仮想マシン
環境内の仮想マシンを表示および管理します。
- 各仮想マシンについて、ネットワークエクスポージャーの明確な全体像を確認し、インストールされているソフトウェアパッケージを特定し、関連する脆弱性を分析します。
- どの仮想マシンに深刻な脆弱性があるかを把握し、これらのリスクを修正できるようにします。
- 仮想マシンのオンデマンドスキャンを実行します。
- 環境内の仮想マシンにインストールされているすべてのソフトウェアパッケージ、または特定のワークロードにインストールされているパッケージを表示します。
これは、仮想マシンの表示と管理に関するハウツーガイドです。
- ワークロード保護機能の概念概要については、「 ワークロード保護を参照してください。
- VM 設定を構成するには、「 Virtual Machine Settings」を参照してください。
- よくある質問については、「 FAQ: ワークロード保護」を参照してください。
すべての仮想マシンを表示する
仮想マシンを表示する方法
- Tenable One Cloud Exposure コンソールで、[Explore > Compute > Virtual Machines] に移動します。
- テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。詳細については、「 仮想マシンの列データ を参照してください。
- 仮想マシンの名前をクリックして リソースの詳細の表示。
- リソースページで、[ワークロード] をクリックします。
- 次のいずれかのタブをクリックします。
オンデマンドスキャンの実行
Tenable は、すべての仮想マシンを少なくとも 24 時間に 1 回、自動的にスキャンします。特定のワークロードをそれよりも早くスキャンしたい場合は、オンデマンドスキャンをリクエストできます。スキャンを開始すると、そのスキャンはキューの先頭にプッシュされます。スキャン結果は、Tenable によって次回定期的にデータの同期と更新の頻度が実行された後に クラウドサイバーエクスポージャー コンソールに表示されます。
関連する 仮想マシンのデータディスクスキャンを有効にする または ワークロードの接続 をスキャンから除外した場合、オンデマンドスキャンは利用できません。
オンデマンドスキャンを実行する方法
- 関連する仮想マシンに移動し、クリックします。仮想マシンは、[Explore > Compute] > [Virtual Machines]、または関連するクラウドプロバイダーのインベントリビューにあります (例: [Explore > Inventory] > [Compute > Azure Virtual Machines])。
-
三点リーダーアイコンをクリックし、[今すぐスキャン] をクリックします。
スキャンが正常にリクエストされたことを示すダイアログが表示されます。
- [OK] をクリックします。
スキャンがすでにリクエストされている場合、ボタンは無効になり、[スキャンをリクエスト済み] と表示されます。
仮想マシンの列データ
次の列は [Virtual Machines] (仮想マシン) ページのテーブルに表示されます。そのほとんどが、テーブルのデータのフィルターにも使用できます。
| 縦棒 | 説明 |
|---|---|
| 名前 | 仮想マシンの名前。 |
| アカウント | 仮想マシンが存在するクラウドアカウント。 |
| オペレーティングシステム | 仮想マシンで実行されているオペレーティングシステムとバージョン。 |
| ソフトウェア | ワークロードにインストールされているすべてのソフトウェアパッケージのリスト。必要に応じて、パッケージのファイルパスも表示されます。この情報は、パッケージの入手元と、潜在的な問題を修正する方法を特定する際に役立ちます。たとえば、パッケージがベースイメージの一部としてインストールされているかどうか、またはパッケージがベースイメージに追加されているかどうかを識別できます。 |
| 脆弱性 | ワークロードで見つかった脆弱性の内訳 ( リスク深刻度の色分け)。数字をクリックすると、特定の深刻度レベルの脆弱性リストが表示されます。 |
| プラグイン | 仮想マシンで検出された脆弱性に関連するプラグイン。プラグインのリンクをクリックして、プラグインの詳細を表示します。 |
| ネットワークのエクスポージャー |
ワークロードがインターネットに公開されている仕組み
|
| ネットワークのエクスポージャー範囲 |
ワークロードがインターネットに公開されている範囲
|
| アイデンティティリスク | すべてのアイデンティティには、アイデンティティが環境にもたらすリスクに対応する総合的なリスクレベルが割り当てられます。リスクは複数の重み付けされた要因に基づいて計算され、アイデンティティ固有のアクセス許可のリスクレベルと、環境におけるアイデンティティの全体的な文脈 (多くの場合、ラベルに反映されます) の両方が考慮されます。詳細については、「 アイデンティティインテリジェンス 」を参照してください。 |
| 状態 | 仮想マシンの現在の状態。可能な値: Running、Stopped |
