自動化

必要な Tenable One Cloud Exposure ユーザーロール: このアクションを クラウドサイバーエクスポージャー で実行するには、管理者ロールが必要です。詳細については、ユーザーとグループを参照してください。

次の状況で、 統合 にプッシュ通知を送信する自動化ルールを作成します。

重要: 自動化ルールは、新しいリスクとアクティビティに対してのみトリガーされ、遡及的に適用されません。

サードパーティツールにリスクデータを送信

クラウドサイバーエクスポージャー が特定のリスクを特定したときに、統合されたサードパーティツールにプッシュ通知を送信する自動化ルールを作成します。リスク自動化ルールは、選択した タイプ に応じて、クラウドの検出結果、IaC の検出結果、または脅威ストーリーに適用できます。

リスク自動化ルールごとに、次のコア要素が定義されます。

  • ターゲットの範囲: 自動化をトリガーする特定のアカウント範囲。
  • タイプ: 自動化が適用されるリスクのカテゴリ ( クラウドの検出結果、 IaC の検出結果、 脅威ストーリー)。このタイプによって、オートメーションクエリで使用できるフィールドとデフォルトのフィルターが決まります。
  • 自動化クエリ: ルールをトリガーする特定のリスク (深刻度、ステータス、リソースタイプ、アクター、脅威検出など) を定義する探索 エクスプローラークエリ。
  • 配信方法: 通知またはチケットが送信される1つ以上のサードパーティツール統合。
注意: 会話から自動化を開始するには、Hexa AI に自動化の作成を依頼します。Hexa AI は、名前、説明、クエリ、およびターゲット スコープを提案します。提案の [オートメーションの作成] をクリックすると、これらの値が入力された [オートメーションの作成] ページが開きます。設定を確認し、配信方法を追加して、[作成] をクリックします。詳細については、「 Hexa AI」を参照してください。

新しい自動化ルールを追加する方法

  1. クラウドサイバーエクスポージャーコンソールで、[Operations > Risk Automations] に移動します。
  2. (オプション)[組織] ドロップダウンで範囲を選択します。選択した範囲内でアクセス許可を持つユーザーは自動化にアクセスできます。
  3. [自動化の作成] をクリックします。
  4. 自動化設定を行います。
    1. 自動化ルールを正確に説明する [名前] と、オプションで [説明] を入力します。
    2. [ステータス] で、[有効] または [無効] のいずれかを選択します。

    3. [タイプ] には、[クラウドの検出結果] (デフォルト)、[IaC の検出結果]、または [脅威ストーリー] を選択します。

      注意: ドロップダウンには、ライセンスとアクセス許可がカバーする種類のみが表示されます。
    4. [クエリの選択] をクリックして既存のクエリを選択するか、最初から作成します。クエリビルダーは、選択した タイプに基づいてデフォルトのフィルターを適用します。
      • リンクされたクエリを削除したり、プライベートにしたり、サポートされていない構文で編集したりすることはできません。
      • 既存のクエリを選択して編集する場合は、三点リーダーメニューを開き、[リンク解除] をクリックしてフィルターを変更します。ポリシーは元のクエリと同期されなくなります。
    5. [ターゲットの範囲] で、自動化をトリガーする範囲を選択します。フォルダー全体を選択すると、そのフォルダー内にあるすべての既存アカウントと今後作成されるアカウントの自動化がトリガーされます。

    6. 既存のリスクに適用するかどうかを選択します。これを有効にすると、今後検出される新しいリスクに加えて、選択したタイプのすべての現在のリスクに自動化が適用されます。

      注意: このオプションは、新しい自動化を作成するとき、または自動化が以前に無効になっていた場合にのみ使用できます。

    7. [配信] で、[メソッドの追加] をクリックして、通知の送信先を設定します。特定の配信方法を統合リストに表示するには、まず 統合 する必要があります(自動的に表示されるメールアドレスを除く)。

      以下の設定手順は、 タイプに関係なく同じです。変更されるのは、各チャネルに送信されるコンテンツです。脅威ストーリー用に作成された Jira チケットには脅威固有のフィールド (アクター、脅威検出) が含まれますが、クラウドまたは IaC の検出結果のチケットには代わりにリソースと深刻度のフィールドが載せられます。

      1 つ以上のメールアドレスを手動で入力するには 受信者を指定 を選択し、リソース所有者にリスクを送信するには カスタムプロパティから受信者を抽出 を選択します

      • 受信者を指定します。 To フィールドに 1 つ以上のメールアドレスを入力します
      • カスタムプロパティから受信者を抽出します。 所有者カスタムプロパティ を選択して、リソース所有者データから受信者のメールアドレスを解決します。また、カスタムプロパティに有効なメールアドレスが見つからない場合に使用する フォールバック受信者 も入力する必要があります。フォールバック受信者は、アドレスを解決できなかったすべての所有者のすべてのリスクを受け取ります。

      CC フィールドは両方のオプションで使用できます。

      各メール配信方法で、1 つの所有者カスタムプロパティがサポートされます。複数のプロパティをカバーするには、メール配信方法を追加します。複数の配信方法で同じ所有者カスタムプロパティを選択することはできません

      注意: カスタムプロパティから受信者を抽出 を使用する場合、 クラウドサイバーエクスポージャー は自動化スコープ内のすべてのリスクではなく、各所有者のリソースに関連付けられたリスクのみを送信します。

