エクスプローラー

探索ページは、クラウド環境を調査する中心的な場所です。すべてのリソースと検出結果にわたるクエリを使用し、幅広いフィルターとプロパティを使用してリスクを正確に特定し、優先順位を付け、修正します。

[エクスプローラー] ページに入ったら、検索を開始するにはいくつかの方法があります。

• [人気クエリ] リストからクエリを選択します。このリストには、最初に最近使用 保存されたクエリ が表示され、その後に一連の推奨のビルトインクエリが表示されます。
• [保存済みクエリ] セクションから 保存されたクエリを選択します。
• オブジェクトを選択し、フィルターを適用して、新規クエリを作成するを構築します。

クエリが開かれたら、クエリを変更し、[保存] または [名前を付けて保存] を選択して、新しいカスタムクエリを作成できます。

クエリ結果は、テーブルまたはグラフで表示できます。クエリ結果を表示する。

保存されたクエリ

保存済みクエリを使用すると、特定のクエリ設定を毎回再構築することなく再利用できます。

保存されたクエリをここから開く方法

• Explorer ページ:
  1. [エクスプローラー>調査] に移動します。
  2. [ 保存済み] クエリ ボタンをクリックします。
  3. 次のいずれかを使用してフィルタリングまたは検索します。
     • カテゴリ
     • 検索バー
     • クエリタイプ (すべて、ビルトイン、パブリック、プライベート) でフィルターを表示します
• クエリ:
  1. [>クエリの調査] に移動します。
  2. 開くクエリをクリックします。

使用できる保存済みクエリには 2 つのタイプがあります。

• ビルトインクエリ: Tenable One Cloud Exposure によって提供される標準装備のクエリ。これらのクエリは編集または削除できません。変更して [名前を付けて保存] をクリックし、カスタムクエリを作成できます。
• カスタムクエリ: 自分または他のユーザーによって作成されます。カスタムクエリは、パブリックまたはプライベートにすることができます。任意のカスタムクエリを更新または複製できます。

新規クエリを作成する

調査するオブジェクトを選択し、フィルター、演算子、関係性を使って結果を絞り込むことで、新しいクエリを作成します。以下のセクションでは、各ステップについて説明します。

1. オブジェクトの選択
2. 結果のフィルタリング
3. フィルターと演算子の組み合わせ
4. 関係を追加する
5. [グループ化] を使用した結果の集計
6. クエリの保存
7. クエリを編集する

オブジェクトの選択

すべてのクエリは、仮想マシン、アイデンティティ、コンテナ、ポリシーなどのオブジェクトから始まります。このオブジェクトによって、フィルタリングできるプロパティとリレーションシップが決まります。

オブジェクトを選択するには

1. [エクスプローラー>調査] に移動します。
2. 「 リソースの検索」 コントロールを選択して、オブジェクト・セレクタを開きます。次のことができます。
   • オブジェクトの名前で検索します。
   • 最近使用したオブジェクトから選択します。
   • カテゴリを参照して 関連オブジェクトを表示します (たとえば、Kubernetes を選択するとすべての Kubernetes リソースが表示されます)。
   • 利用可能なオブジェクトの完全なリストをスクロールします。

