サブスクリプションのアセットリスクスコアリング機能を有効化した顧客に適用されます。この機能を有効にするには、Qualys サポートまたはテクニカルアカウントマネージャにお問い合わせください。
アセットリスクスコア（ARS）、アセット緊急度スコア（ACS）、および Qualys 検出スコア（QDS）などの Qualys TruRisk の詳細を、脆弱性スキャンレポートに表示するかを選択できます。これらのスコアに関する理解を深めるには、下記の項を参照してください。
下記の項に移動します。
1) 「Reports」->「Templates」に移動します。新しいスキャンレポートテンプレートを作成するか、既存のスキャンレポートテンプレートを編集します。
2) 「Findings」タブで、「Host Based Findings」を選択します。
3) 「Display」タブで、以下のオプションを選択します:
- TruRisk Details (ARS, ACS, QDS)
- ARS および ACS スコアは、各ホストのサマリレベルで表示されるため、レポートにこれらのスコアを表示するには、「Text Summary」も選択する必要があります。
- QDS スコアは、脆弱性の詳細を展開したときに表示されるため、レポートにこのスコアを表示するには、「Vulnerability Details」と少なくとも 1 つの脆弱性の詳細（「Threat」など）も選択する必要があります。
- 「Sort by」オプションを選択します。ソート基準を「Host」にし、「TruRisk Details」を含める場合、すべてのレポート形式（CSV、XML、HTML、DOCX、PDF、および MHT）でスコアが表示されます。ソート基準をその他の方法（例: 「Vulnerability」、「Operating System」、「Asset Group」など）にし、「TruRisk Details」を含める場合は、CSV および XML のレポート形式にのみスコアが表示されます。
アセットリスクスコア（ARS）は、アセットに割り当てられた全体のリスクスコアです。ARS の範囲は 0 ～ 1000 で、以下のように分けられています。
- Severe（重大）: 850 ～ 1000
- High（高い）: 700 ～ 849
- Medium（中間）: 500 ～ 699
- Low（低い）: 0 ～ 499
ARS は、以下の寄与因子に基づいて計算されます。
a) アセット緊急度スコア（ACS）
b) QID レベルごとの QDS スコア
c) QID の緊急度レベルごとに自動割り当てされた重み因子（w）
ARS の計算には、以下の式を使用します。
ARS = ACS * {wc(Avg(QDc)) + wh(Avg(QDSh)) + wm(Avg(QDSm)) + wl(Avg(QDSl))}
ここで、
ACS - アセット緊急度スコア
w - QID の重大度ごとの重み因子 [危険（c）、高い（h）、中間（m）、低い（l）]
Avg(QDS) - QID の重大度ごとの Qualys リスクスコアの平均
アセットに緊急度が高い脆弱性がない場合は、次に利用可能な QDS を使用して ARS が計算されます。QDS の計算方法を理解するには、Qualys 検出スコアを参照してください。
アセット緊急度スコア（ACS）が定義されたアセットに割り当てられた複数のタグに基づいて計算されます。アセットに複数のタグが割り当てられている場合、最も高いスコアが ACS で尊重されます。
例えば、アセットに 6 つのタグを割り当てた場合、1 ～ 5 の間で最も高い値のタグが、アセットリスクスコア（ARS）を計算するときの寄与因子とみなされます。
Qualys 検出スコア（QDS）は、Qualys によって検出された脆弱性に割り当てられます。QDS の範囲は 0 ～ 100 で、以下の 4 つの重大度に分けられます。
- Critical（危険）: 90 ～ 100
- High（高い）: 70 ～ 89
- Medium（中間）: 40 ～ 69
- Low（低い）: 1 ～ 39
QDS は、以下の要因から得られます。
a）脆弱性の技術的な詳細（CVSS スコア）: CVE の最も高い Qualys 脆弱性スコア（QVS）は、QID に関連付けられます。
b）脆弱性の現状に関する詳細: 脆弱性に関する外部からの脅威インテリジェンスの詳細を監視し、攻撃される可能性（ECM）、マルウェア、アクティブな脅威アクター、流行っているかどうかなどのデータを収集します。
c）脆弱性の改善に関する詳細（CID）: 緩和制御を適用し、脆弱性によるリスクを軽減します。Qualys のコンプライアンスモジュールによって緩和制御が適用されると、脆弱性のリスクスコアが削減されます。
注記: 複数の CVE が QID に寄与している場合、スコアが最も高い CVE が QDS の計算で尊重されます。
Qualys 脆弱性スコア（QVS）は、CVSS および外部からの脅威インジケータ（積極的な悪用、攻撃される可能性）など、CVE に関連する複数の要因に基づいて Qualys が割り当てた脆弱性のスコアです。
Qualys では、QVS に適用されるさまざまな緩和制御（CID）を提供しています。すべての CID を 1 つの QID に適用すると QVS が削減します。CID を適用しない場合、QVS は QDS と等しくなります。
QDS の計算には、以下の式を使用します。
QDS = QVS - CID
サブスクリプションのアセットリスクスコアリング機能が有効化された後にスキャンされたホストのスコアのみが表示されます。ホストのスコアが表示されない場合は、前回のスキャン日を確認してください。
仮に、同じ IP アドレスが 2 つの異なるネットワーク（グローバルデフォルトネットワークとネットワーク A）に属するとします。この場合、同じ IP アドレスに対して 2 つの異なるホスト ID を持つことになります。ネットワーク A のホストをスキャンし、グローバルデフォルトネットワークのホストをスキャンせずにその IP アドレスのレポートを実行した場合、ネットワーク A のホストのスコアは表示されますが、グローバルデフォルトネットワークのホストのスコアは表示されません。