Tenable Vulnerability Management

Le connecteur Tenable Vulnerability Management récupère dans OverView les assets de votre plateforme cloud Tenable Vulnerability Management (anciennement Tenable.io, hébergée sur cloud.tenable.com) : leurs noms (hostname, FQDN, NetBIOS), adresses IP et MAC, système d'exploitation, dates de première et dernière détection et logiciels installés, les vulnérabilités détectées sur ceux-ci (plugin, sévérité, CVE, scores CVSS, EPSS et VPR, CISA KEV, statut, dates de première et dernière détection) et les Nessus Agents qui leur sont rattachés (nom, statut, version, plateforme, dernière connexion).

Cette page concerne la plateforme cloud. Tenable Security Center, installé sur votre propre infrastructure, dispose de son propre connecteur et de sa propre page.

Prérequis

• Un abonnement Tenable Vulnerability Management
• Un compte Administrator pour créer le rôle, l'utilisateur dédié et sa permission, et générer ses clés API

Procédure

Créer un rôle en lecture seule

Un rôle personnalisé accorde au connecteur les deux privilèges qu'il utilise, et rien qui crée, lance ou modifie quoi que ce soit.

1. Connectez-vous avec un compte Administrator, allez dans Settings > Access Control, puis ouvrez l'onglet Roles.
2. Cliquez sur Add Role et renseignez un Name (ex. OverView Connector).
3. Dans le panneau de gauche, cliquez sur Vulnerability Management et activez l'application avec son interrupteur.
4. Sélectionnez ces privilèges :
   • Explore : Read et Export (export des données des onglets Assets et Findings)
   • Sensors > Nessus Agent : Read (consultation des données des Nessus Agents)
5. Conservez le privilège Read sur General Settings, License et My Account : Tenable l'exige pour tout rôle.
6. Enregistrez le rôle.

Lorsque les rôles personnalisés ne sont pas utilisés, le rôle prédéfini Scan Manager est le plus bas qui couvre les deux exports et les Nessus Agents, mais il permet aussi de créer et lancer des scans et de gérer les agents.

Créer un utilisateur dédié

Un utilisateur dispose d'une seule paire de clés API : en générer une nouvelle remplace la précédente et interrompt les intégrations qui l'utilisaient. Un utilisateur dédié à OverView rend le connecteur indépendant des comptes personnels et des autres intégrations.

1. Dans Settings > Access Control, ouvrez l'onglet Users et cliquez sur Create User.
2. Renseignez :
   • Full Name (ex. OverView Connector)
   • Username, au format nom@domaine avec un domaine approuvé pour votre instance (ex. overview-connector@example.com)
   • Password et Verify Password
   • Role : le rôle créé ci-dessus, ou Scan Manager
3. Dans la section Authentication, cochez API Key (autorise l'utilisateur à générer des clés API).
4. Enregistrez l'utilisateur.

Donner accès à tous les assets

Le rôle définit ce que l'utilisateur peut faire ; les permissions définissent les assets qu'il voit. Les assets que l'utilisateur ne peut pas consulter sont absents de l'import, sans aucune erreur.

1. Dans Settings > Access Control, ouvrez l'onglet Permissions et cliquez sur Create Permission.
2. Renseignez :
   • Permission Name (ex. OverView Connector)
   • Users : l'utilisateur dédié
   • Permissions : Can View
   • Objects : All Assets
3. Enregistrez la permission.

Donner accès aux groupes d'agents

Avec un rôle personnalisé, l'utilisateur ne voit un Nessus Agent que si l'agent appartient à au moins un groupe d'agents auquel il a accès. Les agents qui n'appartiennent à aucun groupe ne sont visibles que des Administrators.

1. Dans la navigation de gauche, cliquez sur Sensors, ouvrez l'onglet Nessus Agents, puis sélectionnez Agent Groups dans la liste déroulante.
2. Pour chaque groupe d'agents, cliquez sur Edit et ajoutez l'utilisateur dédié dans les permissions utilisateur du groupe.
3. Enregistrez chaque groupe.

Générer les clés API

1. Dans Settings > Access Control > Users, cliquez sur le nom de l'utilisateur dédié.
2. Dans la section API Keys, cliquez sur Generate API Keys, puis sur Replace & Generate.
3. Copiez l'Access Key et la Secret Key avant de quitter la page.

Les clés ne peuvent plus être affichées une fois la page fermée. Si vous les perdez, générez une nouvelle paire : les clés précédentes sont remplacées et cessent immédiatement de fonctionner.

Permissions requises

Les clés API héritent du rôle et des permissions de leur utilisateur. Le connecteur ne fait que lire des données ; il ne crée, ne modifie et ne lance jamais rien dans Tenable Vulnerability Management.

Les deux exports requièrent également Can View sur les assets exportés.

Sans le privilège Nessus Agent (par exemple avec le rôle Basic), ou pour un agent hors des groupes d'agents accessibles à l'utilisateur, l'import récupère toujours les assets, les logiciels et les vulnérabilités, et identifie les assets équipés d'un Nessus Agent, mais sans le statut, la version ni la dernière connexion des agents.

Vérifier l'accès

Exécutez :

curl -H "X-ApiKeys: accessKey=ACCESS_KEY;secretKey=SECRET_KEY" \
     "https://cloud.tenable.com/scanners/null/agents?limit=1"

Une réponse 200 contenant une liste agents confirme les clés et l'accès aux Nessus Agents. Un 401 signifie que les clés sont invalides ; un 403 signifie que le rôle de l'utilisateur ne permet pas de lire les agents.

Bonnes pratiques de sécurité

• Utilisez un utilisateur dédié à l'intégration OverView plutôt qu'un compte personnel
• Attribuez à l'utilisateur le rôle le plus bas couvrant les données à importer
• Renouvelez les clés API régulièrement selon la politique de sécurité de votre organisation : générer une nouvelle paire révoque immédiatement la précédente

Documentation officielle

• Generate API Keys for Another User
• Roles and Privileges
• Manage Custom Roles
• Manage User Accounts
• Manage Permissions
• Tenable Vulnerability Management API Reference