sbin/nessuscli agent link--key=00abcd00000efgh11111i0k222lmopq3333st4455u66v777777w88xy9999zabc00--name=MyOSXAgent --groups="All" --host=yourcompany.com --port=8834

注 意 : リンクコマンド全体 をコピーして、同 じ行に貼り付 ける必要があります。そうしないと、エラーが表 示 されます。

Windows
コマンドラインから Tenable Nessus Agents をデプロイしてリンクできます。例
msiexec /i NessusAgent-<version number>-x64.msi NESSUS_GROUPS="Agent Group Name"NESSUS_SERVER="192.168.0.1:8834" NESSUS_
KEY=00abcd00000efgh11111i0k222lmopq3333st4455u66v777777w88xy9999zabc00 /qn

macOS
パッケージをインスト ールします。
1. Install Nessus Agent.pkg と .NessusAgent.pkg を NessusAgent-<version
number>.dmg から展開 します。
注 意 : .NessusAgent.pkg ファイルは通 常 macOS Finder では表示 されません。

2. ターミナルを開 きます。
3. コマンドプロンプト で、次のコマンドを入力します。
# sudo installer -pkg /<path-to>/Install Nessus Agent.pkg -target /エージェント を Tenable Nessus Manager または Tenable Vulnerability Management にリンクします。

- 140 -

1. ターミナルを開 きます。
2. コマンドプロンプト で、nessuscli agent link コマンドを使用 します。
例# sudo /Library/NessusAgent/run/sbin/nessuscli agent link--key=00abcd00000efgh11111i0k222lmopq3333st4455u66v777777w88xy9999zabc00--name=MyOSXAgent --groups=All --host=yourcompany.com --port=8834

Tenable Nessus Agent CLI コマンド
Tenable Nessus Agent の一 部 の機能 をコマンドラインインターフェースから実 行するには、Agentnessuscli ユーティリティを使 用 します。
注 意 : どの Agent nessuscli コマンドも、管 理者権 限を持つユーザーとして実行 する必 要があります。

Nessuscli の構 文
オペレーティングシ
ステム
Windows

コマンド
C:\Program Files\Tenable\Nessus Agent\nessuscli.exe<cmd> <arg1> <arg2>

macOS# sudo /Library/NessusAgent/run/sbin/nessuscli <cmd><arg1> <arg2>

Linux# /opt/nessus_agent/sbin/nessuscli <cmd> <arg1> <arg2>

Nessuscli のコマンド
コマンド

説明

情報 のコマンド# nessuscli help

nessuscli コマンドのリスト を表示 します。

# nessuscli -v

Tenable Nessus Agent の現 在のバージョンを表示 します。

- 141 -

コマンド

説明

# nessuscli fix --エージェント 設定 の現在 の値 を表示 します。

get <agent
setting>
バグレポート コマンド# nessuscli bugreport-generator

システム診断のアーカイブを作成 します。
引 数 を付 けずにこのコマンドを使 用すると、ユーティリティによって値を入力 するよう促 されます。
オプションの引 数
l--quiet - ユーザーにフィードバックを求 めることなく、バグレポート
ジェネレーターが実行されます。

l--scrub - バグレポート ジェネレーターによって IPv4 アドレスの最後の 2 つの 8 ビット がサニタイズされます。

l--full - バグレポート ジェネレーターによって追加データが収 集 されます。

画像 作成 コマンド# nessuscli
prepare-image

以 下 のように画像処理 前のクリーンアップを行います。
lエージェント がリンクされている場合 、解 除します。

lエージェント 上のすべてのホスト タグを削 除します。たとえば、
Windows ではレジスト リキー、Unix では tenable_tag などです。

lエージェント 上のすべての UUID ファイルを削除 します。例 :/opt/nessus/var/nessus/uuid (MacOS/Windows ではこれと同 等 のもの)。

l

プラグイン dbs を削除 します。

lglobal db を削 除します。

lmaster.key を削除します。

- 142 -

コマンド

説明
l

backups ディレクト リを削除します。

オプションの引 数
l--json=<file> - 自 動設 定用 の .json ファイルを検 証し、適 切なディレクト リに配置 します。

ローカルエージェント のコマンド
エージェント ステータスのリンク、リンク解除、表示を行 うために使用します。
# nessuscli agent

Tenable Nessus Agent リンクキーを使用 して、エージェント を Tenablelink --key=<key> -Nessus Manager または Tenable Vulnerability Management にリンクしま-host=<host> --す。

