データリソースの接続

注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。

所定のアカウントでデータ保護を有効にするには、アカウントを Tenable One Cloud Exposure に接続し、そのアカウントのアクセス許可を Tenable データ保護に付与する必要があります。この機能は、次のクラウドプロバイダーに対して有効にできます。

AWS: データ保護アクセス許可の付与

必要なライセンス: このプロバイダーのデータスキャンは Standard と Enterprise ライセンスで利用できます。詳細については、ライセンスを参照してください。

Tenable IAM ロールに追加されたカスタムのインラインポリシーを通じてデータリソースをスキャンするため、 クラウドサイバーエクスポージャー にアクセス許可を付与します。これらのアクセス許可は、Tenable ウィザードでの AWS 統合プロセスの一環として、データリソーススキャンのアクセス許可を通じて付与されていますが、アカウントを接続した時期によっては、まだ付与されていない場合もあります。

  • 機密データのスキャンを行う AWS アカウントをすでに接続しているものの、データリソーススキャンのアクセス許可がまだ追加されていない場合は、以下の手順を実行します。
  • 機密データのスキャンを行う AWS アカウントをまだ接続していない場合は、AWS の概要に記載されている手順を実行します。

データリソーススキャンのアクセス許可がすでに追加されているかどうかを確認するには、クラウドサイバーエクスポージャー コンソールで [設定] > [AWS] の順に移動し、アカウントのステータスを確認します。

  • ステータスが [接続済み] の場合、必要なアクセス許可はすでに付与されています。
  • ステータスが [接続に問題あり] で、ツールチップにデータ保護のアクセス許可が付与されていないことが示されている場合は、以下の手順を実行します。

データ保護アクセス許可を付与する方法

  1. クラウドサイバーエクスポージャー コンソールで [設定] > [アカウント] > [AWS] の順に移動します。
  2. 関連するアカウントを見つけて、[編集] をクリックします。
  3. ウィザードのステップ 2 (アクセス許可) に移動し、データリソーススキャン (データ保護) のアクセス許可を有効にして、[次へ] をクリックします。
  4. ステップ 3 (IAM ロール) で、データリソーススキャンのアクセス許可ポリシー (データ保護) のインラインポリシーをコピーします。
  5. 関連するアカウントの AWS マネジメントコンソールで、[IAM] > [ロール] に移動し、Tenable 用にアカウント統合の際に作成したロールを開きます。
  6. [アクセス許可] タブで、[アクセス許可の追加] > [インラインポリシーの作成] の順にクリックします。
  7. 先ほどコピーしたポリシーを [JSON] タブに貼り付けて、既存のテキストを置き換えます。JSON 形式でポリシーを表示するには、 AWS データ保護ポリシー 参照してください。
  8. [ポリシーのレビュー] をクリックします。
  9. ポリシーの名前 (例: TenableDataProtection) を入力して、[ポリシーを作成] をクリックします。
  10. クラウドサイバーエクスポージャー コンソールで、[アカウント] > [AWS] の順に移動し、アカウントのステータスが [接続済み] であることを確認します。
注意: ステータスが [接続済み] に変わるまで数分かかる場合があります。またブラウザでハードリフレッシュの実行が必要になる場合もあります。

AWS データ保護ポリシー

コピー

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:Scan",
        "kms:CreateGrant",
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "rds:CopyDBClusterSnapshot",
        "rds:CopyDBSnapshot",
        "rds:CreateDBClusterSnapshot",
        "rds:CreateDBSnapshot",
        "rds:ModifyDBClusterSnapshotAttribute",
        "rds:ModifyDBSnapshotAttribute",
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "rds:AddTagsToResource",
      "Resource": [
        "arn:aws:rds:*:*:snapshot:*",
        "arn:aws:rds:*:*:cluster-snapshot:*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/TenableContext": "DataAnalysis"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "rds:DeleteDBSnapshot",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:snapshot-tag/TenableContext": "DataAnalysis"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": "rds:DeleteDBClusterSnapshot",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "rds:cluster-snapshot-tag/TenableContext": "DataAnalysis"
        }
      }
    }
  ]
}