| 脆弱性のスキャンステータス | ワークロードが正常にスキャンされたかどうかを示します。また、ワークロードがスキャンされなかった理由を示します。詳細については、「 脆弱性のスキャンステータス を参照してください。 |
| 脆弱性のスキャン時間 | クラウドサイバーエクスポージャーが前回マシンをスキャンした時刻を示すタイムスタンプ。マシンがまだスキャンされていない場合、値はダッシュ (-) になります。 |
| スキャンソース | 仮想マシンがエージェントベースの方法とエージェントレスの方法のどちらを使用してスキャンされたかを示します。このフィールドはデフォルトでは非表示になっていますが、列セレクタを使用して追加できます。このフィールドは、エージェントベースのスキャンが有効になっている場合にのみ表示されます。 |
| 検出結果 | マシンに関連する検出結果数の深刻度別内訳。数字をクリックすると、検出結果について検索可能なリストが表示されます。 |
| データタイプ | リソースで検出された機密性の高いデータタイプ。完全なリストについては スキャン対象データタイプ 。 |
| データカテゴリ | リソースで検出された機密性の高いデータタイプにマッピングされるデータカテゴリ。 |
| データの機密性 | すべてのスキャン対象データから検出された最も高い機密レベル。詳細については、「 感度レベル を参照してください。 |
| データスキャンステータス | リソースが正常にスキャンされたかどうかを示します。リソースがスキャンされなかった理由を示します。詳細については、「 データスキャンステータス を参照してください。 |
| データスキャン時間 | 前回 クラウドサイバーエクスポージャー がリソースをスキャンした時刻を示すタイムスタンプ。リソースがまだスキャンされていない場合、値はダッシュ (-) になります。 |
| ラベル |
手動による適用、タグに基づく自動適用、システムによる適用のいずれかにかかわらず、ワークロードに適用された ラベルのリソースへの適用 が表示されます。ラベルのタグにカーソルを合わせると、詳細を確認できます。ワークロードに複数のラベルがある場合、アイコンをクリックするとその他のラベルが表示されます。以下のラベルはワークロード保護に固有のものであり、以下の状況で表示されます。
|
脆弱性のスキャンステータス
[脆弱性スキャンのステータス] 列には、マシンに関する現在のスキャンのステータスが示されます。以下の表は、ステータスの種類と、そのステータスが表示される理由を示しています。理由は通常、ツールチップとしてステータスの横に表示されます。
| スキャンステータス | 理由 |
|---|---|
| 保留中 | 仮想マシンはキューに入っています。 |
| オンオンデマンドスキャンの実行がリクエストされました。 | |
| このスキャンは、必要な Marketplace イメージをサブスクライブするために Tenable による手動ステップを保留しています。数時間後にもう一度ご確認ください。 | |
| 無効 | この仮想マシンは ワークロードの接続。 |
| ワークロード保護スキャン 仮想マシンのデータディスクスキャンを有効にする。 | |
| この仮想マシンは、関連する vault に対する Azure Key Vault 権限がないため、スキャンされていません。これは、 BitLocker を備えた Windows 仮想マシンまたは DM-Crypt (Ubuntu でのみサポートされている) ディスク暗号化を備えた Linux 仮想マシンで発生する可能性があります。必要なアクセス許可を付与するには、「 仮想マシンスキャンのアクセス許可を付与する」を参照してください。 | |
| この仮想マシンは、関連する vault に対する Key Vault Crypto User 権限がないため、スキャンされていません。これは、 BitLocker キー暗号化キーを使用する Windows 仮想マシンで発生する可能性があります。必要なアクセス許可を付与するには、「 仮想マシンスキャンのアクセス許可を付与する」を参照してください。 | |
| この仮想マシンは、 Key Vault のアクセス許可がないため、スキャンされていません。これは、仮想マシンディスクが CMK (カスタマーマネージドキー) で暗号化されている場合に発生する可能性があります。詳細については、 サポートへの問い合わせ。を参照してください。 | |
| この仮想マシンは、スナップショットでデータアクセス認証を無効にできないようにする Azure ポリシーにより、スキャンされていません。必要なアクセス許可を付与するには、専用のスナップショットリソースグループを設定し、それをポリシーから除外します。 | |
| この仮想マシンは、ワークロード保護のアクセス許可がないため、スキャンされていません。必要なアクセス許可を付与するには、「 ワークロードの接続を参照してください。 | |
| (アカウント内スキャン)このイメージをスキャンするには、AWS Marketplace のサブスクリプションが必要です。アカウント内スキャンに使用する専用の AWS アカウントにログインして AWS Marketplace に移動し、関連する AMI を見つけて [Continue to Subscribe] (サブスクリプションを続行する) をクリックします。詳細については アカウント内スキャン を参照してください。 | |
