QualysGuard(R) API

Transcription

1 QualysGuard API リリースノート バージョン 年 2 月 18 日 QualysGuard API 6.10 には Qualys が 提 供 する QualysGuard セキュリティおよびコンプライアンスサービ スと サードパーティアプリケーションとの 統 合 性 を 高 めるための 数 多 くの 手 法 が 用 意 されています Qualys は 2 つのパッケージを 同 時 にリリースするため QualysGuard API バージョンは 6.8 から 6.10 に 更 新 されます QualysGuard 6.10 API V2 が HTTP Basic 認 証 およびセッションベースの 認 証 をサポート V2 API 関 数 を 呼 び 出 す 場 合 セッションベースの 認 証 (ログインおよびログアウトの 処 理 を 実 行 ) および HTTP Basic 認 証 (V1 API 関 数 で 使 用 されるものと 同 じメソッド)のいずれかを 選 択 でき ます 各 V2 API の 呼 び 出 しには 有 効 な QualysSession Cookie または 有 効 な HTTP Basic アクセ ス 認 証 信 任 状 のいずれかを 指 定 できます CVSS サブメトリックを KnowledgeBase ダウンロード API に 追 加 KnowledgeBase ダウンロード API 関 数 (knowledgebase_download.php)は 現 在 CVSS ス コアリング 機 能 がユーザアカウントで 有 効 になっている 場 合 ユーザリクエストに 際 して CVSS サ ブメトリックを XML 出 力 で 返 します KnowledgeBase ダウンロード 出 力 DTD(knowledgebase_ download.dtd)が 更 新 されました アセット 検 索 API が 最 大 20 件 の QID の 検 索 をサポート アセット 検 索 API 関 数 (asset_search.php)は 最 大 20 件 の QID の 検 索 をサポートするよう になりました アセット 検 索 出 力 DTD(asset_search_report.dtd)に 変 更 はありません Oracle 認 証 API のアップデート Oracle 認 証 API を 使 用 すると 1 つのホストとポートの 組 み 合 わせで 複 数 の Oracle インスタンス のコンプライアンススキャンを 行 うことができます コンプライアンスモジュールが 有 効 になって いる 場 合 は Oracle 記 録 を 作 成 / 更 新 するための 新 しいパラメータが 利 用 可 能 です 無 断 複 写 転 載 を 禁 じます 2010 年 クォリスジャパン 株 式 会 社

2 アセット IP リスト 出 力 のバグを 修 正 アセット IP リストの API 関 数 (asset_ip_list.php)から 返 されるアセット IP リスト 出 力 の バグが 修 正 されました アセット IP リスト 出 力 DTD(ip_list.dtd)に 変 更 はありません 情 報 出 力 DTD に 新 しい 要 素 を 追 加 情 報 関 数 (about.php)から 返 される XML 出 力 に 新 しい 要 素 <CLUSTER-ID> が 追 加 されまし た 情 報 出 力 DTD(about.dtd)が 更 新 されました 全 般 的 な 注 意 事 項 QualysGuard API サーバの URL Qualys は 複 数 の QualysGuard プラットフォームを 提 供 しています API リクエストのために 使 用 する QualysGuard API サーバの URL は ご 使 用 のアカウントが 位 置 するプラットフォームにより 異 なります アカウントの 場 所 QualysGuard US QualysGuard EU API サーバの URL QualysGuard API ドキュメントとサンプルコードには QualysGuard US プラットフォームの API サーバ URL を 使 用 します ご 使 用 のアカウントが 別 のプラットフォームに 位 置 している 場 合 は この URL をそのアカウント 用 の 適 切 なサーバ URL に 置 き 換 えてください QualysGuard API ドキュメント リリース 時 には API ユーザガイドおよび 他 のドキュメントがアカウントのリソースセクションか ら 利 用 できます( Help Resources API ) 以 下 の API ユーザガイドがあります QualysGuard API V1 User Guide このユーザガイドでは 当 初 の API アーキテクチャ に 基 づく QualysGuard API V1 関 数 が 扱 われています QualysGuard API V2 API User Guide このユーザガイドでは 最 新 の V2 API アーキテ クチャに 基 づく QualysGuard API V2 関 数 が 扱 われています V2 API は セキュリティと パフォーマンスが 最 適 化 されています QualysGuard API バージョン 6.5 より サブスクリプションにおいてユーザが 行 える API 呼 び 出 しにはサービスの 制 限 が 課 せられます 特 に サブスクリプションごとに 同 時 性 とレートの 制 限 が あります 詳 しくは QualysGuard API Limits のドキュメントを 参 照 してください QualysGuard API リリースノート 2