オブジェクトを選択すると、クエリビルダーが開き、フィルター、演算子、関係を追加して結果を絞り込むことができます。

ネイティブオブジェクトと汎用オブジェクト

カスタムクエリを作成するときには、さまざまなタイプのオブジェクトから選択して環境を探索できます。これらのオブジェクトタイプは、範囲を示すアイコンで区別されます。

• ネイティブオブジェクト (クラウド固有のアイコン (例: 、Azure ):
  • これらは、特定のクラウドプロバイダーに固有のオブジェクトや、特定のプラットフォームのサービス (AWS EC2 インスタンス、Azure 仮想マシンスケールセットなど) の詳細を提供するオブジェクトを表します。ネイティブオブジェクトを選択すると、その特定のクラウド環境のオブジェクトのみをクエリできます。これらは、単一のクラウドプラットフォームの固有のプロパティや詳細をターゲットにする必要がある場合に使用します。
  • 接続されたクラウド環境から利用可能なすべてのリソースがサポートされていますが、すべてのリソースですべてのプロパティをフィルタリングできるわけではありません。クエリするすべてのリソースには、少なくとも、特定の統合リソースタイプから継承されたプロパティに加えて、クラウドリソースオブジェクトのすべてのプロパティがあります (たとえば、GCP VM インスタンスはクラウドリソースタイプと仮想マシンタイプの両方から継承します)。
• 汎用オブジェクト (アイコン: )。
  • これらのオブジェクトは、複数のクラウドプラットフォーム (仮想マシンやアイデンティティなど) または単一のプラットフォーム (Google アイデンティティなど) 内に存在する一般的なリソースタイプを表します。汎用オブジェクトをクエリすると、関連するすべてのインスタンス (プラットフォーム間または単一のプラットフォーム内) が 1 つの統合ビューに表示されます。これは、複数のクラウドをまたがる広範な概要を把握する場合に最適です。
  • クラウドリソースオブジェクトは、最上位レベルの汎用オブジェクトです。汎用型かプラットフォーム固有の型かにかかわらず、すべてのリソースに適用できるプロパティの基本セットを定義します。

結果のフィルタリング

クエリの中核となるオブジェクトを選択したら、そのオブジェクトのプロパティに基づいてフィルタリングを開始できます。

オブジェクトプロパティでフィルター

オブジェクトプロパティでフィルタリングする方法

1. 選択したオブジェクトの右側にある + (フィルターの追加) をクリックします。
2. [プロパティ] セクションで、関連するプロパティを検索またはスクロールして見つけます。たとえば、「名前」と入力します。
3. プロパティ名をクリックして基準として追加し、プロパティ演算子と値を選択します。たとえば、[名前] に operator=Contains と value=dev を選択できます。

エンティティ特性でフィルタリング

クラウドリソースとエンティティを機能 (特性) でフィルタリングすることで、特定のサービスタイプに関係なく、共通の特性を共有するリソースをすばやく見つけることができます。

1. 選択したオブジェクトの右側にある + (フィルターの追加) をクリックします。
2. 「 プロパティ」 セクションで、「 特性」 を検索または選択します。
3. プロパティ名をクリックして、条件として追加します。
4. 演算子を選択します (例: [Is] と [Not])。
5. フィルタリングする特定の特性 ( 暗号化可能 、 タグ付け可能など) を選択します。

空白値のクエリプロパティ

特定のプロパティに定義された値がないリソース/検出結果を検索するには、 is empty 演算子を使用します。たとえば、この演算子を使用すると、すべてのクラウド環境にわたって、タグが欠落しているすべての公開仮想マシンを検索できます。

未加工のクラウドプロバイダーソースデータでフィルタリング

クラウドサイバーエクスポージャー は、最も一般的なリソース属性をプロパティとしてモデル化します ( 名前 、 オペレーティングシステムタイプなど)。プロパティではない属性が必要な場合は、代わりに [ソースデータ] でフィルタリングします。このプロパティには、リソースに関して Tenable がクラウドプロバイダーから受け取った JSON が含まれます。

クラウドプロバイダーは、この JSON のコンテンツと構造を定義します。 Tenable はそれを制御せず、プロバイダーはいつでもフィールド名、値、または構造を変更できます。

ソースデータ では、次の演算子がサポートされています。

一致するリソースを除外するには、演算子の横にある [なし] をクリックします。

始める前に

• クエリするタイプのリソースを開き、[JSON] タブをクリックします。これを使用して、正確なキー名と構造を見つけます。キー名は大文字と小文字が区別され、クラウドプロバイダーの API ドキュメントとは異なる場合があります。

