写真●トレンドマイクロのセキュリティリスク可視化サービス「Trend Micro Vulnerability Management Service」

[画像のクリックで拡大表示]

　トレンドマイクロは2011年6月22日から、企業ネットワーク上のサーバーやネットワーク機器などに擬似的な攻撃を実施することでセキュリティリスクを可視化するサービス「Trend Micro Vulnerability Management Service」（TMVMS、写真）の受注を開始する。提供開始は6月24日から。

　TMVMSは、Webサーバーなど外部に公開しているサーバーに対するSaaS型の「外部スキャン」と、企業ネットワーク内に設置した専用機器を使って社内サーバーやルーター、クライアントパソコンなどをスキャンする「内部スキャン」の2種類のサービスで構成する。

　スキャン対象となる機器はIPアドレスを単位とし、契約の範囲内で外部および内部スキャンの台数をユーザーの環境に合わせて調整できる。最小構成での契約の場合、「1年間で最大32IPアドレス、外部スキャンは4IPアドレスまで」となっている。それぞれのスキャンにおいて、対象となる機器に対して擬似的な攻撃を実施し、脆弱性を検査。検査結果を基にセキュリティリスクを可視化したレポートを発行する。

　同社の総合サーバーセキュリティソリューション「Trend Micro Deep Security」（TMDS）と連携したサーバー保護が可能になっている点もTMVMSの特徴の一つ。レポートには、「サーバーの重要度」をあらかじめ指定しておくことで、脆弱性の深刻度に応じて対策の優先度が割り振られ、それぞれの脆弱性に適合する「TMDSの仮想パッチ番号」が記載される。

　仮想パッチとは、OSやアプリケーションの脆弱性に対する修正プログラムが提供されるまでの無防備な期間を攻撃から守るために、対象のシステムに変更を加えずに暫時的に保護する機能である。これに加え、TMDSが備えるWebアプリケーション保護機能や不正侵入検知機能などを利用することで、SQLインジェクションやクロスサイトスクリプティングなどの脆弱性を悪用したサーバーへの攻撃を防げるとしている。

　具体的なスキャンのメニューとしては、（1）ネットワーク資産の脆弱性を検査し、不正アクセスの原因となる脆弱性や必要な対策を可視化する「脆弱性検査」、（2）SQLインジェクションやクロスサイトスクリプティングなどのWebアプリケーションにおける脆弱性を検査する「Webアプリケーション検査」、（3）ログインパスワードの長さや共有ディレクトリのアクセス権限など、企業のセキュリティコンプライアンスに準拠するためにセキュリティポリシー通りの設定がされているかを検査する「ポリシーコンプライアンス」---の三つを用意している。

　価格（参考標準価格）は、脆弱性検査を実施する「Trend Micro Vulnerability Management Services Express Suite Standard」が32IPアドレス（外部公開4IPアドレスを含む）で年額44万9250円、脆弱性検査とポリシーコンプライアンスの二つを実施する「Trend Micro Vulnerability Management Services Express Suite Advance」が同82万3500円、Webアプリケーション検査を実施する「Trend Micro Vulnerability Management Services Express Suite WebAppScan」が1IPアドレスで年額37万4250円などとなっている（いずれも税別）。どのサービスも1年ごとに契約の更新が必要となる。