3 API V2 が HTTP Basic 認 証 およびセッションベースの 認 証 をサポート API V2 が HTTP Basic 認 証 およびセッションベースの 認 証 をサポート QualysGuard API リクエストを 実 行 するには 有 効 な QualysGuard アカウント 認 証 による 認 証 が 必 要 です V2 API 関 数 を 呼 び 出 す 場 合 セッションベースの 認 証 (ログインおよびログアウトの 処 理 を 実 行 ) および HTTP Basic 認 証 (V1 API 関 数 で 使 用 されるものと 同 じメソッド)のいずれ かを 選 択 できます 各 V2 API の 呼 び 出 しには 有 効 な QualysSession Cookie または 有 効 な HTTP Basic アクセス 認 証 信 任 状 のいずれかを 指 定 できます HTTP Basic 認 証 を 使 用 したサンプルアセット / ホスト API リクエスト(Curl)を 次 に 示 します curl -v -k -u qualys_vs1:rbehiw12is -H "X-Requested-With:manual curl invocation example" " 認 証 情 報 が Basic 認 証 方 式 を 使 用 して HTTP 経 由 で 送 信 されます 詳 細 については RFC #2617 ( Basic Authentication Scheme(Basic 認 証 方 式 ) の 項 を 参 照 してください セッションベースの 認 証 方 式 を 使 用 する 場 合 ユーザは QualysGuard API session リソースを 介 して セッションログイン 用 の API V2 リクエストを 実 行 し セッション ID を 受 信 したら そ のセッション ID を 持 つ 適 切 な QualysGuard API リソースを 介 してリクエストを 送 信 します セッ ションの 最 後 に ユーザはセッションログアウト 用 の API V2 リクエストを 実 行 します QualysGuard API session リソースを 使 用 するための 構 文 や 例 を 含 む 詳 細 な 説 明 については QualysGuard API V2 API User Guide を 参 照 してください QualysGuard API リリースノート 3

4 CVSS サブメトリックを KnowledgeBase ダウンロード API に 追 加 CVSS サブメトリックを KnowledgeBase ダウンロード API に 追 加 現 在 KnowledgeBase ダウンロード API 関 数 (knowledgebase_download.php)は show_cvss_submetrics=1 パラメータがリクエストで 指 定 されていて CVSS スコアリング 機 能 がユーザアカウントで 有 効 になっている 場 合 XML 出 力 で CVSS サブメトリックを 返 します KnowledgeBase ダウンロード 出 力 DTD(knowledgebase_download.dtd)が 更 新 されました 新 しい show_cvss_submetrics パラメータ knowledgebase_download.php リクエストを 実 行 し CVSS サブメトリックを XML 出 力 で 受 信 するには 次 の URL を 指 定 します show_cvss_submetrics=1 <qualysapi.qualys.com> は ご 使 用 の QualysGuard アカウントが 存 在 するサーバの URL です 旧 リリースと 同 じく 単 一 の QID に 対 するダウンロードリクエストを 実 行 できます QID に 対 する knowledgebase_download.php リクエストを 実 行 し サブメトリックを XML 出 力 で 受 信 するには 次 の URL を 指 定 します vuln_id=116151&show_cvss_submetrics=1 KnowledgeBase ダウンロード DTD の 更 新 KnowledgeBase ダウンロード DTD(knowledgebase_download.dtd)を 以 下 に 示 します 新 しい 要 素 は 太 字 で 示 されています <!-- QUALYS KNOWLEDGEBASE DOWNLOAD DTD --> <!-- ===== VULNERABILITY INFORMATION ===== --> <!ELEMENT VULNS (ERROR (VULN)+)> <!-- Error Information --> <!ELEMENT ERROR (#PCDATA) > <!ATTLIST ERROR number CDATA #IMPLIED > <!ELEMENT VULN (QID, VULN_TYPE, SEVERITY_LEVEL, TITLE, CATEGORY?, LAST_UPDATE?, BUGTRAQ_ID_LIST?, VENDOR_REFERENCE_LIST?, CVE_ID_LIST?, DIAGNOSIS?, CONSEQUENCE?, SOLUTION?, COMPLIANCE?, CVSS_BASE?, CVSS_TEMPORAL?, CVSS_ACCESS_COMPLEXITY?, CVSS_AUTHENTICATION?, CVSS_CONFIDENTIALITY_IMPACT?, CVSS_INTEGRITY_IMPACT?, CVSS_AVAILABILITY_IMPACT?, QualysGuard API リリースノート 4