port=<port>

必 須 の引 数l--key - マネージャーから取得 したリンクキー。

l--host - Tenable Nessus Manager にリンクする場合 : Tenable
Nessus Manager のインスト ール中に設定 した静 的 IP アドレスまたはホスト 名。
Tenable Vulnerability Management にリンクする場 合:
sensor.cloud.tenable.com (Tenable Nessus Agents 8.0.x 以
前 、cloud.tenable.com の場 合)
注 意 : Tenable Nessus Agent 8.1.0 以 降 では、Tenable Vulnerability
Management にリンクされたエージェント はsensor.cloud.tenable.com を使 用して Tenable Vulnerability
Management と通信します。エージェント がsensor.cloud.tenable.com に接 続できない場合 は、代 わりにcloud.tenable.com を使 用 します。それより前のバージョンのエー
ジェント は、cloud.tenable.com ドメインを使 用し続けます。

l--port - Tenable Nessus Managerにリンクするには、8834 またはカスタムポート を使 用 します。
Tenable Vulnerability Management にリンクするには、443 を使 用します。

- 143 -

コマンド

説明
Tenable Vulnerability Management の引 数
l--cloud - Tenable Vulnerability Management にリンクするには、
引 数 --cloud を渡します。
--cloud 引数 は、--host=sensor.cloud.tenable.com -port=443 を指定 するためのショート カット です。--cloud を使 用する場 合は、--host および --port を設 定 する必 要はありません。
注 意 : 中国本土にある Tenable Nessus スキャナー、Tenable
Nessus Agents、Tenable Web App Scanning スキャナー、またはTenable Nessus Network Monitor (NNM) を介 して Tenable
Vulnerability Management に接 続 している場合 は、
sensor.cloud.tenable.com ではなく sensor.cloud.tenablecloud.cn で接 続する必 要があります。

オプションの引 数
l--auto-proxy — (Windows のみ) 設 定 した場 合、エージェント はプロキシを設定 するために、Web Proxy Auto Discovery (WPAD) を使 用 して Proxy Auto Config (PAC) ファイルを取得します。この設定 は、他のすべてのプロキシ設 定に優 先します。

l--name - エージェント の名 前。エージェント の名 前を指 定しない場
合 、名前 はエージェント をインスト ールしているコンピューターの名 前にデフォルト で設定 されます。

l--groups - エージェント を追 加 する 1 つ以 上の既存のエージェント
グループ。インスト ールプロセス中 にエージェント グループを指 定しな
い場合 、Tenable Nessus Manager または Tenable Vulnerability
Management で、リンクされたエージェント を後 からエージェント グ
ループに追 加できます。コンマ区 切りリスト で複数 のグループをリス
ト にします。グループ名にスペースが含まれる場 合 は、リスト 全体 を
引 用 符で囲みます。例 : "Atlanta,Global Headquarters"- 144 -

コマンド

説明
注 意 : エージェント グループ名は、大 文字と小 文 字を区別 し、正 確 に
一 致 する必要があります。エージェント グループ名 は引用符 で囲 む必要 があります (例: --groups="My Group")。
l--ca-path - マネージャーのサーバー証明書 の検 証に使 用 するカ
スタム CA 証 明書。

l--offline-install - [yes] (はい) に設定 して有効 にすると、オフラインであってもシステムに Tenable Nessus Agent をインスト ール
します。Tenable Nessus Agent は定 期的 にマネージャーへのリンク
を試 みます。
エージェント がコント ローラーに接続できない場 合 、1 時 間ごとに再試 行 します。コント ローラーには接 続できるがリンクに失 敗する場合
は、24 時 間ごとに再 試 行します。

l--network - Tenable Vulnerability Management にリンクされた
エージェント の場合、エージェント をカスタムネット ワークに追 加しま
す。ネット ワークを指定 しない場 合、エージェント はデフォルト のネッ
ト ワークに属 することになります。

l--profile-uuid - エージェント を割り当てるエージェント プロファイ
ルの UUID (例: 12345678-9abc-4ef0-9234-56789abcdef0)。
詳 細 については、「Tenable Vulnerability Management ユーザーガ

