Rapid7

CVEとは、Common Vulnerabilities and Exposuresの略で、一般公表されている公知の脆弱性情報を掲載している脆弱性情報データベースです。
米国MITRE 社が管理運営を行っており、CVE は世界各国の製品開発企業やセキュリティ関連企業、調整機関など幅広い業界から利用されています。

また、検出された脆弱性には「CVE-1234-5678」のような形でCVE番号が割り当てられることがあります。
これは、データベースに収録された脆弱性情報を一意に識別するために割り当てられる番号で、世界共通で使われています。

CWEとは、Common Weakness Enumerationの略で、ソフトウェアに関する脆弱性の種類を識別するための共通基準を指しています。
CVEと同じく、一意の番号が付与されますが、CWEでは多種多様な脆弱性の種類を脆弱性タイプとして分類し、それぞれにCWE識別子（CWE-ID）を付与して階層構造で体系化しています。

上位層に近いほど抽象的な脆弱性タイプを表し、下位層にいくほど具体的な脆弱性タイプや個々の脆弱性を表しています。
また、脆弱性タイプは、ビュー（View）、カテゴリー（Category）、脆弱性（Weakness）、複合要因（Compound　Element）の4種類に分類されます。

ペネトレーションテストとは、脆弱性を突く攻撃を行い、実際にシステムに侵入できるか試みるテストです。

ペネトレーションテストでは、実際のシステムで脅威を受けるリスクを検証できるため、自社の情報セキュリティ対策や脆弱性対策が適切に行われているか確認することができます。
脆弱性診断と合わせて行うことで、自社のセキュリティホールが明確になり、セキュリティレベルをより効果的に高められます。

脆弱性診断

• 目的 ：脆弱性とセキュリティ機能の不足を網羅的に調査
• 手法 ：ガイドラインなどに従って定型的な手法で調査を行う
• 調査対象 ：指定されたWebアプリケーションやIPアドレスごと
• 結果 ：発見された脆弱性とセキュリティ機能の不足の一覧を取得

ペネトレーションテスト

• 目的 ：攻撃者に攻撃を受けた場合に目的が達成されてしまうか検証
• 手法 ：実際の攻撃者が使用しているツールや脆弱性、ソーシャルエンジニアリングなどを利用して一定期間内で目的を達成できるかの調査を行う
• 調査対象 ：その組織が持つすべてのシステム、もしくは指定されたシステム全体
• 結果 ：目的達成までの侵入経路や行った攻撃シナリオ、侵入結果

現状：

• 多様化したネットワークを運用しているが、実際にサイバー攻撃を受けた際の影響範囲がわからない
• 脆弱性が把握できたところで、どう対処するべきか分からない、手が回らない
  
  

Metasploit Proを導入すると：

• Metasploitではオンプレ環境のみならず、クラウド環境、モバイル端末やIoTデバイスなど
  様々なプラットフォームに対応しています。
• スキャン情報とペネトレーションテストの実行結果を踏まえ、脆弱性の中でも特にリスクの高い脆弱性を提示してくれるため、対策の優先順位付けができます。

01　豊富なエクスプロイトと世界一の知名度

ペネトレーションテストツールとして世界で最も有名なMetasploit Framework(OSS版)をRapid7社が2009年10月に買収しました。その後、Rapid7社がGUIで操作可能な商用版を開発し、提供しております。
Metasploitはペネトレーションテストツールのディファクトスタンダートであり、利用可能なエクスプロイトが非常に多く、世界最大のペネトレーションテストツールコミュニティにより脆弱性発見時はいち早くエクスプロイトコードの開発が行われております。

02　実践的なペネトレーションテストが可能

実際のサイバー犯罪者も使用するほどのスペックがあり、外部から実際に攻撃が可能か把握できることで、より実践的なテストが可能です。
また、フィッシングキャンペーン機能も使用できるため、フィッシングメールによる標的型攻撃の訓練を行うこともできます。

03　他の脆弱性管理製品との連携が可能

資産や脆弱性情報の収集には、他の脆弱性管理製品のスキャン結果をインポートできる機能があり、脆弱性スキャンの結果を連携することで、リスク可視化と脅威の検証を行うことが可能です。
InsightVMと連携した場合、Metasploitの結果をInsightVMに反映することができるため、クローズドループでサイクルを回し、効果的にセキュリティを向上させることができます。