発見 → 相関 → 優先順位付け → 修正 → 検証
脆弱性インテリジェンスを実際に運用するシステムと結びつけ、検証済みの修正へと変える再現可能な方法論。
方法論
すべてのエンゲージメントは、お客様の環境に合わせつつ、同じ規律あるプロセスに従います。
- 1
発見
実際に運用している資産・ソフトウェア・サービスを可視化します。
- 2
相関
脆弱性と露出を、実際のシステムに紐付けます。
- 3
優先順位付け
CVSSスコアだけではない、現実のリスクで優先順位を付けます。
- 4
修正
運用への影響を最小限に、安全に修正します。
- 5
検証
修正を確認し、残存リスクを文書化します。
得られるもの
- インターネット上の露出を検証したインベントリ
- 実際に稼働するシステムに紐付けた脆弱性
- 明確な評価根拠を伴う優先順位付きバックログ
- 承認・適用・検証された修正
- 文書化された残存リスクと継続的改善への道筋
運用への影響を最小限に
すべての変更は本番環境の安全を前提に計画し、根拠を文書化します。お客様の明示的な承認なしに環境へ変更を加えることはありません。いつ、どのように変更を適用するかは、常にお客様が決定します。