OpenVAS対Nessus：脆弱性スキャナー比較ガイド

進化し続ける技術革新に伴い、企業は市場で競争するため、業務効率の向上を図り続けています。しかし、インフラが変化するにつれ、新たなセキュリティ上の欠陥や脆弱性が発生しやすくなっています。最終的には、企業の機密データが露出し、データ侵害などのさらなる危険を招くおそれがあります。

そのため企業は、ネットワークインフラの欠陥を発見し、リスクを低減するとともに、セキュリティ対策の準備状況を評価するため、脆弱性スキャン技術に投資しています。これらの高度に専門化されたソフトウェアソリューションは、企業環境をプロアクティブに検査するだけでなく、セキュリティ上の欠陥を検出して修正することもできます。

NessusとOpenVASは、企業ネットワークのセキュリティを評価するさまざまな機能を備えた、信頼性の高い2つの脆弱性スキャナーです。Nessusはインターネットに接続された攻撃対象領域を可視化し、OpenVASのネットワークセキュリティ監査も広く利用されています。

Nessus：包括的な脆弱性スキャンツールを求める企業に最適。特に、専門家によるセキュリティ監査に適しています。

OpenVAS：低コストの予算で運用したい組織に最適。完全無料で、50,000件を超える脆弱性テストを実行できます。

ここでは、ビジネス要件に最適なソリューションを選択できるよう、両方の脆弱性スキャンソリューションを検証します。

脆弱性スキャンの重要性について詳しく読む。

NessusとOpenVASの比較概要

NessusとOpenVASの比較：ポートフォリオ

Nessusは、現在市場で入手できる脆弱性評価ツールの中でも、特に信頼性の高い製品の1つといえるでしょう。オープンポートを探し、稼働中のサービスを特定して、潜在的なセキュリティホールに関する詳細を提供します。TenableのWebベースアプリケーションには、iPhone XS Max、Windows、Linuxなど、複数のプラットフォームで動作するさまざまなプラグインが含まれています。

長年にわたり、Tenableはセキュリティコミュニティと協力してきました。同社は製品イノベーションを重視し、顧客からのフィードバックに応じて機能を改善できるようNessusの最適化を続けています。システム管理者は、情報提供の通知を活用できます。

OpenVASは、包括的な脆弱性スキャナーです。未認証テストと認証済みテスト、多数の高レベルおよび低レベルのインターネット・産業用プロトコル、大規模スキャン向けの効率調整、あらゆる種類の脆弱性テストを構築できる強力な内部プログラミング言語などを強みとしています。

脆弱性を特定するためのテストは、長い実績を持ち、継続的に更新されているフィードからスキャナーが取得します。OpenVASは、未認証テストと認証済みテストによる脆弱性評価に加え、さまざまなITインフラを無制限に評価できます。

NessusとOpenVASの比較：パートナー

Tenableの一流セキュリティ専門家によって開発されたNessusは、ビジネスプロセスと業務全体にわたるリスクを低減するため、脆弱性を幅広くカバーしています。Dell、Nucleus、GitHub、VMware、Apple、Blackberry、Cisco、Datadog、Slackなどの有力企業も、顧客の課題に対する最先端のソリューションを開発・提供するため、提携しています。サイバーエクスポージャー・テクノロジー・エコシステムには、Splunk、BeyondTrust、AWS、Google Cloud、IBM Security、Microsoft、Siemens Energyなどのパートナーが参加しています。

一方、OpenVASには、世界各地の再販・流通パートナーが数多く存在します。ADN、Bechtle、Com-Sys、WBS、KHIPU Networks Limited、DATAKOM、Michael Wessel、Root Sektor、indevisなどが含まれます。

NessusとOpenVASの比較：ユースケース

Nessusは従来の資産の範囲をはるかに超え、脆弱性評価における世界的なゴールドスタンダードと見なされています。さらに、安全なクラウドインフラ上で動作します。Nessusは主に、Nessus ProfessionalとNessus Expertという2種類のソリューションを提供しています。Professionalはセキュリティ実務担当者に、Expertはプログラマーや中小企業に最適です。どちらも、無制限のIT評価、構成評価、カスタマイズ可能なレポート、コミュニティによる支援を提供します。

さらに、Nessusは72,000件のCVE（共通脆弱性識別子）にも対応しており、これは注目に値します。Six Sigmaを上回る精度でスキャンを実行できます。現在も新たな脆弱性スキャンが定期的に提供されています。重大な脆弱性向けに作成されたスキャンテンプレートも利用できます。Live Resultsは、最新のスキャンデータに基づいて脆弱性を検出し、リアルタイムの可視性を提供します。さらに、700種類を超えるコンプライアンスおよびカスタマイズ用テンプレートを追加料金なしで利用できます。