イド 」のエージェント プロファイルを参照 してください。
l--proxy-host - プロキシサーバーのホスト 名または IP アドレス。

l--proxy-port - プロキシサーバーのポート 番号。

l--proxy-password - ユーザー名 として指定したユーザーアカウン
ト のパスワード。

l--proxy-username - プロキシサーバーへのアクセスと使 用 が許 可されているユーザーアカウント 名 。

l--proxy-agent - プロキシに事前 定 義されたユーザーエージェント
が必 要とされる場 合のユーザーエージェント 名 。

- 145 -

コマンド

説明

# nessuscli agent

Tenable Nessus Manager または Tenable Vulnerability Management とunlinkエージェント のリンクを解除します。

# nessuscli scan-

エージェント のルールベーススキャンについての詳細をリスト します。

triggers --list

l

スキャン名

l

ステータス (uploaded など)

l

最 後 にアクティビティがあった時間 (ステータスの隣に表示 されます)l

スキャンの説 明l

最 新 のポリシー変 更の時間l

最 後 に実行 された時間l

スキャント リガーl

スキャン設 定テンプレートl

スキャンを開始 するためのコマンド (nessuscli scan-triggers -start --UUID=<scan-uuid>)# nessuscli scan-(Tenable Vulnerability Management にリンクされたエージェント のみ)

triggers --start -UUID に基づくルールベーススキャンを手 動で実行 します。

-UUID=<scan-uuid># nessuscli agent

エージェント のステータス、ルールベーススキャンの情報、保 留中のジョブ、

statusおよびエージェント がサーバーにリンクしているかどうかを表 示します。
オプションの引 数
l--local - (デフォルト の動 作) ステータス、現 在のジョブ数 、保留中 のジョブを示 します。このオプションは、エージェント がステータスを取 得 するためにその管 理 ソフト ウェアに接続 しないようにします。代
わりに、最後 の同 期時 に取得した最新 情 報が表示 されます。

l--remote - マネージャーからジョブ数が取 得され、ステータスが表示 されます。

- 146 -

コマンド

説明
注 意 : Tenable では、--remote オプションによる頻 繁なステータス
チェックの実行 を推奨していません (たとえば自動化 の利用など)。
l--offline - Tenable Nessus Manager または Tenable
Vulnerability Management に接続 できない場 合、最後 にキャッシュされたエージェント ステータスを表示します。

l--show-token - 管 理ツールにより特 定 および認 証に利 用 された、エージェント のト ークンを表示 します。

l--show-uuid - エージェント の Tenable UUID を表 示 します。

# nessuscli

エージェント のフルおよびインベント リプラグインセット の詳 細をリスト しま

plugins --info

す。
lインスト ールされているバージョンl

最 後 にダウンロードされた日時

l

最 後 に必要 とされた日時

l

有 効 期限 — プラグインセット が期限 切れとなる日時 (つまり、プラグインセット が不 要になるタイミング)。

lプラグイン — プラグインセット 内 のプラグインの総数 。

l

非 圧 縮時のソースサイズ

エージェント のプラグインに関 する、以 下の詳 細および統 計情報を一 覧
表 示 します。
l

最 後 にプラグインが更 新 された日時

l

最 後 にプラグインの更新を確認した日時l

圧 縮 後のプラグインソースの合 計サイズl

コンパイル後 のプラグインの合計サイズl

プラグイン属性データの合計l

ディスク上のプラグインの合計 サイズ- 147 -

コマンド

説明

# nessuscli

すべてのプラグインとプラグインに関 連 するデータをディスクから削除 しま

plugins --reset

す。エージェント は、削除 が完了した直後 にプラグインをダウンロードできます。
注 意 : このコマンドは、エージェント のディスクにプラグインデータがある場 合にのみト リガーされます。