5 CVSS サブメトリックを KnowledgeBase ダウンロード API に 追 加 CVSS_EXPLOITABILITY?, CVSS_REMEDIATION_LEVEL?, CVSS_REPORT_CONFIDENCE?, PCI_FLAG?)> <!-- Required Elements --> <!ELEMENT QID (#PCDATA)> <!ELEMENT VULN_TYPE (#PCDATA)> <!-- Vulnerability Potential Vulnerability Vulnerability or Potential Vulnerability Information Gathered --> <!ELEMENT SEVERITY_LEVEL (#PCDATA)> <!ELEMENT TITLE (#PCDATA)> <!-- Optional Elements --> <!ELEMENT CATEGORY (#PCDATA)> <!ELEMENT LAST_UPDATE (#PCDATA)> <!ELEMENT BUGTRAQ_ID_LIST (BUGTRAQ_ID)+> <!ELEMENT BUGTRAQ_ID (ID,URL)> <!ELEMENT ID (#PCDATA)> <!ELEMENT URL (#PCDATA)> <!ELEMENT VENDOR_REFERENCE_LIST (VENDOR_REFERENCE)+> <!ELEMENT VENDOR_REFERENCE (ID,URL)> <!ELEMENT CVE_ID_LIST (CVE_ID)+> <!ELEMENT CVE_ID (ID,URL)> <!ELEMENT DIAGNOSIS (#PCDATA)> <!ELEMENT CONSEQUENCE (#PCDATA)> <!ELEMENT SOLUTION (#PCDATA)> <!ELEMENT COMPLIANCE (COMPLIANCE_INFO+)> <!ELEMENT COMPLIANCE_INFO (COMPLIANCE_TYPE, COMPLIANCE_SECTION, COMPLIANCE_DESCRIPTION)> <!ELEMENT COMPLIANCE_TYPE (#PCDATA)> <!ELEMENT COMPLIANCE_SECTION (#PCDATA)> <!ELEMENT COMPLIANCE_DESCRIPTION (#PCDATA)> <!ELEMENT CVSS_BASE (#PCDATA)> <!ATTLIST CVSS_BASE source CDATA #IMPLIED > <!ELEMENT CVSS_TEMPORAL (#PCDATA)> <!ELEMENT CVSS_ACCESS_COMPLEXITY (#PCDATA)> <!ELEMENT CVSS_AUTHENTICATION (#PCDATA)> <!ELEMENT CVSS_CONFIDENTIALITY_IMPACT (#PCDATA)> <!ELEMENT CVSS_INTEGRITY_IMPACT (#PCDATA)> QualysGuard API リリースノート 5

