メインコンテンツまでスキップ

【β版】脆弱性管理連携を設定したい

概要​

本章では、脆弱性情報収集ツールCyIOCと連携して脆弱性情報を収集・管理するための設定方法をご案内します。

備考
  • 本機能はβ版です
  • 脆弱性管理機能のご利用には、Businessプランのご契約が必要です
  • 連携先のCyIOCは、Businessプランに同梱されています
  • 脆弱性管理機能は利用形態が「運用」に指定された組織に所属するユーザにのみご利用いただけます

脆弱性管理利用開始の流れ​

脆弱性管理は、以下の流れで利用を開始します。本章では手順1~2の手順をご紹介します。

  1. システム管理者がCyIOCのURLとAPIキーを設定します。
  2. システム管理者またはプロジェクト管理者が、脆弱性管理の連携設定で、対象プロジェクトと脆弱性収集対象の構成管理フォームを指定します。
    • 収集対象構成管理フォーム側には以下フィールドを作成する必要があります
      • OS名;バージョン
      • ソフトウェア名;バージョン
      • システム名
      • 担当者
      • システム担当者
      • 資産重要度
      • 業務影響度
      • ネットワーク露出
  3. 運用ユーザが、対象の構成アイテムを脆弱性管理へ連携します。CyIOCによる脆弱性の検出後、脆弱性チケットが登録または更新されます。
  4. 必要に応じて、通知対象と対応期限を決める通知ルールを設定します。
  5. 脆弱性一覧・詳細画面で検出結果を確認し、問題管理への移管または脆弱性対処タスクの作成により対応します。
備考

脆弱性管理の設定画面を表示する​

  1. 画面右上のログインユーザ名をクリックします。
  2. 管理センターをクリックします。
  3. 左セクションの「インテグレーション」から「脆弱性管理」をクリックします。

CyIOCのURL・APIキーを設定する​

CyIOCと接続するためのURLとAPIキーは、システム管理者でログインした場合に設定できます。

  1. 脆弱性管理設定画面で「CyIOC URL」を入力します。
  2. 「APIキー」を入力します。
  3. 「保存」をクリックします。

CyIOC URLとAPIキーは必須項目ではありません。ただし、どちらか一方でも未指定の場合は、CyIOCとの接続テストを実行できません。

警告

保存済みのAPIキーを確認することはできません。

APIキーを変更する​

  1. 保存済みのAPIキーの「変更」をクリックします。
  2. クリアされた入力欄に新しいAPIキーを入力します。
  3. 「保存」をクリックします。

接続をテストする​

  1. 「CyIOC URL」と「APIキー」の両方を入力します。
  2. 「テスト接続」をクリックします。
備考

「CyIOC URL」または「APIキー」が未指定の場合、「テスト接続」は無効になります。

連携を登録する​

連携情報を指定する​

  1. 脆弱性管理一覧画面で「連携を追加」ボタンをクリックします。

  2. 各項目を設定します。

    項目説明指定
    名前連携設定の名前を入力します。必須
    所属プロジェクト連携対象のプロジェクトを選択します。必須
    脆弱性管理フォーム脆弱性対処用の組み込み問題フォーム「脆弱性管理」が表示されます。読み取り専用
    構成管理フォーム脆弱性情報の収集対象とする構成アイテムのフォームを選択します。
    複数のフォームを選択できます。    		必須

  3. 「構成管理フォーム」で、脆弱性を収集する構成アイテムフォームを1つ以上選択します。

  4. 「保存」をクリックします。

所属プロジェクトの選択範囲​

  • システム管理者は、連携設定が未登録のプロジェクトから選択できます。
  • プロジェクト管理者は、TopNavに表示されているプロジェクトが対象となり、プロジェクトを変更できません。
  • 1つのプロジェクトに登録できる連携設定は1つです。

脆弱性管理フォームに関して​

  • 脆弱性管理フォームは脆弱性の対処に使用する組み込みの問題フォームです。
  • 脆弱性管理フォームは、管理センターの「フォーム」一覧には表示されません。
  • 脆弱性管理フォームには、脆弱性情報を問題チケットとして登録するための設定があらかじめ定義されています。

連携先構成管理フォームにフィールドを追加する​

  1. 連携先構成アイテムフォームに以下フィールドを追加・保存します。

    項目説明タイプ指定
    OS名;バージョンOS名とバージョンを半角または全角セミコロンで区切って指定します。
    例: Windows Server; 2022    		1行入力欄必須
    ソフトウェア名;バージョンOS名とバージョンを半角または全角セミコロンで区切って指定します。
    例: Apache Tomcat; 9.0.80
    複数値を 1 フィールドに入れる場合は、
    Apache Tomcat; 9.0.80/Nginx; 1.24.0
    のようにスラッシュで区切り、各値に名称とバージョンを持たせます。    		1行入力欄必須
    システム名構成アイテムが所属するシステムを指定します。
    脆弱性情報はシステムごとに集計されます。    		リストボックス必須
    担当者各構成アイテムの担当者を指定します。
    脆弱性タスクが発行された際の担当者として指定されます。    		ユーザ　組み込み
    システム担当者「システム名」で指定したシステムの担当者を指定します。
    脆弱性が検出された際の初期担当者として指定されます。    		ユーザ組み込み
    資産重要度「システム名」で指定したシステムの資産重要度を指定します。リストボックス任意
    業務影響度「システム名」で指定したシステムの業務影響度を指定します。リストボックス任意
    ネットワーク露出「システム名」で指定したシステムのネットワーク露出を指定します。リストボックス任意
備考

フィールド追加後、既存の構成アイテムに対して「担当者」「システム担当者」情報を追記してください。

登録した連携を確認・更新する​

  1. 脆弱性管理一覧画面で、対象の連携設定をクリックします。
  2. 脆弱性管理更新画面で設定内容を確認します。
  3. 必要な項目を変更します。
  4. 「保存」をクリックします。
備考

システム管理者は全プロジェクトの連携設定を一覧で確認できます。
プロジェクト管理者は、自身のプロジェクトの連携設定を確認・更新できます。

連携を削除する​

  1. 脆弱性管理一覧画面で、対象の連携設定をクリックします。
  2. 脆弱性管理更新画面で「削除」をクリックします。
  3. 確認画面の内容を確認し、削除を実行します。
備考
  • 連携済みの構成管理フォームでは、フォームの削除、非公開化、下書き化の操作が無効になります。これらの操作を行う必要がある場合は、先に脆弱性管理の連携設定から対象フォームの連携を解除してください。
  • 連携済みの構成管理フォームを更新する場合、脆弱性管理へ連携するフィールドは読み取り専用になります。