イベント
[イベント] 画面は、環境内のすべてのイベントタイプに対する単一のアクティビティログです。クラウドプロバイダーのアクティビティ、ランタイムセンサーのアクティビティ、Kubernetes アドミッションコントローラーのアクティビティを 1 か所にまとめるため、別々の画面を切り替えることなく、アクティビティの調査と監査、異常への対応、データフォレンジックのサポートを行うことができます。
[イベント] 画面は、クラウド環境での大量のイベントデータのために開発されており、特にイベントに関する高速で焦点を絞ったクエリエクスペリエンスを提供します。
イベントタイプ
画面左上のイベントタイプセレクターを使用して、表示するイベントを選択します。利用可能なイベントタイプは次のとおりです。
| イベントタイプ | 説明 |
|---|---|
| イベント | すべてのソースからのすべてのイベントタイプ。 |
| クラウドイベント | クラウドプロバイダーから収集されたアクティビティ (エージェントレス)。クラウド クラウドイベント。 |
| ランタイムイベント | ランタイムセンサーによって収集されるすべてのアクティビティ。これには現在、ランタイムファイルオープンイベントとランタイムプロセス実行イベントが含まれます。 |
| ランタイムファイルオープンイベント | ランタイムセンサーによって収集されるファイルオープンアクティビティ。 |
| ランタイムプロセス実行イベント | ランタイムセンサーによって収集されたプロセス実行アクティビティ。 |
| Kubernetes アドミッションコントローラーイベント | アドミッションコントローラーポリシーによって評価されたクラスタ内のアクション。「 Kubernetes アドミッションコントローラーイベント」を参照してください。 |
イベントを表示
イベントを表示するには
- Tenable One Cloud Exposureコンソールで、イベント画面を開きます。
- イベントタイプセレクターを使用して、表示するイベントのタイプを選択します ( クラウドイベント や ランタイムプロセス実行イベントなど)。
-
テーブルの上部にあるフィルターを使用して、表示するデータの範囲を絞り込みます。「 データのフィルタリングを参照してください。
- [Time] (時間) フィルターは常に適用され、削除することはできません。デフォルトでは、 過去 1 日間に設定されています。任意の日付範囲を設定できます。イベントは、検出または脅威ストーリーにリンクされていない限り 90 日間保持されます。
- テーブル内で値を右クリックして、その値でテーブルをフィルタリングしたり、フィルターで除外したりします。この方法でフィルターを複数回適用すると、結果をさらに絞り込むことができます。
- イベントをクリックするとスライド式パネルが開き、詳細が表示されます。
- 未加工のイベントを JSON 形式で表示して、アクティビティの完全な記録を確認します。
イベントデータのエクスポート
イベントデータをカンマ区切り値 (CSV) ファイルにエクスポートします。データは、現在テーブルに適用されているフィルターに従ってエクスポートされます。
イベントデータをエクスポートする方法
- (オプション)アカウントのドロップダウンから アカウント階層とフォルダー を選択して、特定のクラウドアカウントにデータの範囲を設定します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
- テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。
- テーブルの右上隅にある [エクスポート] をクリックします。
クラウドイベント
クラウドイベントタイプは、クラウド環境内のアイデンティティによって実行されたすべてのアクションの詳細なビューを提供します。アクティビティとサービスへの変更の文脈と時系列に沿った記録です。これは、異常の 異常検出、クラウドアクティビティの調査と監査、データフォレンジックのサポートに使用します。
たとえば、クラウドイベントを使用して次のことができます。
- 他のアイデンティティを引き受け、引き受けたアイデンティティのアクセス許可 ( オリジネータ) を使用して動作するクラウドアイデンティティを検索し、これらがどのようなアクティビティを実行するかを確認します。この情報は、AWS CloudTrail では利用できません。
-
「AccessDenied」の結果を含むイベントを見つけて、特定のリソースにアクセスできないステークホルダーからのリクエストのトラブルシューティングを行います。
注意: Tenable には、AWS AccessDenied イベントを解析し、イベントが発生した理由を説明して、実行可能な修正を提供するオープンソースツールがあります。「 AWS での Access Undenied 」を参照してください。
クラウドイベントの列データ
次の列はクラウドイベントに表示されます。そのほとんどが、テーブルのデータのフィルターにも使用できます。
| 列 | 説明 |
|---|---|
