Tenable One Vulnerability Management 常见问题

Tenable Vulnerability Management 是一款基于风险的漏洞管理解决方案，为您提供全面的网络可见性，助您预测攻击和快速对严重漏洞进行响应。持续不断的发现和评估为发现网络上的所有资产以及这些资产上隐藏的漏洞提供了必要的可见性。 内置的优先级分析、威胁情报和实时报告可帮助了解自身风险，并主动阻断攻击路径。该解决方案基于领先的 Tenable Nessus 技术并在云中托管，提供了对网络上资产和漏洞的完整可见性，以便快速准确地了解风险，并获悉需要优先修复哪些漏洞。

Tenable One Vulnerability Management 是 Tenable 暴露风险安全管理平台 Tenable One 不可或缺的组成部分。Tenable One 在 Tenable One Vulnerability Management 的基础上打造而成，提供对整个基础设施安全风险可操作的见解，其中包括云实例、Web 应用程序、Active Directory (AD) 等，甚至高度动态的资产，如移动设备、虚拟机和容器。为进一步提升网络安全风险管理，您可以获得额外的优先级分析指标和功能，如攻击面可视化、资产重要程度评级、基于风险的风险暴露评分和同行业内的基准测试，以及跟踪风险随时间降低的能力。

如需了解更多 Tenable One Vulnerability Management 相关信息，请访问 Tenable One Vulnerability Management 产品页面、参加即将举行的网络研讨会，或联系您的Tenable 认证合作伙伴或 Tenable 代表以获取更多信息。

请访问 https://www.tenable.com/try 报名参加对 Tenable One Vulnerability Management 的免费评估。

您可以通过联络当地的 Tenable 认证合作伙伴，对接您的 Tenable 代表，或访问 tenable.com来购买 Tenable One Vulnerability Management 应用程序。

是。您可以单独对 Tenable 应用程序授予许可。例如，Tenable One Web App Scanning 可以单独授予许可，而无需 Tenable One Vulnerability Management 的漏洞管理功能。

Tenable One Vulnerability Management 采用年度订阅授权模式，按资产而非 IP 地址计费。客户得以充分利用云等新型技术，无需担心重复统计。

有关定价与许可的更多信息，请参阅以下部分。

弹性资产许可有何主要益处？

• 客户可根据资产数量而非虚高的 IP 计数购买适量的许可。
• 客户可避免从过时和/或误扫描到资产中回收许可，这往往会耗费时间，并造成项目不准确。
• 对于具有多个 IP 地址的资产，漏洞管理指标不会因其双重和三重统计漏洞而崩溃。

弹性资产许可有何主要益处？

• 客户可根据资产数量而非虚高的 IP 计数购买适量的许可。
• 客户可避免从过时和/或误扫描到资产中回收许可，这往往会耗费时间，并造成项目不准确。
• 对于具有多个 IP 地址的资产，漏洞管理指标不会因其双重和三重统计漏洞而崩溃。

是的，客户可以在短时间内超出资产的许可数量。当然，若持续超出许可数量，客户即需要进行校准。

资产是可供分析的实体，示例包括台式机、笔记本电脑、服务器、存储设备、网络设备、电话、平板电脑、虚拟机、虚拟机监控程序和容器。

当 Tenable One Vulnerability Management 首次发现资产时，它会收集多个识别属性，其中可能包括 BIOS UUID、系统的 MAC 地址、NetBIOS 名称、FQDN 和/或可用于可靠地识别资产的其他属性。此外，经过身份验证的扫描和 Nessus 代理会分配一个 Tenable UUID 至该设备。在 Tenable One Vulnerability Management 后续扫描资产时，会将其与此前发现的资产进行比对。如果新发现的资产与先前发现的资产不匹配，则该资产会添加到 Tenable One Vulnerability Management 资产清单中。

IP 通常是资产的一项属性，许多资产会分配有多个 IP（例如 DHCP 设备、具有有线和无线接口的系统等）。

PCI ASV 是指支付卡行业 (PCI) 数据安全标准 (DSS) 要求的规定 11.2.2，以及要求每季度进行一次外部漏洞扫描的安全评估程序，该程序须由经过批准的扫描供应商 (ASV) 执行（或证明）。ASV 是具有一组服务和工具（“ASV 扫描解决方案”）的组织，可验证对 PCI DSS 要求 11.2.2 外部扫描规定的遵守情况。

PCI DSS 要求对以下组件进行漏洞扫描：作为持卡人数据环境的一部分，为扫描客户所拥有或使用的一切外部可访问（面向互联网）系统组件；以及任何面向外部、为持卡人数据环境提供路径的系统组件。

ASV 扫描的主要阶段包括：

• 审查：由客户执行，以包括所有作为持卡人数据环境一部分面向互联网的系统组件。
• 扫描：使用 Tenable One Vulnerability Management PCI 季度外部扫描模板
• 报告/修复：对中期报告的结果进行修复。
• 争议解决：客户和 ASV 携手共同记录和解决有争议的扫描结果。
• 重新扫描（视需要）：直到生成争议和异常得到解决的合格扫描。
• 最终报告：以安全的方式提交并交付。

ASV 漏洞扫描需要至少每季度进行一次，并在网络上发生以下任何重大改变后进行：例如新系统组件的安装、网络拓扑结构的改变、防火墙规则的修改或产品升级。

经过批准的扫描供应商 (ASV) 仅执行 PCI DSS 11.2 中所述的特定外部漏洞扫描。合格安全评估商 (QSA) 是指经过 PCI 安全标准委员会 (SSC) 资格验证和培训、以执行一般 PCI DSS 现场评估的评估商公司。

是。Tenable 作为一家经过批准的扫描供应商 (ASV)，有资格验证商家和服务提供商面向互联网环境（用于存储、处理或传输持卡人数据）执行的外部漏洞扫描。ASV 资格认证流程由三部分组成：第一部分涉及 Tenable Network Security 作为供应商的资格。第二部分是关于负责远程 PCI 扫描服务的 Tenable 员工的资格。第三个部分包括对 Tenable 远程扫描解决方案（Tenable One Vulnerability Management 和 Tenable PCI ASV）进行安全测试。