リソースの詳細の表示

インベントリ内のリソースをクリックすると、そのリソースに関する詳細な情報が表示されます。

クラウドコンソールでリソースを表示する

リソース名の下にあるリンクをクリックすると、関連するクラウドコンソールにリソースが表示されます。

機密度の高いリソースをマークする

リソースを次の目的で機密としてマークします。

リソースに関連する検出結果、またはリソースにアクセス権を持つアイデンティティの優先度を上げる。
リソースに次の場所で機密性が高いというラベルを付ける Tenable One Cloud Exposure

たとえば、コンプライアンスのリソース (PII、PCI、HIPAA など) を機密としてマークできます。

リソースをセンシティブとしてマークする機能は、すべてのクラウドサービスプロバイダーのほとんどのリソースカテゴリ (IAM を除く) で利用できます。

リソースをセンシティブとしてマークするには

資産インベントリの表示。
1. クラウドサイバーエクスポージャーコンソールで、[Inventory] (インベントリ) にカーソルを合わせて展開します。
2. 表示するクラウドプロバイダーまたは IdP のインベントリをクリックします ( 例: GCP)。
3. [Inventory] (インベントリ) ビューで、表示する関連カテゴリとリソースタイプを選択します ( たとえば、 コンテナ > アーティファクトレジストリ (GCP 内) です。
リソースをクリックしてドリルダウンします。
ページ上部のリソース名の下にある [機密] トグルをクリックします。

クラウドサイバーエクスポージャーコンソール全体のリソースアイコンの右上に、このリソースが機密としてマークされていることを示す赤い円が表示されるようになりました。

ラベルのリソースへの適用

関連するインベントリ (プロパティとラベル) リソースに適用して、リスク評価のための文脈情報を追加します。ラベルを過剰なアクセス許可やネットワークエクスポージャーなどの要因と関連付けることで、クラウドサイバーエクスポージャー環境をさらに充実させることができます。たとえば、機密度の高いバケットやデータベース、または脆弱性のあるインスタンスにラベルを適用できます。

注意: クラウドサイバーエクスポージャーでは、組み込みのシステムラベルもリソースに自動的に適用されます。完全なリストについては、組み込みシステムラベルを参照してください。

前提条件

インベントリ (プロパティとラベル)

ラベルをリソースに手動で適用する方法

資産インベントリの表示。
1. クラウドサイバーエクスポージャーコンソールで、[Inventory] (インベントリ) にカーソルを合わせて展開します。
2. 表示するクラウドプロバイダーまたは IdP のインベントリをクリックします (例: AWS)。
3. [Inventory] (インベントリ) ビューで、表示する関連カテゴリとリソースタイプを選択します ( たとえば、 コンピューティング> EC2 インスタンス (AWS) などです。
関連するページからは、次の操作を実行できます。
- 複数のリソースにラベルを追加します。
  1. 関連するリソースの横にあるチェックボックスを選択します。
  2. ページ下部にある [ラベルの追加] をクリックします。
  3. 関連するラベルを選択し、[追加] をクリックします。
- 単一リソースのラベルを編集する
  1. リソースの横にある三点リーダーアイコンをクリックし、[ラベルの編集] をクリックします。
  2. 関連するラベルを選択して、選択したラベルを追加またはチェック解除し、[保存] をクリックします。

リソースに関する詳細の取得

[概要] をクリックすると、以下のようなリソースに関する詳細が表示されます。

一般的なリソースの詳細 (リソースタイプ、アカウント、割り当てられたタグなど)
インベントリ (プロパティとラベル)。関連するクラウドプロバイダー環境において、フィールドで定義されたパターンに一致するキーと値のペアでタグ付けされたリソースに値が設定されます。
(該当する場合) リソースを作成したアイデンティティやオリジネータ (作成者)
関連するネットワーク情報 (VPC、サブネット、セキュリティグループなど)
関連付けられているポリシー、ユーザー、グループ
履歴データ