特定の JSON 値でフィルタリングする方法

1. 選択したオブジェクトの右側にある + (フィルターの追加) をクリックします。
2. [プロパティ] セクションで、[ソース データ] を検索してクリックします。
3. 演算子ドロップダウンボックスで、[JSON パスに一致] を選択します。
4. [JSON パス] ボックスに、 $ で始まる JSONPath 式を入力します。たとえば、詳細AWSモニタリングされていない EC2 インスタンスを検索するには、「 $.monitoring.state」と入力して [文字列] と [等しい] を選択して、「 disabled」と入力します。[未定:コンソールでこれを一度実行して、結果が返されることを確認します]
5. [条件付きロジック] で、複数の値を返すパス (配列など) を処理する方法を選択します。
   • すべてに一致: すべての値が一致する必要があります。これはデフォルトです。
   • Match any: 少なくとも 1 つの値が一致する必要があります。
6. [タイプ] ドロップダウンボックスで、値のデータタイプ ( 文字列、 数値、 ブール値) を選択します。

7. [演算子] ドロップダウンボックスで、演算子を選択します。使用可能な演算子は、タイプによって異なります。次の表を参照してください。

   タイプ	演算子
   文字列	等しい、含む、次で始まる、次で終わる、一致パターン
   数字	等しい、より大きい、以上または等しい、より小さい、より小さい
   ブール値	等しい

8. 値を設定します。
   • [文字列] または [数値] で、[値] ボックスに値を入力します。
   • Boolean の場合、True または False を選択します。

フィルターがクエリに表示されます (例: Source Data matches JSON Path $.monitoring.state equals disabled)。

複数のオブジェクト プロパティでフィルター

プロパティをいくつでもフィルタリングできます。

複数のプロパティでフィルタリングする方法

1. 選択したオブジェクトの右側にある + (フィルターの追加) をクリックします。
2. [プロパティ] セクションで、関連するプロパティを検索またはスクロールして見つけます。たとえば、[作成時刻] などです。
3. プロパティ名をクリックして基準として追加し、プロパティ演算子と値を選択します。
4. これらの手順を繰り返して、追加のプロパティを追加します。

関係でフィルター

オブジェクトの直接プロパティによるフィルタリングに加えて、他のリソースとの接続に基づいてフィルタリングできます。

リレーションでフィルタリングする方法

1. 選択したオブジェクトの右側にある + (フィルターの追加) をクリックします。
2. [リレーション] セクションで、関連するリレーションシップを検索またはスクロールして見つけます。たとえば、クラウドリソースに関連しています。
3. 関係の横にあるインラインの [フィルター] ボタンをクリックします。または、[参加] をクリックして 結合を作成することもできます。

クエリグループの非表示 / 表示

フィルターセットは、クエリから削除せずに一時的に無効にすることができます。これは、テストとトラブルシューティングに役立つ強力な機能です。グループを非表示にすると、そのフィルターはクエリのロジックから削除され、検索結果に影響しなくなります。グループは保存されたままなので、[グループをいつでも表示] を選択することで、フィルターを即座に再度有効にすることができます。

クエリのどのレベルでグループも非表示にできます。たとえば、親グループ全体を非表示にしたり (これにより、そのグループ内にネストされているすべてのフィルターも無効になります)、グループ内の個々のフィルターを非表示にしたりできます。

クエリグループを非表示/表示する方法

関連するグループの横にある三点リーダーアイコンをクリックし、[グループを非表示にする] をクリックします。

フィルターと演算子の組み合わせ

クエリにフィルターを追加すると、フィルターは論理演算子を使用して相互作用します。

関係を追加する

オブジェクト間の関係を照会する機能は、Explorer の心臓部です。強力なクエリを構築できるには、次の 2 つの異なる方法でこれらのつながりを活用できます。

• リレーションシップフィルターの使用
• 結合を作成する

リレーションシップフィルターの使用

この方法を使用すると、関連オブジェクトの特定のプロパティに基づいてエンティティを検索できます。このメソッドを使用する場合も、1 つのオブジェクトタイプを照会しますが、その接続に基づいてフィルタリングします。クエリにいくつものリレーションシップフィルターを追加して、検索を正確に絞り込むことができます。

クエリの例 - 重大な検出結果を持つすべてのアイデンティティを検索する

1. プライマリオブジェクトとして [アイデンティティ] を選択します。
2. リレーションシップフィルターを追加し、 [検出結果あり] を選択します。
3. [検出結果あり] フィルターで、ネストされた条件を [深刻度] に追加し、[重大] を選択します。