# nessuscli

エージェント に Tenable Identity Exposure セキュアリレーをインスト ールしinstall-relay --ます。

linking-

Tenable Identity Exposure リレーリンクキーを取得 するには、Tenable

key=<Tenable
Identity Exposure

Identity Exposure 管理者ガイド のセキュアリレーを参 照してください。

relay linking key>
アップデート コマンド# nessuscli agent

プラグインセット を手 動でインスト ールします。

update -file=<plugins_
set.tgz>
修正 コマンド# nessuscli fix --エージェント の設定とその値 のリスト を表 示 します。

listnessuscli fix -set
<setting>=<value>

エージェント 設定 を特定の値にセット します。
エージェント 設定 の一覧 は、詳細 設定を参 照してください。

# nessuscli fix --Tenable Vulnerability Management または Tenable Nessus Manager の

set update_

エージェント ホスト 名を自 動的に更新 します。

hostname="<value>"

update_hostname パラメーターは、yes または no に設 定できます。デフォルト では、この環 境 設定 は無効 になっています。
注 意 : 変 更を Tenable Nessus Manager で有効 にするためにエージェント- 148 -

コマンド

説明
サービスを再起 動します。

# nessuscli fix -set agent_update_channel=<value>(Tenable Vulnerability Management にリンクされたエージェント のみ)
エージェント アップデート プランを設定して、エージェント が自 動的 にアップ
デート するバージョンを指定します。
値:lga - 一般公開 (GA) され次 第、自 動的 に最新 の Agent バージョン
へと更新されます。注 意 : この日 付は通常 、バージョンが一般公開 された日から 1 週間後 です。重大 なセキュリティ問題 に対処 するためのバージョンの場 合 は、Tenable から直ちに公開 される場 合 が
あります。

l

ea - 早期アクセス (EA) 用 にリリースされ次第 、自動 的 に最 新のAgent バージョンへとアップデート します。通常、一 般公開 よりも数
週 間 早いタイミングです。

lstable - 自動的 に最新 の Tenable Nessus Agent バージョンに更新 しません。Tenable が設定 した、Tenable Nessus Agent の古いバージョンを維持します。これは通 常、最 新 の一般 公開 バージョン
よりも 1 リリース前 のものとなりますが、7.7.0 よりも前のバージョンにはなりません。Tenable Nessus Agent が新しいバージョンがリリース
すると、エージェント はソフト ウェアバージョンをアップデート しますが、最 新 のリリースよりも前 のバージョンに留まります。

注 意 : Tenable Vulnerability Management にリンクされているエージェント の場 合 は、エージェント の nessuscli ユーティリティから agent_update_channel コマンドを実行 する必要があります。Tenable Nessus Manager にリンクされているエージェント の場合は、Tenable Nessus Manager のnessuscli ユーティリティから agent_update_channel コマンドを実 行する
必 要 があります。

# nessuscli fix --(Tenable Vulnerability Management にリンクされたエージェント のみ)

set maximum_scans_

エージェント が 1 日につき実 行できる最 大スキャン数を設定 します。最 小

per_day=<value>- 149 -

コマンド

説明
数 量 は 1、最大数 量 は 48 で、デフォルト 数 量は 10 となります。

# nessuscli fix --agent link、agent status、または agent unlink コマンドの実 行

set max_

中 に不具 合 が生じた場 合、エージェント が再 試行 する最 大 回数 が設定

retries="<value>"

されます。コマンドは、試行間 隔 を retry_sleep_milliseconds に設定 することで休止 時 間を徐 々に増やしながら、指 定回 数にわたり、連続して再 試 行 されます。max_retries のデフォルト 値 は 0 です。最 小値 は0 で、最大 値は 10 です。
たとえば、max_retries を 4 に、retry_sleep_milliseconds を 1500
(デフォルト ) に設 定した場合は、エージェント が 1 回 目の試行 後に 1.5 秒
間 、2 回 目 の試行 後に 3 秒 間 、3 回 目 の試 行後 に 4.5 秒 間休止 します。
注 意 : この設定 はオフラインの更 新やリンク後 24 時間 経過してから通 常実
行 されるエージェント のチェックインには影響しません。

# nessuscli fix --agent link、agent status、または agent unlink コマンドの実 行

set retry_sleep_

中 に不具 合 が生じた場 合、エージェント の再試 行間隔 がミリ秒 単 位でmilliseconds="