リソースに関連付けられた詳細の多くは、それ自体がクラウドサイバーエクスポージャー内のリソースであり、クリックするとドリルダウンできます。たとえば EC2 リソースが表示されているときに、[Network] (ネットワーク) エリアのサブネットをクリックすると、その詳細を確認できます。

リソースの関係を確認する

[調査] の下の [グラフ] タブには、リソースと他のクラウドエンティティとの関係が表示されます。グラフを使用して、リソースがアイデンティティ、検出結果、関連リソースにどのように接続しているかを追跡できます。これにより、アクセスパスを調査し、リスクの影響を評価できます。

プロファイルのリソースが、グラフの中心エンティティとして表示されます。このエンティティを削除することはできず、クラウドサイバーエクスポージャーは追加したエンティティとは異なる方法でマークします。

注意: この [グラフ] タブは、ネットワークエクスポージャーマップとは異なります。リソースのネットワークパスのマップについては、「ネットワークエクスポージャーの視覚化 (グラフ)」を参照してください。

リソースの関係を探索する方法

[インベントリ >調査] をクリックします。
リソースを検索し、クリックしてプロファイルページを開きます。
左側のメニューの [調査] で、[グラフ] をクリックします。

[グラフ] タブが開き、リソースが中央エンティティとして表示されます。
エンティティの横にある + ボタンをクリックします。

利用可能な関係のリストがカテゴリ別にグループ化されて開きます。
リレーションシップを選択します。

関連エンティティはグラフ上に表示され、ラベル付けされたエッジ (例: has、relates to、involved in) によってリソースに接続されます。
(オプション)エンティティの横にある + ボタンをクリックして、グラフをさらに展開します。

注意: グラフにプロファイルリソースのみが表示されている場合、[+] ボタンはカーソルを合わせずに表示されたままになるため、探索の開始点が常に表示されます。

センシティブデータの表示

左側の [データ] メニューセクションで次のいずれかをクリックして、スキャン済みリソースで検出された機密データを表示します。

概要
機密データ
詳細については、データリソースを参照してください。

ネットワークデータの表示

[ネットワーク] セクションを使用して、クラウドリソースのネットワーク接続を表示および分析します。このセクションは、すべてのクラウドにわたる重要なリソースの範囲で使用できます。たとえば、AWS EC2 および RDS インスタンス、Azure 仮想マシン、GCP VM インスタンスおよびインスタンスグループなどです。リソースの完全なリストについては、「サポートされているリソースを参照してください。

ネットワークエクスポージャーの視覚化 (グラフ)

[グラフ] タブは、リソースへのネットワークパスを視覚的にマップします。これは、リソースが直接、またはロードバランサーなどの中間コンポーネントを介してインターネットにどのように公開されているかを理解するのに役立ちます。

マップは以下の 4 つの一般エリアに分かれています:

ソース。リソースにアクセスできる IP アドレス範囲 (CIDR ブロック) です。
経由。ロードバランサーなどを介してインターネットに間接的に公開されているリソースの場合、トラフィックをルーティングするメカニズムを示す列「Via (経由)」が追加で表示されます。
セキュリティグループ / ネットワークセキュリティグループ / セキュリティ境界リソースインスタンスへの送受信トラフィックを制御する仮想ファイヤーウォールです。
ターゲット。 指定されたリソースのターゲットポートです。センシティブなポートは赤でマークされています。

ネットワークマップを操作するには

リソースプロファイルビューで、「 ネットワーク」をクリックし、「 グラフ」 タブに移動します。
マップ内を移動するには、マウスをクリックしてドラッグします。
マップを拡大および縮小するには、[Ctrl]キーを押しながらマウスホイールをスクロールします(またはマップをダブルクリックして拡大します)。をクリックすると、ズームアウトしてマップ全体が表示されます。
グラフ上のリソースに関する詳細を確認する、またはリソースに基づいてグラフをフィルタリングするには、リソースアイコンを右クリックします。
マップをフィルタリングするには、マップの上部にあるフィルターを使用します。
- IP アドレス範囲、セキュリティグループ、またはポートでフィルタリングします。
- 広範囲 (255 を超える) の IP アドレスのセットに公開されているポートをフィルタリングするには、[広い範囲] をクリックします。