結合を作成する

この方法では、2 つの異なるオブジェクトタイプのデータを 1 つの結果セットに結合でき、各行には結合されたオブジェクトからのデータの一意の組み合わせが表示されます。1 つのクエリに最大 10 個の結合を追加して、非常に複雑で詳細な結果セットを作成できます。複数の結合は 、並列 (同じオブジェクトから分岐する複数の結合) または 線形 (後続の結合オブジェクトから分岐する結合) に追加できます。

クエリの例 - 重大な検出結果を持つすべての検出結果とそれに関連付けられたアイデンティティを検索します。

• Join,を使用すると、クエリは組み合わせた情報を含む単一のテーブルを返します。この例では、各行に、条件を満たすアイデンティティと検出結果の一意の組み合わせが表示され、両方のオブジェクトのデータが同時に表示されます。
• Joinを Left Join に切り替えると、結合されたオブジェクトに一致するデータがなくても、(クエリの左側にある) プライマリオブジェクトからすべての結果が返されます。これは、プライマリオブジェクトのすべてのアイテムの完全なリストを確認する場合に便利です。

1. プライマリオブジェクトとして [アイデンティティ] を選択します。
2. 選択したオブジェクトの右側にある + (フィルターの追加) をクリックします。
3. [リレーション] セクションで、関連するリレーションシップを検索またはスクロールして見つけます。たとえば、検出結果に関連するものです。
4. 関係の横にあるインラインの [結合] ボタンをクリックします。
5. 結合された検出結果オブジェクト内で、深刻 度 のネストされた条件を追加し、[重大] を選択します。

[グループ化] を使用した結果の集計

特定のプロパティごとにクエリ データを集計し、結果をカウントとして簡略化されたテーブル ビューで表示します。たとえば、検出結果関連のクエリを深刻度別にグループ化すると、結果の内訳を深刻度レベル別に表示できます。

1. ルートエンティティの横にある三点リーダーアイコンをクリックし、[グループ化] を選択します。GROUP BY 要素がクエリの下部に追加されます。

2. GROUP BY 要素の横にある + (追加) ボタンをクリックし、グループ化ターゲットを選択します。ルートエンティティごとにデータをグループ化するか、結合された任意のオブジェクトでデータをグループ化するかを選択できます。

   

クエリの保存

エクスプローラー>エクスプローラーでクエリを作成または変更した後、後で再利用するために保存できます。

保存済みクエリに加えた変更は、保存するまで一時的に残ります。

クエリを保存する方法

1. [保存] または [名前を付けて保存] を選択します。
   • [保存] は 現在のカスタムクエリを更新します。ビルトインクエリでは保存が無効になっています。
   • [名前を付けて保存] は、新しいカスタムクエリを作成します。
2. [クエリの保存] ウィンドウで、次のように入力します。
   1. 名前
   2. カテゴリ
   3. 可視化:
      • パブリック: 組織内のすべてのユーザーに表示されます。
      • プライベート: 自分だけが閲覧できます。
   4. モニタークエリ

      • 監視: Tenable は、監視を有効にしてから開始されるクエリ結果の日次スナップショットをキャプチャし、クエリプロファイルでトレンド追跡とウィジェットを有効にします。

        注意: クエリを監視するには、クエリをパブリックにし、結合またはグループのプロパティがない必要があります。
      • 監視しない (デフォルト)
3. [Save] (保存) をクリックします。後で クエリ管理できます。

クエリウィジェット

監視対象クエリでは、履歴データがクエリプロファイルのウィジェットとして表示され、[調査] > [クエリ] で表示できます。ウィジェットバンクはカスタムダッシュボードで使用することもできます。

クエリを編集する

カスタムクエリの名前、カテゴリ、または表示は Explorer ページから直接更新できます。

クエリを編集する方法

1. [調査] > Explorer で、変更するカスタムクエリを開きます。
2. ページ上部のクエリ名の横にある三点リーダーアイコンをクリックし、[編集] をクリックします。
3. [クエリの編集] ウィンドウで、以下を更新できます。
   • 名前
   • カテゴリー
   • 可視性: プライベート (自分にのみ表示) と パブリック (組織に表示) を切り替えます。
4. [保存] をクリックします。