設 定 されます。デフォルト は 1500 ミリ秒 (1.5 秒) です。

<value>"# nessuscli fix --Tenable Nessus Agent に NIAP モードを適 用します。NIAP モードの詳細

set niap_

については、NIAP に準 拠する Tenable Nessus Agent の設定 を参 照して

mode=enforcingください。

# nessuscli fix --Nessus Agent の NIAP モードを無効にします。NIAP モードの詳 細についset niap_mode=non-ては、NIAP に準 拠する Tenable Nessus Agent の設定 を参照 してくださ

enforcingい。

# nessuscli fix --Tenable Nessus Agent 通信 およびデータベース暗号 化に対 して最新の

set fips_

検 証 済み FIPS モジュールを適用します。FIPS モジュールはスキャン暗 号

mode=enforcing

化 に影響 しません。
注 意 : NIAP モードを適用すると、Tenable Nessus Agent は FIPS モジュールも適 用します。詳細については、NIAP に準拠 する Tenable Nessus Agent の設- 150 -

コマンド

説明
定 を参照 してください。

# nessuscli fix --Tenable Nessus Agent 通信 およびデータベース暗号 化に対 して FIPS モ

set fips_mode=non-

ジュールを無効にします。

enforcing
注 意 : NIAP モードを無効にすると、Tenable Nessus Agent は FIPS モジュー
ルも無 効 にします。詳 細 については、NIAP に準拠 する Tenable Nessus Agent の
設 定 を参照してください。

セキュア設 定 の修 正
nessuscli fix
nessuscli fix [-secure] --list
nessuscli fix [-secure] --set<setting=value>
nessuscli fix [----list、--set、 --get、--delete コマンドを使用 して、詳 細なエー
ジェント 設定 を変更したり表 示したりすることができます。
--secure オプションを選択すると、登録 関 連情 報が含 まれる暗号 化 の
環 境 設定 に影響が及 びます。
警 告 : ドキュメント にない --secure 設定 の変更 は Tenable でサポート されない設 定 となるため推奨 していません。

エージェント 設定 の一覧 は、詳細 設定を参 照してください。

secure] --get<setting>
nessuscli fix [-secure] --delete<setting># nessuscli fix --(Tenable Nessus Manager バージョン 10.4.0 以 降 のみ) 一 意のエージェン

secure --getト リンクキーを取得します。

agent_linking_key
注 意 : このリンクキーは、エージェント をリンクする目 的 でのみ使用できます。
スキャナーまたは子 ノードとのリンクには使用 できません。

リソース管 理 コマンド# nessuscli fix --コマンド

set process_- 151 -

コマンド

説明

priority="<value>"

process_priority 設定をセット 、取 得 、または削除 します。

# nessuscli fix --process_priority 設定を使用することで、システム上で実 行 中 の他

get process_のタスクの優 先度に対する Tenable Nessus Agent の相対 的な優先 度

priority

を制 御できます。

# nessuscli fix --有 効 な値 、および本 設定 の動 作方法に関 する詳細については、エーdelete process_ジェント CPU リソースコント ロールを参照 してください。

priority

Tenable Nessus サービス
Nessus サービスを起動または停止 する必要 がある場合は、できるだけオペレーティングシステムのイン
ターフェースから Nessus サービスコント ロールを使用 してください。
ただし、コマンドラインインターフェースを通 じて実 行可能 な nessus-service 機 能も多数あります。
nessusd コマンドは nessus-service サーバーコマンドと互 換的 に使用できます (特記される場 合 を除きます)。
# killall nessusd コマンドは、Nessus のすべてのサービスと実行 中 のスキャンを停 止するために使 用されます。
注 意 : どのコマンドも管理者 権限を持つユーザーが実行 する必要があります。

Nessus のサービス構 文
オペレーティン
グシステム
Linux

コマンド
# /opt/nessus_agent/sbin/nessus-service [-vhD] [-c <config-file>] [-p <portnumber>] [-a <address>] [-S <ip[,ip,…​]>]macOS# /Library/NessusAgent/run/sbin/nessus-service [-vhD] [-c <config-file>] [-p<port-number>] [-a <address>] [-S <ip[,ip,…​]>]- 152 -