6 CVSS サブメトリックを KnowledgeBase ダウンロード API に 追 加 <!ELEMENT CVSS_AVAILABILITY_IMPACT (#PCDATA)> <!ELEMENT CVSS_EXPLOITABILITY (#PCDATA)> <!ELEMENT CVSS_REMEDIATION_LEVEL (#PCDATA)> <!ELEMENT CVSS_REPORT_CONFIDENCE (#PCDATA)> <!ELEMENT PCI_FLAG (#PCDATA)> 新 しい CVSS サブメトリック 要 素 CVSS サブメトリックの 要 素 について 以 下 に 説 明 します XPath 要 素 の 仕 様 / 注 /VULNS/VULN/CVSS_ACCESS_COMPLEXITY (#PCDATA) CVSS アクセス 可 用 性 メトリック このメトリックは 攻 撃 者 が 対 象 システムへの アクセス 権 を 取 得 したときに 脆 弱 性 の 悪 用 に 必 要 な 攻 撃 の 複 雑 さを 測 定 します Undefined Low Midium High のいずれかの 値 です /VULNS/VULN/CVSS_AUTHENTICATION (#PCDATA) CVSS 認 証 メトリック このメトリックは 攻 撃 者 が 脆 弱 性 を 悪 用 するために 対 象 に 対 して 認 証 しなければならない 回 数 を 測 定 します Undefined Non required Require single instance Require multiple instances のいずれかの 値 です /VULNS/VULN/CVSS_CONFIDENTIALITY_IMPACT (#PCDATA) CVSS 機 密 性 インパクトメトリック このメトリックは 悪 用 に 成 功 した 脆 弱 性 の 機 密 性 に 対 するインパクトを 測 定 します Undefined None Partial Complete のいずれかの 値 です /VULNS/VULN/CVSS_INTEGRITY_IMPACT (#PCDATA) CVSS 整 合 性 インパクトメトリック このメトリックは 悪 用 に 成 功 した 脆 弱 性 の 整 合 性 に 対 するインパクトを 測 定 します Undefined None Partial Complete のいずれかの 値 です /VULNS/VULN/CVSS_AVAILABILITY_IMPACT (#PCDATA) CVSS 可 用 性 インパクトメトリック このメトリックは 悪 用 に 成 功 した 脆 弱 性 の 可 用 性 に 対 するインパクトを 測 定 します Undefined None Partial Complete のいずれかの 値 です /VULNS/VULN/CVSS_EXPLOITABILITY (#PCDATA) CVSS 悪 用 可 能 性 メトリック このメトリックは 悪 用 の 手 法 またはコードに 対 す る 可 用 性 の 現 在 の 状 態 を 測 定 します Undefined Unproven Proof-ofconcept Functional Widespread のいずれかの 値 です /VULNS/VULN/CVSS_REMEDIATION_LEVEL (#PCDATA) CVSS 改 善 レベルメトリック 脆 弱 性 の 改 善 レベルが 優 先 順 位 付 けの 重 要 な 要 素 に なります Undefined Official-fix Temporary-fix Workaround Unavailable のいずれかの 値 です /VULNS/VULN/CVSS_REPORT_CONFIDENCE (#PCDATA) CVSS レポート 確 実 性 メトリック このメトリックは 脆 弱 性 の 存 在 に 対 する 確 実 性 と 既 知 の 技 術 的 な 詳 細 の 信 頼 性 の 程 度 を 測 定 します Undefined Not confirmed Uncorroborated Confirmed のいずれかの 値 です QualysGuard API リリースノート 6

7 CVSS サブメトリックを KnowledgeBase ダウンロード API に 追 加 KnowledgeBase ダウンロード XML 出 力 の 例 この URL は サンプル XML 出 力 で 表 示 された CVSS サブメトリックで QID の KnowledgeBase 出 力 をダウンロードするために 使 用 されました vuln_id=27210&show_cvss_submetrics=1 <?xml version="1.0" encoding="utf-8"?> <!DOCTYPE VULNS SYSTEM " <VULNS> <VULN> <QID>27210</QID> <VULN_TYPE>Vulnerability</VULN_TYPE> <SEVERITY_LEVEL>4</SEVERITY_LEVEL> <TITLE><![CDATA[Unauthenticated Access to FTP Server Allowed]]></TITLE> <CATEGORY>File Transfer Protocol</CATEGORY> <LAST_UPDATE><![CDATA[ T18:48:19Z]]></LAST_UPDATE> <DIAGNOSIS><![CDATA[Users can access the FTP server with any random user name and password. ]]></DIAGNOSIS> <CONSEQUENCE><![CDATA[A remote user may exploit this vulnerability to obtain sensitive information.]]></consequence> <SOLUTION><![CDATA[Restrict access to the FTP server by only granting authenticated users access. ]]></SOLUTION> <CVSS_BASE source="service">6.8</cvss_base> <CVSS_TEMPORAL>7</CVSS_TEMPORAL> <CVSS_ACCESS_COMPLEXITY>Low</CVSS_ACCESS_COMPLEXITY> <CVSS_AUTHENTICATION>Non required</cvss_authentication> <CVSS_CONFIDENTIALITY_IMPACT>Complete</CVSS_CONFIDENTIALITY_IMPACT> <CVSS_INTEGRITY_IMPACT>None</CVSS_INTEGRITY_IMPACT> <CVSS_AVAILABILITY_IMPACT>None</CVSS_AVAILABILITY_IMPACT> <CVSS_EXPLOITABILITY>Functional</CVSS_EXPLOITABILITY> <CVSS_REMEDIATION_LEVEL>Workaround</CVSS_REMEDIATION_LEVEL> <CVSS_REPORT_CONFIDENCE>Confirmed</CVSS_REPORT_CONFIDENCE> </VULN> </VULNS> QualysGuard API リリースノート 7