クエリからのカスタムポリシーの作成

クエリをカスタムポリシーに変換して、アドホック検索を自動セキュリティ監視に変換します。たとえば、公開されている EC2 インスタンスを「機密」タグで追跡するためのポリシーを作成します。

クエリベースのポリシーを使用すると、以下が可能になります。

• 名前、説明、カスタムの修正ステップ (外部リンクを含む) を割り当てて、セキュリティチームに明確なガイダンスを提供できます。
• 固有の環境制約を定義し、問題解決のために手動でレポートを共有する必要性をなくすことで、修正ワークフローを改善できます。

クエリからカスタムポリシーを作成する方法

1. コンソールで、エクスプローラー> [調査] に移動します。
2. (オプション)[組織] ドロップダウンで 範囲 を選択します。
3. 既存のクエリを選択するか、新しいクエリを作成します。詳細については、 サポートされているオブジェクト 。
4. [Add > Custom Policy] をクリックします。[Add Custom Policy] (カスタムポリシーの追加) 画面が開きます。
5. 意味のある 名前 と 説明 を入力します (オプション)。
6. ポリシーに深刻度を割り当てます。深刻 度は、ポリシーによってトリガーされた検出結果の深刻度を決定します。
7. (オプション)セキュリティチームに明確なガイダンスを提供するように、カスタム 修正 手順を入力します。
8. (オプション)必要に応じて、クエリエディターから選択したクエリを微調整します。
9. [保存] をクリックします。

サポートされているオブジェクト

次のクエリからカスタムポリシーを作成できます。

• 単一リソースクエリ
• クラウドリソース

Join演算子を使用したクエリや、リスクやポリシーなどのクラウド以外のエンティティをターゲットとするクエリはサポートされていません。次のオブジェクトは現在サポートされていません。

クエリデータからのレポートの作成

クエリデータのエクスポートするだけでなく、調査結果を自動レポートに変換して、継続的に監視することもできます。

クエリデータからレポートを作成する方法

1. コンソールで、エクスプローラー> [調査] に移動します。
2. (オプション)[組織] ドロップダウンで 範囲 を選択します。
3. 必要に応じてクエリを作成します。
4. 列ピッカーを使用して、エクスポートに含めるデータを選択します。
5. [レポート>追加] をクリックします。[レポートの作成] 画面が開きます。
6. 意味のある 名前を入力します。
7. 納期:
   • さて。1 回限りのレポートを生成します。
   • スケジュール。特定の日時にレポートを生成するよう、日次、週次、月次といった頻度を定義します。
8. [配信方法の追加] を使用して、レポートのコピーを特定の受信者に送信します。詳細については、「 Slack または Teams 」を参照してください。

   • メールアドレス

     注意: メールでレポートを送信する場合、ファイルサイズは 14.5MB に制限されています。レポートのサイズが大きい場合は圧縮されるか、ダウンロードリンク経由で提供されます。
   • Slack チャンネル
   • Teams チャネル
9. [作成] または [スケジュール] をクリックします。

クエリからの検出結果の自動化の作成

自動化を作成して、検出結果ベースのクエリを永続的なルールに変換できます。

1. コンソールで、エクスプローラー> [調査] に移動します。
2. (オプション)[組織] ドロップダウンで 範囲 を選択します。
3. 必要に応じてクエリを作成します。
4. [検出結果の自動化>追加] をクリックします。[検出結果の自動化を作成] ページが開きます。
5. 自動化設定を行います (左ペイン):
   1. 自動化ルールを正確に説明する [名前] と [説明] (オプション) を入力します。
   2. ステータス: [有効] または [無効] のいずれかを選択します。
   3. タイプ: このルールの対象となる検出結果のタイプを定義します。
      • クラウドの検出結果
      • IaC 検出結果
   4. クエリ
      • 既存のクエリへのリンク自動化は元のクエリと同期したままになります。リンクされると、クエリを削除したり、非表示にしたり、サポートされていない構文で編集したりすることはできません。
      • スタンドアロンクエリ。独立したコピーを作成するか、一から書き込みます。
   5. 自動化をトリガーする ターゲット範囲 を選択します。フォルダー全体を選択すると、そのフォルダー内にあるすべての既存アカウントと今後作成されるアカウントの自動化がトリガーされます。