Azure: データ保護アクセス許可の付与

必要なライセンス: このプロバイダーのデータスキャンは Standard と Enterprise ライセンスで利用できます。詳細については、ライセンスを参照してください。

以下のロールを通じてストレージアカウント Blob コンテナ内の機密データをスキャンするため、クラウドサイバーエクスポージャー にアクセス許可を付与します。

  • ストレージ Blob データ閲覧者の組み込みロール
  • Tenable データスキャンのカスタムロール
    • ネットワーク制限のあるストレージアカウント Blob コンテナの場合、Tenable はプライベートエンドポイントを使用して、保存されたオブジェクトにアクセスします。このアクセス許可は、Tenable によって開始された保留中のプライベートエンドポイント接続リクエストを承認するために必要です。 このアクセス許可は、[設定] ページでデータが有効になっている場合にのみ使用されます。
    • Azure 承認ロックが設定されている場合、そのようなネットワーク制限を持つストレージアカウントのデータスキャンはサポートされません。ロックは、ストレージアカウント、リソースグループ、サブスクリプションの各レベルで適用が可能です。このような場合、Tenable はスキャン後に接続を削除できません。スキャンを有効にするには、ロックを解除します。

これらのアクセス許可は、Tenable ウィザードでの Azure 統合プロセスの一環として付与されていますが、組織またはプロジェクトを接続した時期によっては、まだ付与されていない場合もあります。

  • 機密データのスキャンを行う Azure サブスクリプションをすでに接続しているものの、データ保護スキャンのアクセス許可がまだ追加されていない場合は、以下の手順を実行します。
  • 機密データのスキャンを行う Azure サブスクリプションをまだ接続していない場合は、Azure の概要に記載されている手順を実行します。

データ保護のアクセス許可がすでに追加されているかどうかを確認するには、クラウドサイバーエクスポージャー コンソールで [アカウント] > [Azure] の順に移動し、アカウントのステータスを確認します。

  • ステータスが [接続済み] の場合、必要なアクセス許可はすでに付与されています。
  • ステータスが [データ保護のアクセス許可が付与されていません] の場合は、以下の手順に従って不足しているアクセス許可を追加します。

データ保護アクセス許可を付与する方法

  1. Azure ポータルで、接続するものに応じて次のいずれかに移動します。
    • 組織: 組織のルート [管理グループ] ページ。
    • サブスクリプション: [サブスクリプション] ページで、該当のサブスクリプションをクリックします。
  2. カスタムロールの作成
    1. [アクセス制御 (IAM)] をクリックして、[追加] > [カスタムロールの追加] の順にクリックします。
    2. [カスタムロール名] には、Tenable データスキャンを入力します。
    3. [ベースラインのアクセス許可] では、[最初から始める] を選択して [次へ] をクリックします。
    4. [アクセス許可の追加] をクリックし、以下のアクセス許可を検索して選択します。
      • Microsoft.Storage/storageAccounts/privateEndpointConnections/write
      • Microsoft.Sql/servers/databases/write
    5. [アクション] で Write : Put Private Endpoint Connection を選択し、[追加] をクリックします。
    6. カスタムロールの作成を終了します。
  3. ロールの割り当てを追加します。 各ロールに対して以下の手順を実行して、 Storage Blob Data Reader ビルトインロールと Tenable Data Scanning カスタムロールの両方を クラウドサイバーエクスポージャー Connector アプリに割り当てます。
    1. [アクセス制御 (IAM)] をクリックして、[追加] > [ロールの割り当ての追加] の順にクリックします。
    2. [ロールの割り当ての追加] ページで、以下のいずれかのロールを検索して選択し、[次へ] をクリックします。
      • Storage Blob Data Reader 組み込みロール
      • Tenable Data Scanning カスタムロール
    3. [アクセスの割り当て先] は、デフォルトの選択 [ユーザー、グループ、またはサービスプリンシパル] のままにします。
    4. [メンバー] で、[+ メンバーを選択する] をクリックします。
    5. クラウドサイバーエクスポージャー コネクタアプリを検索して選択し、[選択] をクリックします。
    6. [次へ] をクリックし、新しいロールを確認して [レビューと割り当て] をクリックします。
    7. 他のロールに対してもこの手順を繰り返します。
  4. クラウドサイバーエクスポージャー コンソールで、[アカウント] > [Azure] の順に移動し、アカウントのステータスが [接続済み] であることを確認します。