OpenVASは、OpenVASが採用するコミュニティ主導の開発手法により、誰でもダウンロードして利用できます。ただし、メイン製品にコード変更を提出するには、まずプロジェクトへの登録が必要です。

セキュリティ専門家は、誰もが無料で製品を利用できるようにしたいという思いから、OpenVASコミュニティを結成しました。OpenVASの利用に必要なのはインターネット接続だけです。そのため、ライセンス料やその他の料金は一切かかりません。オープンソースの脆弱性管理において、OpenVASは間違いなく世界で最も人気のある選択肢です。

NessusとOpenVASの比較：評価

。Gartner Peer Insightsによると、Nessusの評価は5つ星中4.5です。ユーザーにとって理想的なペネトレーションスキャナーの1つと評されています。Nessusに必要な唯一の改善点は価格です。NessusのProfessional版はやや高価だと述べるユーザーもいます。GartnerにおけるOpenVASの評価は4.3です。OpenVASは無料であるため、ユーザーがコストに関する問題に直面したことはありません。

。G2によると、Nessusは5つ星中4.5、OpenVASは4.4の評価を獲得しています。次にCapterraを見ると、Nessusは4.7、OpenVASは4.1の評価です。

NessusとOpenVASの比較：認知度

Nessusは数万人の顧客に利用され、ビジネスを支援してきました。現在利用できるプラグインは182,000以上に上り、毎週100個をはるかに超えるプラグインがリリースされています。さらに、スキャン100万回あたりの障害は通常0.32件で、極めて低い水準です。また、最も包括的かつ詳細な脆弱性カバレッジを提供しています。さらに、親会社であるTenableは、2021年の脆弱性評価分野におけるGartnerの代表ベンダーに選出されています。

次にOpenVASを見てみましょう。OpenVASは複数の認証を取得しています。例を挙げると、ISO 9001:2015品質マネジメントシステム認証や、情報セキュリティに関するISO/IEC 27001認証などです。加盟団体としては、AFCEA、CIS SecureSuite、OSB Alliance、Alliance for Cyber Sicherheitに参加しています。

NessusとOpenVASの比較：総合評価

Nessusは、セキュリティ専門家向けに最適化された製品です。構築済みのテンプレートやポリシー、リアルタイム更新など、脆弱性評価をさらに容易にするさまざまな機能を提供します。一方、OpenVASも、ポートを効果的にスキャンして脆弱性を発見できる優れたスキャンプログラムです。OpenVASは一般に、脆弱性スキャナーを必要としながら、高価なソリューションへの投資を望まない企業に適しています。

NessusとOpenVASの脆弱性スキャナーを利用すべきでない企業

NessusとOpenVASは、市場で企業向けに提供されている最良の製品の一つであることは間違いありませんが、いくつかの欠点を理由に、選択を考え直すことになる可能性があります。

Nessusの脆弱性スキャンを利用すべきでない企業

ネットワークに対して完全に安全なシステムを求める場合、Nessusは理想的な選択肢とはいえません。一般に、攻撃を能動的に阻止することはできないためです。代わりに、サイバー犯罪者に悪用される可能性のある弱点を特定することしかできません。さらに、ソリューションの価格が高い可能性があるため、小規模企業では導入できない場合があります。

OpenVASの脆弱性スキャンを利用すべきでない企業

新設企業の場合、OpenVASは理想的な選択肢とはいえない可能性があります。OpenVASは低コストという点でNessusより優れていますが、スキャナーから本来の価値とメリットを引き出すには、一般に熟練した経験豊富なスタッフが必要です。

NessusとOpenVASの代替製品トップ3

NessusとOpenVASが組織に最適だと思われる場合でも、セキュリティに関して1つや2つの要素を軽視することはできません。そのため、ビジネス要件が異なる場合は、NessusとOpenVASの代替ソリューションを検討するとよいでしょう。

代替製品には次のようなものがあります。

ManageEngine Vulnerability Manager Plus：脆弱性の発見に加え、構成監査と脆弱性評価、脆弱性への対処方法の特定に最適です。中規模から大規模の企業に適しています。

IBM X-Force Red Vulnerability Management Services：データの優先順位付け、企業インフラの保護、脆弱性の修正に最適です。小規模、中規模、大規模の企業に適しています。

Digital Defense Frontline VM：脆弱性の所在を確認するのに最適です。優れたペネトレーションテストとパッチ管理を提供します。小規模、中規模、大規模のあらゆる企業に適しています。

結論：NessusとOpenVASの脆弱性スキャン

脆弱性のスキャンにおいて、NessusとOpenVASはいずれも非常に信頼できる選択肢です。長年にわたり業界で利用されてきたことで、進化する最新の市場ニーズに応えるため、機能セットを強化してきました。これを踏まえ、組織に適した主要な脆弱性スキャンシステムのいずれかを自由に選択できます。

詳しくは主要な脆弱性ソフトウェアとツールをご覧ください。