8 アセット 検 索 API が 最 大 20 件 の QID の 検 索 をサポート アセット 検 索 API が 最 大 20 件 の QID の 検 索 をサポート アセット 検 索 API 関 数 (asset_search.php)は 各 API リクエストで 最 大 20 件 の QID の 検 索 をサポートするようになりました 以 前 のリリースと 同 様 QID は vuln_qid パラメータで 指 定 します アセット 検 索 出 力 DTD(asset_search_report.dtd)に 変 更 はありません 以 下 の URL は 20 件 の QID に 脆 弱 なアセットグループ Critical Servers のホストを 検 索 します target_asset_groups=critical+servers&vuln_qid=27279,116770,116766,110023, ,90401,100023,19509,90566,90271,100057,115685,115725,116529,116678, ,116768,110033,110026, <qualysapi.qualys.com> は お 使 いの QualysGuard API サーバの URL です QualysGuard API リリースノート 8

9 Oracle 認 証 API のアップデート Oracle 認 証 API のアップデート Oracle 認 証 API のアップデートによって 1 つのホストとポートの 組 み 合 わせで 複 数 の Oracle イ ンスタンスのコンプライアンススキャンを 行 うことができるようになります コンプライアンスモジュールをユーザのアカウントで 有 効 にすると /auth/oracle API を 使 用 し て Oracle 記 録 を 作 成 / 更 新 するための 新 しい pc_only 入 力 パラメータを 設 定 できます Oracle 記 録 リスト 出 力 DTD には このオプションを 有 効 にした 記 録 を 識 別 するための 新 しい <PC_ONLY> 要 素 が 含 まれています 新 しい 入 力 パラメータ pc_only=1 (コンプライアンスモジュールが 有 効 になっている 場 合 はオプション)1 を 指 定 すると この 記 録 にあるホストとポートの 組 み 合 わせで 実 行 されている 複 数 のインスタンス(SID)に 対 してコンプ ライアンススキャンが 実 行 されます pc_only=1 を 指 定 すると 記 録 はコンプライアンススキャ ンのみで 使 用 されます このパラメータが 指 定 されていない 場 合 記 録 は 脆 弱 性 スキャンとコンプ ライアンススキャンで 使 用 されます Oracle 記 録 リスト 出 力 の 新 しい <PC_ONLY> 要 素 Oracle 記 録 リスト 出 力 DTD(auth_oracle_list_output.dtd)には 新 しい <PC_ONLY> 要 素 があ ります この DTD は 次 の 場 所 にあります auth_oracle_list_output.dtd <qualysapi.qualys.com> は ご 使 用 のアカウントが 存 在 する API サーバ URL です <PC_ONLY> 要 素 は <AUTH_ORACLE> 要 素 の 部 分 要 素 です <!ELEMENT AUTH_ORACLE (ID, TITLE, USERNAME, SID, PORT, IP_SET, PC_ONLY?, CREATED, LAST_MODIFIED, COMMENTS?)> <!ELEMENT ID (#PCDATA)> <!ELEMENT TITLE (#PCDATA)> <!ELEMENT USERNAME (#PCDATA)> <!ELEMENT SID (#PCDATA)> <!ELEMENT PORT (#PCDATA)> <!ELEMENT PC_ONLY (#PCDATA)> 個 々の 記 録 で pc_only=1 パラメータが 定 義 されている 場 合 その 記 録 では XML 出 力 の <PC_ONLY> 要 素 が 1 に 設 定 されます QualysGuard API リリースノート 9

