GCP の概要

Tenable One Cloud Exposure に GCP 環境を接続して、組織やプロジェクトに関連付けられているすべてのクラウドアイデンティティとリソース (アクセス許可、アカウントの使用状況、セキュリティ設定に関する情報を含む) の完全な可視性とリスク評価を取得します。Tenable は、GCP API からインベントリと設定データを収集します。

接続が完了すると、Tenable にプロジェクトステータスとトラブルシューティングが表示されます。これはたとえば、Tenable がプロジェクトに接続できるかどうかを示すもので、潜在的な問題のトラブルシューティングに役立ちます。

統合に関連するよくある質問のリストについては、GCP の FAQ を参照してください。

以下のいずれかを接続する手順を実行します。

GCP リソースの クラウドサイバーエクスポージャー アクティビティログデータを表示するには、ウィザードで監査ログ転送ステップを設定していることを確認してください。これは、組織レベルで、または個々のプロジェクトレベルで実行できます。クラウドイベントデータを参照してください。

アカウントを接続する前に、Pub/Sub の価格設定を十分に理解しておくことが大切です。公式の最新価格情報については、Pub/Sub の料金{target=_blank} を参照してください。たとえば、次のような点について考慮します。

  • メッセージスループットコスト: 料金はパブリッシュおよび配信されたデータ量に基づいており、GB 単位で測定されます。
  • データ転送コスト: Google Cloud のゾーンまたはリージョン間で転送されるデータは課金されます。
  • ストレージコスト: メッセージ、スナップショット、または確認済みメッセージの保持には料金が発生します。

クラウドイベントデータ

GCP リソースの クラウドサイバーエクスポージャー クラウドイベント (アクティビティログデータ) を表示するには、ウィザードで監査ログ転送ステップを設定していることを確認してください。この手順では、Pub/Sub トピックを作成し、その Pub/Sub トピックを送信先とするシンクを作成してから、サブスクリプションを作成して、Tenable がトピックにパブリッシュされたメッセージを受信できるようにする必要があります。これは、組織レベルで、または個々のプロジェクトレベルで実行できます。

VPC Service Controls の例外の追加

VPC Service Controls を使用して、接続するプロジェクトや組織で Google が管理するサービスへのアクセスを制限する場合は、例外を定義して、お使いのリージョンの TenableIP アドレスへの API アクセスを許可する必要があります。これにより、Tenable サービスアカウントがプロジェクトにアクセスでき、統合を正常に続行できるようになります。

VPC Service Controls でサービス境界を作成する方法についての詳細は、関連する Google Cloud のドキュメントを参照してください。

例外を追加する方法

重要: クラウドサイバーエクスポージャー に接続するプロジェクトや組織に関連付けられたすべての VPC 境界について例外を追加する必要があります。
  1. 組織レベルでの VPC Service Controls に移動します。
  2. 関連するアクセスポリシーを選択します。
  3. [境界を編集] をクリックして、関連する VPC サービス境界を編集します。
  4. イングレスポリシーで [アイデンティティ] フィールド ([API クライアントの FROM 属性] セクション) を更新し、Google Workspace を クラウドサイバーエクスポージャー に追加したとき、および以下の Tenable サービスアカウントを追加したときに Tenable 用に作成したサービスアカウントの両方が含まれるようにします。
  5. アクセスレベルで [アクセスレベルを選択します] ドロップダウンをクリックし、アクセスレベルが設定されているかどうかを確認します。設定されている場合は、この後の手順で必要になるため、画面に表示される関連するアクセスレベルの情報を記録します。
  6. [保存] をクリックします。
  7. Tenable IP アドレスを関連するアクセスレベルに追加します。
    • 組織レベルで Access Context Manager に移動し、以前に特定したアクセスレベルを見つけます。
    • 関連するアクセスレベルを編集し、[IP サブネットワーク] で、許可が必要な Tenable IP アドレスを追加します。
    • [保存] をクリックします。
    • 他のアクセスレベルに対してこのプロセスを繰り返します。
  8. (ワークロード保護) 以下を確実に行います。
    1. 検出中に使用されるタグリストとメタデータ呼び出しをカバーできるように、IP 制限なしで artifactregistry.googleapis.com のすべてのメソッドを許可します。
    2. クロスプロジェクトのスナップショット API 読み取り呼び出しに対して compute.googleapis.com のすべての操作を許可するエグレスルールを追加します。
    3. compute.snapshots.setIamPolicy のイングレスルールを追加します。これはスナップショットの IAM バインディングステップです。
    4. (オプション) sil-prd アカウントが関連するプロジェクトに属することを確認します。
    5. [email protected]と委任されたカスタマーサービスアカウントの両方が関連するプロジェクトに属することを確認します。