監査

CVE (共通脆弱性識別子)は、一般に知られているセキュリティの脆弱性に対する修正です。

各CVEには、識別番号、脆弱性の説明、およびさらなる情報へのリンクが含まれています。 CVE識別番号は、`CVE-YEAR-XXXX`の形式を使用します。

SUSE Multi-Linux Manager Web UIでは、Audit  CVE監査に移動して、すべてのクライアントとその現在のパッチステータスのリストを表示します。

デフォルトでは、パッチデータは毎日23:00に更新されます。 CVE監査を開始する前に、最新のパッチを確保するためにデータを更新することをお勧めします。

このページで使用されているパッチステータスアイコンに関する詳細情報は、CVE Auditを参照してください。

各システムについて、`Actions`列は脆弱性に対処するために必要な情報を提供します。 該当する場合、候補となるチャネルやパッチのリストも提供されます。 システムを`System Set`に割り当てて、さらにバッチ処理を行うこともできます。

SUSE Multi-Linux Manager APIを使用して、クライアントのパッチステータスを確認できます。 audit.listSystemsByPatchStatus APIメソッドを使用します。 このメソッドに関する詳細は、SUSE Multi-Linux Manager APIガイドを参照してください。

CVE監査操作は、チャネルとOVAL（オープン脆弱性評価言語）の2つの主要なデータソースに依存しています。 これら2つのソースは、CVE監査を実施するためのメタデータを提供し、それぞれ異なる目的を果たします。

CVE監査はチャンネルデータのみを使用して実施できますが、OVALデータを同期させることで、特に、ゼロデイ脆弱性や部分的にパッチが適用された脆弱性に関連するケースで、結果の精度が向上します。

OVALデータはチャネルデータよりもはるかに軽量です。 例えば、openSUSE Leap 15.4のOVALデータは約50 MBです。

OVALデータを同期しただけで、すでに CVE 監査を実施し、システムがCVEに対して脆弱かどうかを確認できます。ただし、パッチはチャンネルから取得されるため、パッチを適用することはできません。

以下のプロシージャを使用して、OVALデータを有効、無効、または更新できます。

あるいは、OVALデータサポートを無効にするためのプロシージャを使用します。

クライアントのCVEステータスは、通常`affected`、not affected、または`patched`のいずれかです。 これらのステータスは、SUSE Multi-Linux Managerに利用可能な情報のみに基づいています。

SUSE Multi-Linux Manager内では、これらの定義が適用されます：