修復期限 (Pro)
この機能には、すぐに使える2つのSLA設定が同梱されています。SLA設定からいずれかを製品に割り当てるか、コピーして調整してください。
FedRAMP Rev 5
| Severity | Due within |
|---|---|
| 重大 | 検出から30日 |
| 高 | 検出から30日 |
| 中程度 | 90日 |
| 低 | 180日 |
期限は厳格に適用されており、CISA KEVカタログに掲載されている検出事項が、そのCISA期限を超えてスケジュールされることはありません。
FedRAMP VDR
同じ基本期間を、悪用可能性と露出状況によってさらに厳格化したものです。
| Condition | Due within |
|---|---|
| 悪用が現実的かつインターネットから到達可能 | 4日 |
| 悪用が現実的のみ | 14日 |
| インターネットから到達可能のみ | 30日 |
| いずれにも該当しない | 上記のFedRAMP Rev 5の期間 |
悪用が現実的とは、検出事項がKEVに掲載されている、またはEPSSスコアがしきい値以上であることを意味します。インターネットから到達可能は、検出事項タグ(デフォルトではinternet-reachable)によって示されます。
しきい値、タグ名、日数はすべてSLA設定で編集できます。
FedRAMP VDRは2026年12月7日から必須になります。 その日付以降、FedRAMPのVulnerability Detection and Response標準はクラウドサービスプロバイダーに対して必須となります。それに先立ってVDRプリセットを採用しておくことを推奨します。
台帳との関係
SLAの期限は、POA&M項目の予定完了日を決定し、スナップショットの月次推移メトリクスにおいてどの項目が遅延として扱われるかを決定します。また、past-due-only(期限超過のみ)のスキャン項目ポリシーに何が含まれるかも決定します。詳細はコンプライアンスプロファイルを参照してください。
連邦政府以外の文脈での優先度とSLAの動作については、優先度、リスクとSLAの割り当てを参照してください。