   6. 既存の検出結果に適用するかどうかを選択します。これを有効にすると、今後の新しい検出結果に加えて、システム内の既存の検出結果すべてに自動化が適用されます。

      注意: このオプションは、新しい検出結果の自動化を作成するとき、または自動化が以前に無効になっていた場合にのみ使用できます。

   7. 配信: [メソッドの追加] をクリックして、通知の送信先を設定します。特定の配信方法を統合リストに表示するには、まず 統合 する必要があります(自動的に表示されるメールアドレスを除く)。

      メールアドレス

      固定メールリストに送信するには 静的 を選択し、リソース所有者に通知するには 所有者による動的を選択します。リソースの所有者への送信には、多数の受信者が含まれる場合があります。たとえば、関連付けられたメールアドレスのないグループが所有者になっている場合、Tenable がグループメンバー全員にメールを送信します。

      Slack チャンネル

      固定チャネルに送信するには Static を選択し、リソース所有者に直接通知するには Dynamic by Owner を選択します。この場合、受信者数が多くなる可能性があります。

      Teams チャネル

      固定チャネルに送信するには Static を選択し、リソース所有者に直接通知するには Dynamic by Owner を選択します。この場合、受信者数が多くなる可能性があります。

      Jira

      統合を有効にしてから、 プロジェクト、 課題タイプ、 担当者 (オプション)、[ ラベル]、[ エピック (オプション) 環境 (Jiraインスタンスの URL) を選択します。ラベルの場合、Jira インスタンスですでに設定されているラベルのリストから選択するか、Jira に送信される新しいラベルを手動で追加できます。ラベル名にスペースを含めることはできません。

      ServiceNow

      統合を有効にしてから、 インスタンス と 担当者を選択します。

      Datadog 組織

      QRadar サーバー

      SQS キュー

      Splunk イベントコレクター

      Webhook

6. [Create] (作成) をクリックします。

クエリデータのエクスポート

カスタムクエリの結果を CSV ファイルにエクスポートして、オフラインでの分析、レポート、共有を行うことができます。この機能を使用すると、現在のビューに基づいてクエリデータの完全なスナップショットをキャプチャできます。エクスポートには、現在選択され、ページに表示されている列のすべてのデータが含まれ、エクスポートされたファイルが特定のビューに合わせて調整されます。エクスポートできる行数に制限はありません。

クエリデータをエクスポートする方法

1. コンソールで、エクスプローラー> [調査] に移動します。
2. (オプション)[組織] ドロップダウンで 範囲 を選択します。
3. 必要に応じてクエリを作成します。
4. 列ピッカーを使用して、エクスポートに含めるデータを選択します。
5. [エクスポート ] をクリックします。

クエリ結果を表示する

クエリ結果は、 テーブル または グラフの 2 つの形式で表示できます。結果領域の右上にあるトグル を使用して、ビューを切り替えます。

テーブルビュー

テーブル ビューでは、クエリ結果が構造化された列ベースのレイアウトで表示されます。列は、クエリ内のオブジェクトに応じて自動的に調整されます。

列を追加または削除して、テーブルに表示されるデータを制御できます。

列をカスタマイズする方法

1. クエリを実行します。
2. [列ピッカー] をクリックします。
3. 表示する列を選択します。
   • Joinを使用している場合、列ピッカーに複数のオブジェクトが表示されます。それぞれをクリックして展開し、列を選択します。
   • (オプション)クリックすると、特定のオブジェクトのすべての列 が選択 されます。

クエリ結果をエクスポートする場合、CSV には現在選択されている列のみが含まれます。

グラフビュー

グラフビューでは、クエリから返されたオブジェクトとそれらの間の関係が視覚化されます。これにより、リソースが検出結果、アイデンティティ、設定を通じてどのように接続、相互に依存している、または関連しているかを理解しやすくなります。

グラフを操作して、データ構造を探索できます。

• ノードをドラッグ して再配置します
• 関係ブランチを展開または折りたたむ (可能な場合)。
• 左側のコントロールを使用して 、ズーム、リセット、または全画面表示にします。

