メインコンテンツへスキップ
Tanium ブログ

平均パッチ適用時間の追跡方法

これは、当社組織におけるTaniumプラットフォームの活用方法を検討する4部構成のブログシリーズの3番目のシリーズです。 本記事では、SecOpsエンジニアのGreg Pothierが、TaniumとSplunkを一緒に使用してパッチ管理データを提供する方法を紹介します。CSOと他のセキュリティリーダは、このデータを利用してリスクの可能性を評価することができます。

平均時間の追跡

ネットワーク上のすべてのデバイスの平均Patch適用時間を追跡することは、どの程度有用ですか？ CIO、CSO、または運用担当VPが要求するたびに、開いているパッチの数に関する正確な結果を瞬時に提供できるとしたらどうでしょうか？

これらは、私たちがここでタTaniumに問いかけ始めた質問です。 答えは、当社のセキュリティおよびITリーダにとって真のビジネス価値を保持しています。リーダはデータを使用して、攻撃対象領域とパッチPerformanceを継続的に監視できます。

ほとんどの組織は、ネットワーク全体のパッチの現在のステータスさえ知らないのはTRUEですが、Taniumではこれを行うだけでなく、パッチ適用に要する平均時間を追跡するための指標も作成しました。

これは、TaniumTanium Platformを使用して、企業パッチ管理をどの程度実行しているかに関する指標を収集する最も正確な唯一の方法です。 Taniumは、重要なパッチのオープンや、大企業にインストールされているすべてのアプリケーションの状態など、正確な結果をシンプルに収集できるようにします。 CSOやその他のセキュリティリーダにとって、企業で開いているパッチのスナップショットはRiskの可能性を評価するのに役立つため、重要な指標になります。 Taniumを使えば、企業にパッチを適用するための平均（平均）時間を計測することで、パッチ適用の進捗状況を測定できます。 データ分析ツールであるTaniumと Splunk (新しいタブで開く)を使用して、これを実現する方法をご紹介します。

Tanium Connect

まず、Tanium Connect (新しいタブで開く) をセットアップします。このタブは、Splunkに「Get Computer Name and Operating System and Available Patches from all machines」というTanium Questionを提供します。 オペレーティングシステムは任意です。将来、特定のオペレーティングシステムに基づいて結果をフィルタしたい場合に備えて、追加します。

コンピュータインベントリクエリ結果とのSplunk接続を示すTanium Connect統合ダッシュボード

TaniumでConnectが作成されると、Connectが実行され、Splunkで結果が期待通りに処理されていることを確認します。 この接続をTaniumとしてインデックス化するように設定したため、クエリIndex=「Tanium」で検索を開始します。 次に、以下を追加します。

<コード>Index=\"Tanium\" Question™Get-Computer-Name-and-Computer-Serial-Number-and-Available-Patches-from-all-machines™ </コード>

これにより、Computer Name別に一覧表示されたすべてのパッチ結果が提供されます。 これで、タイトルの重大度、CVE_IDなど、すべてのパッチのリストができました。 (注: 次のスクリーンショットの結果の書式設定には表を使用します。この書式は、視覚的な使用のみを目的としています。)

Windowsセキュリティ更新とTaniumからのパッチデータの検索結果を示すSplunkインターフェイス

この時点で、重大度タイプ別にパッチを視覚的に表示します。 重複した結果を処理しないようにするには、Connect情報を次のような重複排除機能にパイプします。

<コード>| dedup Computer_Serial_Number、KB_ Article、CVE_ID、Title</コード>
Tanium統合からのWindowsパッチとセキュリティ更新の検索結果を表示するSplunkインターフェイス

これにより、これらの値(Computer_Serial_Number、KB_ Article、CVE_ID、Title )は1回のみ報告されるため、一意になります。 一意の値があると、重大度別に結果をグラフ化する単純な機能を実行します。

<コード>| 重大度 </コード＞別のグラフ数

結果は、各タイプの重大度の合計数と割合を示す優れたグラフを作成します。

Windowsパッチまたは更新の配布の円グラフを示すSplunkの可視化

現在のパッチを重大度別に表示した、堅固で自動化されたダッシュボードができました。 LinuxやMac OSXなど、他のオペレーティングシステムを実行しているマシンでも同じことを簡単に実行できます。 では、パッチ適用までの平均時間を計算して表示する自動化ソリューションを作成するという目標に進みましょう。

次に、基本クエリに戻り、重複排除を削除して、入ってきたすべてのパッチログを操作できるようにします。 次に、以下を追加します。

<コード>| stats earliest(_time) as First, latest(_time) as Last by Computer_Name, CVE_ID, 重大度, Title</コード>
Windowsのセキュリティ更新とカタログ情報を示すSplunkの検索結果テーブル

これにより、統計機能を利用して、Computer Name、CVE_ID、重大度、タイトルごとに、パッチが初めて報告された時点、およびパッチ報告された時点を確認できます。 このレポートには、パッチが最初に見られた日時と最後に見られた日時のタイムスタンプが表示されます。 次に、2つの値の違いを考えて、持続時間を確認し、エポック時間フォーマットを読み取り可能な文字列に変換します。

<コード>| eval diff = Last - First | eval diff2 = tostring(diff,「duration」)</コード>
重大度分類でWindowsセキュリティ更新を表示するSplunkの検索結果

結果には、Computer Nameとパッチ情報、各コンピュータで各パッチが開いていると報告された時間が表示されます。 次に、これらの差の実際の最大値、最小値、平均を計算します。

<コード>|統計数、max(diff)、min(diff)、平均値(diff) </コード>

それだけです これで、すべてのパッチの最大、最小、平均値がわかりました。 当社は、平均値(diff)を平均として名前変更し、余分な10進値を四捨五入し、日時、分などを示すきれいな形式の文字列を作成することで、これをきれいにします。

<コード>| mean(diff)を平均と名前変更 | 評価平均 = round(平均、 0) |評価平均Time=tostring(平均、</コード>
セキュリティ更新の集計の検索クエリを示すSplunkインターフェイス

このブログ記事では、Tanium ConnectからSplunkに1日1回送信されるTaniumの保存済みQuestionを使用して、2つの重要な自動指標を作成しました。 ITリーダは、この情報を使用して、現在の状態と経時的な攻撃対象領域とパッチ適用Performanceを測定できます。

これは、4部構成シリーズのパート3です。  その一つとして、Taniumが重要な脆弱性を追跡する方法Reveal。  パート2では、Taniumを使用して重要なコンプライアンス指標を追跡する方法を説明します。  パート4では、平均応答時間に関するガイドラインを提供し、迅速な応答時間がすべてのビジネスにとって重要な理由を説明します。

作成者について：Greg Pothierはセキュリティの自動化、データ分析、ペネトレーションテスト、ソフトウェア開発エクスペリエンスを持つTaniumセキュリティエンジニアです。 Taniumに入社する前は、いくつかの米国インテリジェンスおよび政府機関でシニアエンジニアを務めていました。 ジョージ・メイソン大学でコンピュータ科学のマスタ号を取得し、NSA情報保証サイバー奨学金を受賞しました。