コマンド出力データを抑制 する例
コマンド出 力 は -q オプションを使用 して抑 制できます。

Linux# /opt/nessus_agent/sbin/nessus-service -q -D

Nessusd のコマンド
オプション

説明

-c <config-

このコマンドは、nessusd サーバーを起 動 するとき、サーバー側で使 用される

file>

nessusd 設 定 ファイルを指定 するために使用 されます。標準 db の代 わりに代替設
定 ファイルの使 用が可 能です。

-S <ipnessusd サーバーを開 始するとき、スキャン中に Nessus が確立する <ip> 接続 の[,ip2,…]>

ソース IP を強 制 します。このオプションは、デフォルト の IP アドレスの代 わりに複 数 のパブリック IP アドレスを使用 するマルチホーム型 マシンを所 有する場合 にのみ有 用です。この設定 が機能 するには、nessusd を実 行 するホスト にこれらの IP アドレス
セット を備 える複数 の NIC が必 要 です。

-D

このオプションでは、開 始時 に nessusd サーバーが強制 的 にバックグラウンドで実 行されます (daemon モード)。

-v

バージョン番 号 を表 示して終了 します。

-lサードパーティ製 ソフト ウェアのライセンスリスト が表 示 されます。

-h

コマンドの要 約 を表 示 し、終 了します。

--ipv4-only

IPv4 ソケット でのみリッスンします。

--ipv6-only

IPv6 ソケット でのみリッスンします。

-q「quiet」モードで作 動 し、すべてのメッセージを stdout に抑制 します。

-R

プラグインの再 処理 を強制します。

-t

開 始 時に各 プラグインのタイムスタンプをチェックして、新たに更新 されるプラグインのみをコンパイルします。

- 153 -

オプション

説明-K

スキャナー用 のマスターパスワードを設 定します。
マスターパスワードが設定 されている場合、Nessus ではポリシーに含 まれるすべてのポリシーと認 証 情報 が暗号化 されます。パスワードが設定されている場 合 、Nessus UI からパスワードの入力 を促されます。
マスターパスワードを設定 後に紛 失 した場 合、管 理 者も Tenable サポート も復元できません。

注意事 項
nessusd をゲート ウェイで実 行 していて、nessusd に外部 者が接続しないようにする場 合は、listen_address 詳 細 設定を行います。
この設 定 を行 うには、次 を実 行します。
nessuscli fix --set listen_address=<IP address>

この設 定 により、アドレス <address> (マシン名 でなく IP アドレス) での接続 のみをリッスンするようにサーバーに指 示 します。

プラグインのアップデート
次の表 は、Tenable Vulnerability Management または Tenable Nessus Manager にリンクされているエー
ジェント の差 分 プラグインアップデート の動作を示しています。
注 意 : Tenable Nessus Agent は、リンクされたマネージャーのプラグイン更 新を 24 時 間 ごとにチェックします。

リンクされたマ

差分更新

フルアップデート

Tenableエージェント プラグイン

エージェント にそのプラグインセット のプラグインがない

Vulnerability

セット のいずれかと場合 、エージェント はスキャン時 に必要 なプラグイン

Management

Tenable Vulnerability

セット のプラグインのフルアップデート を実行 します。こManagement プラグイのため、エージェント 脆弱 性スキャンまたはインベント

ンセット の差 が 15 日

リコレクションスキャンを初めて実行 する場合、スキャ

ネージャー- 154 -

以 内である場 合、エーンがその後 の脆弱 性 スキャンやインベント リスキャンよジェント は差 分アップ

りも多くの帯 域 幅を使 用 することを予 期してくださ

デート を実行 します。

い。
また、エージェント プラグインセット のいずれかとTenable Vulnerability Management プラグインセットの差が 15 日 より長い場合、エージェント はフルプラグ
インアップデート を実 行します。
エージェント は、設定 可能 な時間 が経 過すると、未使用 のプラグインセット を削除します (詳細 について
は、days_to_keep_unused_plugins の詳細 設定を参照してください)。時 間 の経過 後、エージェント
は未 使用のプラグインセット を削除 します。

Tenable Nessus

エージェント プラグイン

エージェント プラグインセット と Tenable Nessus

Manager

セット と Tenable

Manager プラグインセット の差が 5 日 より長 い場合 、Nessus Manager プラ

エージェント はフルプラグインアップデート を実 行 しま

グインセット の差 が 5す。

日 以内である場合 、エージェント は差分プ
ラグインアップデート を
実 行します。

ルールベースのト リガーファイルの場 所
Tenable Nessus Agents のルールベースのト リガー情報 は、次の場所にあります。
オペレーティングシステム