| この仮想マシンは、設定されたスナップショットリソースグループが削除されたため、スキャンされていません。 | |
| この仮想マシンは、ワークロード保護のアクセス許可をブロックする SCP が存在するため、スキャンされていません。 | |
| この仮想マシンは、ドメイン制限共有ポリシーのためスキャンされていません。 | |
| この仮想マシンは、クラウドアカウントにディスクスナップショットを作成するために必要なアクセス許可がないため、スキャンされていません。 | |
| サポート対象外 | オペレーティングシステムディスクが管理されていないため、この仮想マシンに対するスキャンはサポート対象外です。 |
| ディスクにサポートされているパーティションがないため、この仮想マシンに対するスキャンはサポート対象外です。 | |
| この仮想マシンは、AWS Marketplace の AMI から起動されましたが、製品 ID が見つからなかったため、スキャンされていません。 | |
| この仮想マシンは、この仮想マシンに関連するスナップショットについてアウトバウンドネットワークアクセスがブロックされているため、スキャンされていません。 | |
| このインスタンスは、サポートされていないインスタンス仕様で AWS Marketplace の AMI から起動されたため、スキャンされていません。 | |
| ディスクはインスタンスストアであり、EBS ボリュームではないので、このワークロードに対するスキャンはサポート対象外です。 | |
| オペレーティングシステムの暗号化が有効になっているため、この仮想マシンに対するスキャンはサポート対象外です。 | |
| スナップショットが削除されないようにロックするリソースグループにリソースが属しているため、この仮想マシンはスキャンされません。 | |
| この仮想マシンは、ディスクの最大サイズを超過しているため、スキャンされていません。 | |
| オペレーティングシステムディスクが管理されていないため、この仮想マシンに対するスキャンはサポート対象外です。 | |
| Marketplace から削除された AWS イメージに基づいているため、この仮想マシンに対するスキャンはサポート対象外です。最新イメージにアップグレードすることをお勧めします。 注意: この制限は、AWS Marketplace から直接取得されたスナップショットやイメージ (AMI) には、スキャン操作でコピーしたり共有したりできない、特定のライセンスと所有権の制限があるために発生します。 |
|
| この仮想マシンは Amazon DevPay のイメージに基づいているため、スキャンはサポート対象外です。これは販売者や商品の新規受け入れを停止したレガシーサービスです。 | |
| オペレーティングシステムディスクが一時的なものであるため、この仮想マシンに対するスキャンはサポート対象外です。 | |
| クラウドプロバイダーの制限により、このリージョンのこの仮想マシンに対するスキャンはサポート対象外です。 | |
| この仮想マシンは、ディスクアクセスを制限するプロバイダー管理アプリケーションの一部であるため、スキャンはサポート対象外です。 | |
| スキャン済み | マシンは正常にスキャンされました。 |
AWS Marketplace AMI から起動された EC2 インスタンス
クラウドサイバーエクスポージャー は、AWS Marketplace AMI から起動された EC2 インスタンスのスキャンをサポートしています。スキャンは、標準のワークロードスキャンと ワークロード保護 (アカウント内スキャン)。このような EC2 インスタンスで発生する可能性がある問題のトラブルシューティングの詳細については、「 スキャンステータス 」を参照してください。
アカウント内スキャン
Marketplace イメージ (AMI) を使用している場合、 Tenable では、 license-manager:ListReceivedLicenses アクセス許可を追加することを強く推奨します。これにより、Tenable は、ライセンスされたイメージをスキャンするために、専用スキャンアカウントに関連付けられているライセンスを確認できます。詳細については アカウント内スキャンの設定 を参照してください。
イメージをスキャンするには、スキャンに使用される専用アカウントに AWS Marketplace サブスクリプションが必要です。サブスクリプションがなく、イメージの スキャンステータス が [無効] になっている場合は、ツールチップの指示に従ってサブスクリプション登録してください。登録後、サブスクリプションが クラウドサイバーエクスポージャー で更新されるまでに約 15 分かかります。マシンが過去 24 時間以内にスキャンされている場合、次のスキャンサイクルまで再スキャンされません。そのため、 オンデマンドスキャンの実行 て、イメージをより早くスキャンしたい場合があります。