10 アセット IP リスト 出 力 のバグを 修 正 アセット IP リスト 出 力 のバグを 修 正 スペルエラーを 修 正 するために アセット IP リストの API 関 数 (asset_ip_list.php)から 返 されるアセット IP リスト 出 力 のバグが 修 正 されました アセット IP リスト 出 力 DTD(ip_list.dtd) に 変 更 はありません QualysGuard API 6.8 の 出 力 要 素 名 <USER_DEFINED_ATTR_LIST> には detailed_no_results=1 パラメータが API リクエストで 指 定 される 場 合 にスペルミスがありました detailed_no_results=1 <qualysapi.qualys.com> は ご 使 用 のアカウントが 存 在 する API サーバ URL です API 6.9 の 出 力 の 例 (エラー 個 所 は 太 字 で 表 示 )... <NO_RESULTS> <USER_DEFIINED_ATTR_LIST> <USER_DEFINED_ATTR> <UDA_INDEX>1</UDA_INDEX> <UDA_TITLE><![CDATA[Location]]></UDA_TITLE> <UDA_VALUE><![CDATA[Redwood Shores, CA]]></UDA_VALUE> <IP_LIST> <RANGE> <START><![CDATA[ ]]></START> <END><![CDATA[ ]]></END> </RANGE> </IP_LIST> </USER_DEFINED_ATTR>... API 6.9 の 出 力 の 例 ( 修 正 個 所 は 太 字 で 表 示 )... <NO_RESULTS> <USER_DEFINED_ATTR_LIST> <USER_DEFINED_ATTR> <UDA_INDEX>1</UDA_INDEX> <UDA_TITLE><![CDATA[Location]]></UDA_TITLE> <UDA_VALUE><![CDATA[Redwood Shores, CA]]></UDA_VALUE> <IP_LIST> <RANGE>... QualysGuard API リリースノート 10

11 情 報 出 力 DTD に 新 しい 要 素 を 追 加 情 報 出 力 DTD に 新 しい 要 素 を 追 加 情 報 関 数 (about.php)は お 使 いのアカウントが 位 置 する QualysGuard セキュアオペレーショ ンセンター(SOC)に 関 する 情 報 を 返 します プラットフォームが 複 数 のクラスタを 実 装 する 場 合 に about.php 関 数 から 返 される XML に 新 しい <CLUSTER-ID> 要 素 が 含 まれます この 要 素 は 情 報 出 力 DTD(about.dtd)に 追 加 されています クラスタ ID は お 使 いのアカウントが 位 置 するプラットフォーム 内 のクラスタを 識 別 します この DTD は 以 下 の URL にあります <qualysapi.qualys.com> は ご 使 用 のアカウントが 存 在 する API サーバの URL です 情 報 出 力 DTD を 更 新 新 しい 情 報 出 力 DTD を 以 下 に 示 します 新 しい <CLUSTER-ID> 要 素 は 太 字 で 示 されています <!-- QUALYS ABOUT DTD --> <!ELEMENT ABOUT (API-VERSION, WEB-VERSION, SCANNER-VERSION, VULNSIGS-VERSION, CLUSTER-ID?)> <!-- version number for the API --> <!ELEMENT API-VERSION EMPTY> <!ATTLIST API-VERSION MAJOR CDATA #REQUIRED MINOR CDATA #REQUIRED> <!-- version number for the Web app --> <!ELEMENT WEB-VERSION (#PCDATA)> <!-- version number for the Scanner --> <!ELEMENT SCANNER-VERSION (#PCDATA)> <!-- version number for the Vulnerability signature --> <!ELEMENT VULNSIGS-VERSION (#PCDATA)> <!-- id number for platform cluster --> <!ELEMENT CLUSTER-ID (#PCDATA)> <!-- EOF --> 情 報 XML 出 力 の 例 about.php API リクエストの XML 出 力 の 例 を 以 下 に 示 します <?xml version="1.0" encoding="utf-8"?> <!DOCTYPE ABOUT SYSTEM " <ABOUT> <API-VERSION MAJOR="1" MINOR="4" /> <WEB-VERSION> </WEB-VERSION> <SCANNER-VERSION> </SCANNER-VERSION> <VULNSIGS-VERSION> </VULNSIGS-VERSION> <CLUSTER-ID>1136</CLUSTER-ID> </ABOUT> QualysGuard API リリースノート 11