場所

Windows

C:\ProgramData\Tenable\Nessus Agent\nessus\triggers

Linux/opt/nessus_agent/var/nessus/triggers

macOS/Library/NessusAgent/run/var/nessus/triggers

ト リガーされたスキャンの詳 細については、Tenable Vulnerability Management ユーザーガイド のト リガーされたエージェント のスキャンを参 照してください。

- 155 -

よくある質 問
エージェント スキャンまたはネット ワークベースのスキャンは比 較 的 容 易 に実 行 できますか?
各スキャン方 法 の難 易度は、環境 や企 業 のニーズによって異なります。
次の質 問事 項 を考慮 してください。
lTenable Nessus スキャナーおよび Tenable Nessus Network Monitor をすべてのネット ワークセグメ
ント にインスト ールすることは可 能ですか?

lより少 ない数の Tenable Nessus Manager (たとえば、1 ～ 3 つ) をインスト ールし、エージェント がホップやファイヤーウォールを越 えて報 告できるようにする方 が簡単ですか?

l

スキャンウィンドウ中、すべてのシステムがオンラインで接続 されており、すべての結 果を報 告 していま
すか?

l

すべてのシステムがスリープ時 に正しく設定され、wake-on-lan に適切に応答 していますか?

l

多くのシステムの現在の認 証 情 報 を追跡 または取 得するのに時間 を費 やしていますか?

l

ネット ワークに、VPN 経由で認証 情報をスキャンできない、または企 業のネット ワークに直接 接 続されていないときにリモート で動作 するノート パソコンが含 まれていますか?

エージェント や認 証 スキャンで連 動 するプラグインは何 ですか?
注 意 : Tenable Research チームは、プラグインを常 に追 加したりアップデート したりしています。プラグインの包括的なリスト については、https://jp.tenable.com/plugins を参 照してください。

ほとんどのプラグインは Tenable Nessus Agents と連 動します。例外は次 のとおりです。
lリモート で公 開される情報 に基づいて動作 したり、リモート 接 続により実行 されるアクティビティ (DBサーバーへのログイン、デフォルト の認証情報 (総当たり) の試行 、ト ラフィック関連 の列挙 など) を検出したりするプラグイン。

lネット ワークチェックに関 連するプラグイン。

また、チェックの意図 が重 複 している場合 もあります。たとえば、ネット ワークベーススキャンで認 証なしのOS フィンガープリンティングを使用 し、システムにクエリをかけて認証 スキャンの OS の正確なバージョンを取得すると、この重 複によりネット ワーク上の認 証検 出結果が増 えます。これは、ネット ワークバージョンの推測の精 度が上 がるためです。

- 156 -

エージェント は Tenable Vulnerability Management または Tenable Nessus Manager にどのようなデータを送 信 しますか?
エージェント は次 のデータを Tenable Vulnerability Management または Tenable Nessus Manager に送信します。
lバージョン情報 (エージェント のバージョン、ホスト のアーキテクチャ)lインスト ールされている Tenable プラグインのバージョンl

OS 情 報 (例: Microsoft Windows Server 2019 Enterprise Service Pack 1)lTenable 資産 ID (例: Unix の場 合は /etc/tenable_tag、Windows の場合 は HKEY_LOCAL_MACHINE\SOFTWARE\Tenable\TAG)l

ネット ワークインターフェース情 報 (ネット ワークインターフェース名、MAC アドレス、IPv4 アドレス、IPv6
アドレス、ホスト 名 、および情 報が存在する場合は DNS 情報 )lupdate_hostname が yes に設 定されている場合 は、ホスト 名 (詳細 は 詳 細設定 を参 照 )l

AWS EC2 インスタンスメタデータ (ある場合)
lprivatelplaccountIdlimageIdlregionlinstanceTypelavailabilityZonelarchitecturelinstanceIdllocal-hostnamelpublic-hostnamelpublic-ipv4lmac- 157 -

liam/security-credentials/lpublic-keys/0/openssh-key

lsecurity-groups- 158 -