GCP: データ保護アクセス許可の付与

必要なライセンス: このプロバイダーのデータスキャンは Standard と Enterprise ライセンスで利用できます。詳細については、ライセンスを参照してください。

機密データについて、カスタムポリシーを通じてストレージバケット内のオブジェクトをスキャンするためのアクセス許可を クラウドサイバーエクスポージャー に付与します。これらのアクセス許可は、Tenable ウィザードでの GCP 統合プロセスの一環として付与されていますが、組織またはプロジェクトを接続した時期によっては、まだ付与されていない場合もあります。

  • 機密データのスキャンを行う GCP の組織またはプロジェクトをすでに接続しているものの、データ保護のアクセス許可がまだ追加されていない場合は、以下の手順を実行します。
  • 機密データのスキャンを行う GCP の組織またはプロジェクトをまだ接続していない場合は、GCP の概要に記載されている手順を実行します。

データ保護のアクセス許可がすでに追加されているかどうかを確認するには、クラウドサイバーエクスポージャー コンソールで [アカウント] > [GCP] の順に移動し、アカウントのステータスを確認します。

  • ステータスが [接続済み] の場合、必要なアクセス許可はすでに付与されています。
  • ステータスが [データ保護のアクセス許可がありません] の場合は、以下の手順に従って不足しているアクセス許可を追加します。

データ保護アクセス許可を付与する方法

  1. 関連する環境の GCP コンソールで、[組織] スコープに移動します。
  2. 左上にある三本線メニューをクリックして、[IAM と管理] > [ロール] の順にクリックします。
  3. テーブルフィルターに、最初の GCP 統合の際に使用したサービスアカウントのメールアドレスを入力します。
  4. [ロールを作成] をクリックします
  5. [タイトル] を「Tenable データスキャン」に変更します。
  6. [ID] を「tenabledatascanning」に変更します。
  7. [アクセス許可を追加する] をクリックします。
  8. 以下の各アクセス許可について、フィルターを使用してアクセス許可を検索して選択し、[追加] をクリックします。
    • bigquery.datasets.get
    • bigquery.datasets.getIamPolicy
    • bigquery.models.export
    • bigquery.models.getData
    • bigquery.models.getMetadata
    • bigquery.models.list
    • bigquery.routines.get
    • bigquery.routines.list
    • bigquery.tables.createSnapshot
    • bigquery.tables.export
    • bigquery.tables.get
    • bigquery.tables.getData
    • bigquery.tables.getIamPolicy
    • bigquery.tables.list
    • bigquery.tables.replicateData
    • cloudsql.backupRuns.create
    • cloudsql.backupRuns.delete
    • cloudsql.backupRuns.get
    • cloudsql.backupRuns.list
    • cloudsql.instances.get
    • dataplex.projects.search
    • resourcemanager.projects.get
    • resourcemanager.projects.list
    • storage.folders.get
    • storage.folders.list
    • storage.managedFolders.get
    • storage.managedFolders.list
    • storage.objects.get
    • storage.objects.list
  9. 完了したら、[作成] をクリックします
  10. サービスアカウント名を クラウドサイバーエクスポージャー コンソールから取得します :
    1. クラウドサイバーエクスポージャー コンソールで [設定] > [統合] > [GCP 組織] の順に移動し、関連する組織を見つけて、三点リーダーメニューで [編集] をクリックします。
    2. 表示されたウィザードで、[次へ] をクリックして、ステップ 4 (ロールの割り当て) に移動します。
    3. [手動 (Google Clou d Console)] タブをクリックします。
    4. 表示されたサービスアカウントの値をコピーします。
  11. GCP コンソールで、左側のメニューにある [IAM] をクリックします。
  12. [+アクセスを許可] をクリックします。
  13. [プリンシパルの追加] セクションで、コピーしたサービスアカウントの値を貼り付けます。
  14. [ロールの割り当て] セクションで、先ほど作成したカスタムロールをフィルタリングして選択します。
  15. [保存] をクリックします。

