AWS の FAQ (よくある質問) とトラブルシューティング

回答: 組織が使用しているリージョン内で必要なすべてのアクセス許可を Tenable に付与している場合でも、一部の AWS のサービスはグローバルであるため、Tenable にはグローバルエンドポイント (us-east-1) をクエリするアクセス許可が必要です。詳細については、こちら やこちら にある AWS の関連ドキュメントを参照してください。

お使いの AWS 組織でサービスコントロールポリシー (SCP) を使用している場合は、必ず既存の SCP に除外を追加して、Tenable 用に作成した専用の IAM ロールが含まれないようにしてください。

回答: 一般的に言えば、クラウドサイバーエクスポージャー は API 経由でのみ情報を引き出します。ただし一部のデータ (Lambda トリガーや AWS SSO など) は、Amazon のドキュメント化されたパブリック API 経由では利用できません。こうした情報を取得するために、Tenable では AWS コンソールでよく使用される API 呼び出しを使用します。この呼び出しにより、表示されているアラートが発生します。これらは本質的にドキュメント化されていない API です。アラートはまったく正常であり、実際に想定された動作です。いかなる場合も、Tenable が手動でコンソールにアクセスすることはありません。すべてのアクセスは厳密に API 経由で行われます。

回答: 組織の範囲を変更し、特定のエンティティを削除する方法は次のとおりです。

1. コンソールで、[設定] > [統合] に移動します。
2. 組織の横にある三点リーダーアイコンをクリックし、[編集] をクリックします。
3. [次へ] をクリックしてウィザード (スコープ) の最後のステップに移動します。
4. [特定の OU とアカウントを除外する] を選択してから、対象の OU またはアカウントを選択します。
5. [終了] をクリックします。コンソールから削除されます (ご使用の環境内で Tenable が次回 データの同期と更新の頻度 ときに)。

回答: Elastic Beanstalk の設定は S3 バケットに保存されています。そのため、このアクセス許可以外に、このサービスの設定にアクセスできる方法はありません。

回答: Tenable は、自社製品に新しい機能を継続的に追加しています。これをサポートするために、カスタムインラインポリシーは Tenable によって随時更新されます。SecurityAudit ポリシーにはさらに広範なアクセス許可セットが含まれており、これをインラインポリシーと併用することで、クラウドサイバーエクスポージャー に次々と追加され拡大していく新機能へのサポートを確実なものにできます。Tenable の現在と今後の全機能に対する完全かつ継続的なサポートを確保し、アクセス許可セットの追跡や更新を頻繁に行う作業負荷を軽減するためには、両方のポリシーが必要です。

回答: 新しいサービスやアクセス許可が提供され次第、すぐに反映されるようにしていますが、クラウドサイバーエクスポージャー コンソールに表示されるまでには最大 1 週間かかる場合があります。このような変更を検出するプロセスは、手動ではなくプログラムによって行われます。

回答: はい。名前の変更は、複数の組織がある場合、識別に役立ちます。

名前を変更する方法

1. クラウドサイバーエクスポージャー コンソールで、[設定] > [統合] に移動します。
2. 関連する統合の横にある三点リーダーをクリックして、[編集] をクリックします。
3. ウィザードのステップ 2 に移動し、[組織名] フィールドを更新します。
4. [次へ] をクリックしてウィザードの最後のステップに移動し、[更新] をクリックします。

回答: インベントリの焦点を最新に保つために、Tenable は次の条件のうち少なくとも 1 つを満たすタスク定義のみを同期します。

• ステータスがアクティブである
• 非アクティブの定義が、現在アクティブな ECS サービスまたはタスクによって参照されている

データに実際のアタックサーフェスを反映させるため、非アクティブおよび未使用のタスク定義はインベントリから自動的に除外されます。これらの除外されたリソースに関連する検出結果は、自動的にクローズされます。

回答: クラウドサイバーエクスポージャー では、使用されていないアクセス許可の削除を推奨するためなどの理由から、すべてのリージョンで管理イベントを継続的に監査する必要があります。このような推奨事項を自信を持って提供するために、Tenable では、使用されていないアクションやアクセス許可を確認することを目的に、環境全体にわたる全範囲のログの可視性を必要としています。