ネットワークエンドポイント

[ネットワークエンドポイント] タブには、特定のリソースについて確認済みで到達可能なエントリポイントのリストが表示されます。このビューでは、ネットワークスキャナーによって検証されたエンドポイントのみがリストされます。

列	説明
ネットワークエンドポイント	宛先ホストとポートの組み合わせ (例: 10.0.0.5:443)。
ソース IP アドレス範囲	リソースのネットワークルールで定義されている許可されたソース IP 範囲。これは、リソースにアクセスできる範囲です。
プロトコル	テストされたプロトコル (現在 TCP)。
スキャン時間	最後に成功した検証のタイムスタンプ。

確認されたエンドポイントを表示するには

リソースプロファイルビューで、
[ネットワークエンドポイント] タブに移動します。
表で確認されたライブエクスポージャーを確認します。

注意: エンドポイントがリストにない場合は、ネットワークのエクスポージャーか、スキャナーが接続を確立できなかった、またはリソースタイプがネットワークのエクスポージャーされていないことを意味します。

ネットワークスキャンステータス

[ネットワークスキャンステータス] 列/フィールドは、リソースの現在のスキャンステータスを示します。次の表は、さまざまなステータスとそれに関連する理由の表示を示しています (理由の一部はステータスの横にツールチップとして表示されます)。

ネットワークスキャンステータス	Reasons
無効	設定でリソースのスキャンが無効になっています
サポート対象外	スキャンは、直接 IP アドレスとポートを持つサポートされているリソースでのみサポートされます。詳細は、ネットワークスキャナーを参照してください。
保留中	リソースはスキャン待ちです。
スキャン済み	リソースは正常にスキャンされました。

サポートされているリソース

[ネットワーク] タブと [ネットワークスキャンステータス ] は、次のリソースで使用できます。

クラウド	リソース
AWS	Application Load Balancer
	Auto Scaling グループ
	Classic Load Balancer
	EC2 インスタンス
	ECS サービス
	Network Load Balancer
	RDS インスタンス
	Redshift クラスタ
Azure	アプリケーションゲートウェイ
	CosmosDB アカウント
	ロードバランサー
	MySQL データベースフレキシブルサーバー
	MySQL データベース単一サーバー
	PostgreSQL データベースフレキシブルサーバー
	PostgreSQL データベース単一サーバー
	SQL Server
	仮想マシン
	仮想マシンスケールセット
GCP	インスタンスグループ
	ロードバランサー
	SQL インスタンス
	VM インスタンス

リソースアクティビティの調査

[イベント] タブをクリックすると、リソースに関連するすべてのアクティビティの完全なリストが表示されます。このリストには、以下のカテゴリのアクティビティが含まれます。

アイデンティティまたはオリジネータによって、指定されたリソース上で実行するすべてのアクティビティ。
リソースがアイデンティティまたはオリジネータとして機能して実行されたアクティビティ。

たとえば、アイデンティティとして機能する特定のリソースによって実行されたすべてのアクティビティを表示するには、[Identity] (アイデンティティ) フィルターに移動して、ドロップダウンから当該リソースを選択します。

この情報は、リソースの調査や監査の際に使用します。詳細については、「クラウドイベントを参照してください。

設定スナップショット

IAM リソースの場合、リソースに加えられた設定変更の履歴レコードを表示します。これには、たとえば、複数の日時にリソースにアタッチされたポリシーの完全なリストが含まれます。このデータは、特定の時点の特定の設定データを復元する必要がある場合の参照として使用できます。

スナップショットを表示する方法

リソースプロファイルビューで、[IAM] をクリックします。
[ポリシースナップショット] タブをクリックします。

リソースのソースコードの表示

クラウドサイバーエクスポージャーは、あるリポジトリでコードによって管理されているものとして検出されたリソースに IaC 組み込みシステムラベルを適用します。このようなリソースについては、[IaC] タブをクリックして関連するコードスニペットを表示し、リソースをそのコードのオリジンまでトレースすることができます。詳細については、「コードを参照してください。