Rapid7 Nexpose スキャナー・リモート・ファイル・インポートの追加

QRadar は、リモート・ファイルを使用して、 Rapid7 Nexpose スキャナーからサイト脆弱性データをインポートします。

始める前に

このスキャナーを追加するには、HTTPS 接続をサポートするサーバー証明書を所有していることを確認します。 QRadar は、ファイル拡張子が .crt、.cert、.der の証明書をサポートしています。 証明書を /opt/qradar/conf/trusted_certificates ディレクトリーにコピーするには、以下のいずれかの方法でコピーします。
  • SCP または SFTP を使用して、証明書を手動で /opt/qradar/conf/trusted_certificates ディレクトリーにコピーします。
  • SSH を使用してコンソールまたは管理対象ホストにログインし、コマンド /opt/qradar/bin/getcert.sh <IP or Hostname> <optional port - 443 default>を使用して証明書を取得します。 これにより、指定したホスト名または IP から証明書がダウンロードされ、適切なフォーマットで /opt/qradar/conf/trusted_certificates ディレクトリーに格納されます。

このタスクについて

リモート・ファイル・インポートにより、ダウンロードされるリモート・ファイルからサイトの脆弱性が収集されます。 サイトと脆弱性の情報を含む Rapid7 Nexpose XML ファイルを、 Rapid7 Nexpose アプライアンスから、スキャナーが QRadarに追加されたときに指定したコンソールまたは管理対象ホストにコピーする必要があります。 Rapid7 Nexpose アプライアンスがサイト・レポートをコピーできるようにするには、事前に管理対象ホストまたはコンソールに宛先ディレクトリーが存在する必要があります。 サイト・ファイルは、セキュア・コピー (SCP) またはセキュア・ファイル転送プロトコル (SFTP) を使用して管理対象ホストまたはコンソールにコピーできます。

管理対象ホストまたは QRadar Console 上に作成されるインポート・ディレクトリーには、 QRadar内の VIS ユーザーに対して適切な所有者と許可が設定されている必要があります。 例えば、chown -R vis:qradar <import_directory_path> と chmod 755 <import_directory_path> により、インポート・ディレクトリー・パスの所有者が、適切な読み書きと実行の権限を持つ VIS ユーザーに設定されます。

注: インポートされたサイト・ファイルはインポート・フォルダーから削除されず、 .processed0に名前変更されます。 管理者はクーロン・ジョブを作成して、以前に処理されたサイト・ファイルを削除できます。

手順

  1. 「管理」 > 「システム構成」をクリックします。
  2. 「VA スキャナー」 アイコンをクリックし、 「追加」をクリックします。
  3. Rapid7 Nexpose スキャナーを識別する 「スキャナー名」 を入力します。
  4. 「管理対象ホスト」 リストから、以下のいずれかのプラットフォームに基づくオプションを選択します。
    • QRadar Consoleで、スキャナー・デバイスとの通信を担当する管理対象ホストを選択します。
    • QRadar on Cloud では、スキャナーがクラウドでホストされている場合、QRadar®Consoleを管理ホストとして使用できます。 それ以外の場合は、スキャナー・デバイスとの通信を担当するデータ・ゲートウェイを選択します。
  5. 「タイプ」から、 Rapid7 Nexpose Scannerを選択します。
  6. 「インポート・タイプ」 リストから、 「サイト・データのインポート-リモート・ファイル」を選択します。
  7. スキャン結果ファイルがあるサーバーの 「リモート・ホスト名」 と、リモート SSH サーバーの 「リモート・ポート」 を入力します。
  8. リモート SSH サーバー用のユーザー名とパスワードを入力します。
  9. オプション: 鍵認証を有効にしてから、SSH 秘密鍵ファイルへの絶対ローカル・パスを入力します。
  10. リモート SSH サーバー上でスキャン結果が含まれるリモート・ディレクトリーの場所を示します。
  11. 「ファイル名パターン」 フィールドに正規表現 (regex) パターンを入力して、スキャン・レポートに含める Rapid7 Nexpose XML ファイルを決定します。
    脆弱性スキャン・レポートをインポートするとき、正規表現パターンに一致するすべてのファイル名が組み込まれます。 このフィールドでは、有効な正規表現パターンを使用する必要があります。 デフォルト値 .*\.xml は、インポート・フォルダーからすべてのファイルをインポートします。
  12. レポート・ファイルを使用する最大日数を入力します。 この日数より古いファイルは処理されません。 レポート存続期間チェックを無効にする場合は、この数値を 0 に設定します。
  13. Enable Strict HostKey Checking オプションは、ターゲット・ホストの公開鍵がHost Key listパラメータのエントリと一致することを有効にする。
    1. 分野 HostKey 現場でBase64ターゲット・ホストに接続するときに受け入れる、エンコードされたホスト・キー。 サポートされているホスト・キー・タイプはssh-rsa.この鍵は、Windowsの Linux® または ssh-keyscan.exe で OpenSSH ssh-keyscan コマンドを実行するか、 /root/.ssh/known_hosts または /etc/ssh/ssh_host_rsa_key.pub のファイル・パスのような場所から、ターゲット・システムから公開鍵を直接取得することで取得できる。 を使用する必要がありますBase64ハッシュのみで、ホスト名やアルゴリズムは含まない。 例:
      AAAAB3NzaC1yc2EAAAADAQABAAABAQCkT8TfV0oPWOVihTKKtORG2DQVbbFocUvGct9lN4auSIADp4Ubi\nOzm44k0mIZtMOGfYBTHVzyI6A9nCROLiMrJ00QzwG1IihYwaTqlYbZJ3FSiSY2tz1G2C51SG9OeziDMxcnEY2cHkwGSrGowydz20KPbgzTedOQCp41PafmMlb7TMmJtjU23cfCmPAQQHWIFOLWe1hg3RMtWfj1sE+Fe7Tu+/XZvT4GPSM5YQECXIzXmrhENWo+tIlnCGq01sLNPQ2Fo8qI97uAOm0kx/wkWfJLEj9dsHl7kO6D1x3YESVrr+e\nOc2xDvAStJIb4qCks2CGZDI1I2pivoqjX+JTRL
  14. 以下のように、スキャナーの CIDR 範囲を構成します。
    1. フィールドに、このスキャナーで考慮する CIDR 範囲を入力するか、 「参照」 をクリックして、ネットワーク・リストから CIDR 範囲を選択します。
    2. 「追加」をクリックします。
  15. 「保存」をクリックします。
  16. 「管理」 タブで、 「変更のデプロイ」をクリックします。

次に実行するタスク

これで、スキャン・スケジュールを作成する準備ができました。 脆弱性スキャンのスケジューリング 」を参照してください。