OCI: データ保護アクセス許可の付与

必要なライセンス: このプロバイダーのデータスキャンは Standard と Enterprise ライセンスで利用できます。詳細については、ライセンスを参照してください。

オブジェクトストレージリソースの機密データをスキャンするために クラウドサイバーエクスポージャー にアクセス許可を付与するには、標準の OCI テナンシの接続プロセスを完了します。統合の後に、追加のロール、ポリシー、またはアクセス許可の付与は必要ありません。

統合後、必要なアクセス許可が付与されていることを確認します。クラウドサイバーエクスポージャー コンソールで、[設定] > [アカウント] > [OCI] の順に移動し、アカウントのステータスが [接続済み] であることを確認します。これは、必要なアクセス許可がすべて正常に適用されたことを示します。これ以上のアクションは必要ありません。

Snowflake: データ保護アクセス許可の付与

必要なライセンス: このプロバイダーのデータスキャンは Enterprise ライセンスで利用できます。詳細については、ライセンスを参照してください。

Snowflake でデータをスキャンするためのアクセス許可を クラウドサイバーエクスポージャー に付与するには、標準の Snowflake の接続プロセスを完了します。必要なすべてのアクセス許可は統合プロセス中に付与され、追加の設定は必要ありません。

統合後、必要なアクセス許可が付与されたことを確認します。クラウドサイバーエクスポージャー コンソールで、[設定] > [アカウント] > [Snowflake] の順に移動し、アカウントのステータスが [接続済み] であることを確認します。これは、必要なアクセス許可がすべて正常に適用されたことを示します。これ以上のアクションは必要ありません。

Snowflake で必要なアクセス許可

データ保護をサポートするために、Tenable には Snowflake の次の読み取り専用アクセス許可が必要です。

  • MONITOR USAGE (アカウント): アカウントレベルの使用量情報を Tenable で表示できるようになります。
  • MONITOR (アカウント): アカウントリソースの稼働ステータスとメタデータを Tenable で表示できるようになります。
  • USAGE (Tenable 専用ウェアハウス): スキャンに使用されるコンピューティングリソースへのアクセスを許可します。
  • IMPORT SHARE (アカウント): 統合を許可し、アカウントレベルで共有データをインポートできます。このアクセス許可は、DSPM オンボーディング時に自動的に付与されます。
  • IMPORTED PRIVILEGES(データベース): アカウントレベルの IMPORT SHARE アクセス許可が付与された後に、共有データベースへのアクセスを有効にします。
  • USAGE (データベースおよび現在および将来のすべてのスキーマ): データベース構造の可視化を許可します。
  • SELECT (データベースの現在および将来のすべてのテーブル): 分類のためにデータ値を読み取る必要があります。
  • SNOWFLAKE.GOVERNANCE_VIEWER (データベース): 適用されたオブジェクトタグ、マスキングポリシー、および行アクセスポリシーを検査する場合に必要です。
  • SNOWFLAKE.OBJECT_VIEWER (データベース): 包括的な資産検出とインベントリのために、オブジェクトのメタデータに対するアカウント全体の可視化を許可します。
  • SNOWFLAKE.SECURITY_VIEWER (データベース): セキュリティリスクを特定するために、ユーザーロール、権限、ネットワーク設定の分析を有効にします。

これらのアクセス許可は、統合時に自動的に付与されます。統合プロセスが不完全な場合を除き、追加の設定は必要ありません。