グラフの配置方法を変更するには、[レイアウトの変更] を使用して、使用可能な視覚化スタイルのいずれかを選択します。

• シーケンシャル: 上から下または左から右の明確なフローでノードを配置します。階層パスに適しています。
• オーガニック:ノードを均等に広げて、重複を減らします。一般的な人間関係を探るのに適しています。
• レンズ:高度に接続されたノードを中央に押し出し、接続の少ないノードを外側に押します。ネットワーク内のハブをハイライトします。
• 構造: 類似の接続を持つノードをグループ化します。クラスターやパターンを見つけるのに役立ちます。

各レイアウトではノードを編成する方法が異なるため、重要な関係に集中しやすくなります。

サンプルクエリ

以下のサンプルクエリは、Unified Explorer の機能をフル活用するための出発点となります。これらの例を使用して、プロパティと演算子を組み合わせて一般的なセキュリティ上の課題を解決し、独自のカスタムクエリを作成する方法を理解します。

コンプライアンス基準に違反する検出結果のクエリ

特定のコンプライアンス基準に違反する検出結果を特定します。たとえば、SOC2 Type II 基準に違反する、深刻度が重大なオープンクラウド検出結果をすべてクエリします。

クエリをビルドします。

1. まず、[Cloud Finding] を選択して、環境内のすべてのクラウド検出結果に対してクエリを実行します。
2. グループ を追加するには、三点リーダーをクリックします。
3. 新しいグループで、[深刻度] のフィルターを追加し、[重大] を選択します。
4. [ステータス] のフィルターを追加して 、[開く] を選択します。
5. 関係フィルターを追加して、クラウドリソースに関連する検出結果のみを検出します。
6. [結合] をクリックし、[コンプライアンス違反] を選択します。
7. [JOIN] で、[System ID] のフィルターを追加し、関連する標準を選択します。

一般向け仮想マシンのクエリ

このクエリを使用すると、早急な対応が必要な一般のリスクをもつ仮想マシンを検索できます。

クエリをビルドします。

1. まず、[仮想マシン] を選択して、環境内のすべての仮想マシンに対してクエリを実行します。
2. [ネットワークエクスポージャー] のフィルターを追加して、 インターネット (直接) と インターネット (間接) を含めます。
3. 関係フィルターを追加して、 検出結果が関連付けられている VM のみを検出します。
4. [グループの追加] をクリックし、 And 演算子を使用して、検出結果自体に固有の一連の条件を適用します。このネストされたグループでは、次の条件でフィルタリングします。
   • 深刻度には、[重大] および [高] の検出結果が含まれます。
   • [ステータス] を選択し、[クローズされた検出結果] を選択し、Not演算子を適用して除外します。

非アクティブな所有者を持つリソースのクエリ

非アクティブポリシーにリンクされたユーザーが所有する、未解決の、高深刻度/重大の検出結果を持つクラウドリソースを検索します。

クエリをビルドします。

1. まず、[クラウドリソース] を選択して、環境内のすべてのクラウドリソースタイプに対してクエリを実行します。詳細については 、汎用オブジェクトとプラットフォーム固有のオブジェクト を参照してください。
2. 関係フィルターを追加して、 プリンシパルが所有するリソースを検索します。この文脈におけるプリンシパルは、 リソース所有者を表します。
3. 2 つ目の関係フィルターを追加して、検出結果が関連付けられているリソースを見つけます。
4. [グループの追加] をクリックし、 And 演算子を使用して、検出結果自体に固有の一連の条件を適用します。このネストされたグループでは、次の条件でフィルタリングします。
   • 深刻度には、[重大] および [高] の検出結果が含まれます。
   • 非アクティビティ関連の ポリシーによって生成された検出結果。ポリシーのリストを絞り込むには、[システム ID] (または 検索ポリシー) プロパティを使用して、特定のポリシーを選択できます。
   • ステータスにより 、 オープン の検出結果のみが含まれます。

参照: 検出結果のプロパティ

次のプロパティで検出結果をフィルタリングできます。

FAQ (よくある質問)