| 時刻 | クラウドイベントが実行された日時。直近のイベントが最初に一覧表示されます。注意: (AWS/GCP) それぞれ 1 分以内に発生した同一のイベントは、1 つのエントリにグループ化されます。表示可能なすべてのクラウドイベントデータが同一である場合にのみ、イベントは同一と見なされます (未加工のイベント JSON を除く)。 |
| アクター | アクションを実行したアイデンティティの名前名前の下には、アイデンティティのタイプとアカウント名が表示されます。 |
| アクターの IP アドレス | アクションを実行したアイデンティティのソース IP アドレス。 |
| IP アドレスの場所 | 国旗で示されるアクター IP アドレスの原産国。国名を表示するには、国旗にカーソルを合わせます。 |
| アクション | クラウドプロバイダーのログ値 (AWS eventName、Azure operationName、GCP methodName) から取得された、クラウド内でアイデンティティが実行したイベント。 |
| リソース | イベントが実行されたリソース (該当する場合)。 |
| アカウント | アクションが実行されたクラウドアカウント。 |
| 結果 | クラウドプロバイダーのログ値 (AWS errorMessage、Azure statusMessage、GCP status.code) から取得されたイベントの結果。結果にカーソルを合わせると、詳細を確認できます。注意: AWS では、エラーのないアクションに [Success] (成功) の値が割り当てられます。 |
| Raw イベント | ログイベントの JSON ファイルを表示して、アクションの完全な記録を確認します。 |
ランタイムイベント
ランタイムイベントは、クラスターにインストールされたランタイムセンサー (eBPF) によって収集され、ワークロードレベルのアクティビティを詳細に可視化します。ラン タイム・イベント を選択してすべてのランタイム・アクティビティを表示するか、特定のランタイム・イベント・タイプを選択します。
- ランタイムファイルオープンイベント - ワークロード内のファイルオープンアクティビティ。
- ランタイムプロセス実行イベント — ワークロード内のプロセス実行アクティビティ。
列の可用性は、ランタイムイベントタイプによって異なります。以下の各表の [デフォルト] は、列がデフォルトで表示されるかどうかを示します。列ピッカーを使用して、任意の列を表示または非表示にできます。
ランタイムイベントの列データ
| 列 | 説明 | デフォルト |
|---|---|---|
| 時刻 | イベントが発生した日時。直近のイベントが最初に一覧表示されます。 | 必要 |
| アクター | アクティビティを実行したアイデンティティ | 必要 |
| プロセス名 | イベントに関連するプロセスの名前。 | 必要 |
| プロセス引数 | プロセスに渡されるコマンドライン引数。 | 必要 |
| Kubernetes リソース | アクティビティが発生した Kubernetes リソース (ポッドやワークロードなど)。 | 必要 |
| クラスタ | アクティビティが発生した Kubernetes クラスタ。 | 必要 |
| アカウント | アクティビティが発生したクラウドアカウント。 | 必要 |
| イベント数 | エントリに集計された同一イベントの数。 | 不要 |
| 名前 | イベントの名前。 | 不要 |
| 発生元 | イベントのソース。 | 不要 |
| 親プロセス ID | 親プロセスのプロセス ID (PID)。 | 不要 |
| 親プロセス名 | 親プロセスの名前。 | 不要 |
| プロセス ID | プロセスのプロセス ID (PID)。 | 不要 |
| システム ID | Tenable がイベントに割り当てる一意の識別子。 | 不要 |
| 仮想マシン | アクティビティが発生した仮想マシン。 | 不要 |
ランタイムファイルオープンイベントの列データ
| 列 | 説明 | デフォルト |
|---|---|---|
| 時刻 | ファイルが開かれた日時直近のイベントが最初に一覧表示されます。 | 必要 |
| アクター | アクティビティを実行したアイデンティティ | 必要 |
| プロセス名 | ファイルを開いたプロセスの名前。 | 必要 |
| フラグ | ファイルを開く操作で使用されるフラグ。 | 必要 |
| ファイルパス | 開かれたファイルのパス。 | 必要 |
| Kubernetes リソース | アクティビティが発生した Kubernetes リソース (ポッドやワークロードなど)。 | 必要 |
| クラスタ | アクティビティが発生した Kubernetes クラスタ。 | 必要 |
| アカウント | アクティビティが発生したクラウドアカウント。 | 必要 |
| 成功 | ファイルを開く操作が成功したかどうか。 | 必要 |
| イベント数 | エントリに集計された同一イベントの数。 | 不要 |
| モード | 操作に関連するファイルモード。 | 不要 |
| 名前 | イベントの名前。 | 不要 |
| 発生元 | イベントのソース。 | 不要 |
| 親プロセス ID | 親プロセスのプロセス ID (PID)。 | 不要 |
| 親プロセス名 | 親プロセスの名前。 | 不要 |
| プロセス引数 | プロセスに渡されるコマンドライン引数。 | 不要 |
| プロセス ID | プロセスのプロセス ID (PID)。 | 不要 |
| システム ID | Tenable がイベントに割り当てる一意の識別子。 | 不要 |
| UMask | 操作に適用されるユーザーファイル作成モードのマスク(umask)。 | 不要 |
| 仮想マシン | アクティビティが発生した仮想マシン。 | 不要 |
ランタイムプロセス実行イベントの列データ
| 列 | 説明 | デフォルト |
|---|---|---|
| 時刻 | プロセスが実行された日時。直近のイベントが最初に一覧表示されます。 | 必要 |
| アクター | アクティビティを実行したアイデンティティ | 必要 |
| プロセス名 | 実行されたプロセスの名前。 | 必要 |
| プロセス引数 | プロセスに渡されるコマンドライン引数。 | 必要 |
| Kubernetes リソース | アクティビティが発生した Kubernetes リソース (ポッドやワークロードなど)。 | 必要 |
| クラスタ | アクティビティが発生した Kubernetes クラスタ。 | 必要 |
| アカウント | アクティビティが発生したクラウドアカウント。 | 必要 |
| 判定 | 実行されたプロセスに対する Tenable のマルウェア分析の結果。 | 必要 |
| コンテナドリフト | デプロイされたコンテナイメージと比較して、実行されたプロセスに対して検出されたドリフトのタイプ (ファイルの作成、変更、削除、所有権の変更、アクセス許可の変更)。 | 不要 |
| イベント数 | エントリに集計された同一イベントの数。 | 不要 |
| ファイルパス | 実行されたファイルのパス。 | 不要 |
| 名前 | イベントの名前。 | 不要 |
| 発生元 | イベントのソース。 | 不要 |
| 親プロセス ID | 親プロセスのプロセス ID (PID)。 | 不要 |
| 親プロセス名 | 親プロセスの名前。 | 不要 |
| プロセス ID | プロセスのプロセス ID (PID)。 | 不要 |
| システム ID | Tenable がイベントに割り当てる一意の識別子。 | 不要 |
| 仮想マシン | アクティビティが発生した仮想マシン。 | 不要 |
Kubernetes アドミッションコントローラーイベント
- アドミッションコントローラーポリシーの設定については、 アドミッションコントローラーポリシーを参照してください。
- 概念の概要については、「 アドミッションコントローラーの概要」を参照してください。
Kubernetes アドミッションコントローラーイベントタイプには、アドミッションコントローラーポリシーによって評価された、クラスタ内で実行されたアクションが表示されます。アドミッションコントローラーポリシーの設定てアドミッションコントローラーのインストール、ここでアクションを確認できます。
ログに記録されたアクションをクリックして、スライド式パネルを開きます。[概要] タブにはポリシー情報が表示されます。[YAML のリクエスト] タブには、アクションに使用された YAML が表示されます。
デフォルトでは、このビューはフィルタリングされており、アラートをトリガーしたアクション、または拒否されたアクションのみが表示されます。ログは 30 日から 60 日後に削除されます。
アドミッションコントローラーイベントの列データ
| 列 | 説明 |
|---|---|
| 時刻 | アクションが発生した時刻。 |
| アクション | Kubernetes リソースで実行される操作のタイプ (作成、更新、削除など)。 |
| リソース | アクションが発生したリソースは、名前空間とその後にリソース名が続くものとして表示されます。 |
| クラスタ | アクションが発生したクラスター。 |
| アカウント | クラスタに関連付けられているアカウント。 |
| 結果 | アドミッションコントローラーの評価結果: [合格] (すべてのポリシー要件を満たし、許可)、 [アラート] ( 要件を満たしていないが許可、アラート付き、ポリシーが [アラート] 効果を使用している場合にのみ)、 または [拒否] ( 要件を満たさずブロック、ポリシーが [拒否] 効果を使用している場合にのみ)。 |
| ポリシー違反 | アクションによって違反されたポリシー。赤は、アクションを拒否したポリシーを示します。オレンジは、アラートを発行したポリシーを示します。 |
| 評価されたポリシー | アクションを評価したすべてのポリシーのリスト。 |
| 所有者リソース | アクションを開始したリソース。 |
| アイデンティティ | アクションを開始したユーザーまたはサービスアカウント |