      ワークスペース(単一選択)を選択し、受信者を設定します。

      • 受信者を指定します。 選択したワークスペースから1つ以上のチャンネルを選択します。
      • カスタムプロパティから受信者を抽出します。 所有者カスタムプロパティ を選択して、Slack ユーザーとしてリソース所有者に直接リスクを送信します。所有者を解決できない場合の フォールバックチャネルを指定します
      注意: カスタムプロパティから受信者を抽出 を使用する場合、 クラウドサイバーエクスポージャー は各所有者に自分のリソースに関連付けられているリスクのみを送信します。

      組織を選択し(単一選択)、受信者を設定します。

      • 受信者を指定します。 選択した組織から1つ以上のチャンネルを選択します。
      • カスタム プロパティから受信者を抽出します。 所有者カスタム プロパティ を選択して、Teams ユーザーとしてリソース所有者に直接リスクを送信します。所有者を解決できない場合の フォールバックチャネルを指定します
      注意: カスタムプロパティから受信者を抽出 を使用する場合、 クラウドサイバーエクスポージャー は各所有者に自分のリソースに関連付けられているリスクのみを送信します。

      統合を有効にしてから、 プロジェクト、 課題タイプ、 ラベル、 エピック (オプション)、 環境 (Jiraインスタンスの URL) を選択します。ラベルの場合、Jira インスタンスですでに設定されているラベルのリストから選択するか、Jira に送信される新しいラベルを手動で追加できます。ラベル名にスペースを含めることはできません。

      担当者には、次のいずれかを選択します。

      • 担当者を指定します。 ドロップダウンからJiraユーザーを選択します。Jiraプロジェクトで [担当者] フィールドがオプションの場合、このフィールドはオプションです。
      • カスタムプロパティから担当者を抽出します。 所有者カスタムプロパティを選択して、リソース所有者データから担当者を解決します。所有者のメールアドレスを解決できない場合には、オプションで フォールバック担当者 を指定できます。Jira で [Assignee] (担当者) フィールドがオプションである場合、このオプションはオプションです。

      統合を有効にし、 インスタンスを選択して、担当者を設定します。

      • 割り当て先。 そのグループから 割り当てグループ (ServiceNow インスタンスで必要な場合にのみ表示) と 割り当て先 ユーザーを選択します。
      • カスタムプロパティからアドレスを抽出します。 所有者カスタムプロパティ を選択して、リソース所有者データから担当者を解決します。お使いの ServiceNow インスタンスで割り当てグループが必要な場合は、[Fallback Assignment Group] フィールドも表示され、指定する必要があります。

      Datadog 組織

      QRadar サーバー

      SQS キュー

      Splunk イベントコレクター

      Webhook

  5. クエリをビルドしてプレビューします:

    注意:

    • クエリの作成は、以前に スタンドアロンクエリ を選択した場合のみ関連します。
    • システムは、選択した タイプに一致するベースラインフィルターをクエリビルダーに自動的に入力します。
    1. クエリビルダーを使用して、リスク基準を定義します。詳細は、「 エクスプローラーを参照してください。
    2. ビルダーの下の表を確認し、現在クエリロジックに一致するリスクのプレビューをリアルタイムで確認します。
  6. [Create] をクリックします。

サードパーティツールへの監査データの送信

自動化ルールを作成して、ユーザーアクションが クラウドサイバーエクスポージャー で実行されたときに、クラウドサイバーエクスポージャー監査データを以下のいずれかのサードパーティツールに送信します。

  • SIEM ツール:
    • Datadog
    • Splunk
    • QRadar
  • 通知ツール:
    • Slack
    • Microsoft Teams
  • Webhook 経由のその他のサードパーティツール

監査ベースの自動化ルールごとに、次のコア要素が定義されます。

  • 自動化をトリガーする特定のアカウント範囲。詳細については、アカウント階層とフォルダーを参照してください。
  • 自動化をトリガーする一連のユーザーアクションです。
  • Tenable と統合したサードパーティツールに応じた自動化ターゲット。

新しい自動化ルールを追加する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Operations (操作)] > [Audit Automations] (監査の自動化) に移動します。
  2. (オプション)[組織] ドロップダウンで 範囲 を選択します。選択した範囲内でアクセス許可を持つユーザーは自動化にアクセスできます。
  3. [ルールの追加] をクリックします。
  4. 自動化ルールを正確に説明する [名前] と [説明] (オプション) を入力します。
  5. ステータス: [有効] または [無効] のいずれかを選択し、[保存] をクリックします。
  6. 自動化をトリガーする クラウドアカウントターゲット を選択します。フォルダー全体を選択すると、そのフォルダー内にあるすべての既存アカウントと今後作成されるアカウントの自動化がトリガーされます。
  7. 自動化ルールをトリガーするユーザー アクション を選択します。
    • すべて。ユーザーアクション、および今後 Tenable によって追加されるすべてのアクションが含まれます。
    • 具体的なアクションカテゴリ別に整理された 1 つ以上のユーザーアクションを個別に選択します。
  8. システム生成のアクションも含めるかどうかを選択します。
  9. [配信方法の追加] をクリックして、通知の送信先を設定します。特定の配信方法を統合のリストに表示するには、まず 統合 する必要があります(自動的に表示されるメールアドレスを除く)。
    • Datadog 組織
    • Splunk イベントコレクター
    • QRadar サーバー
    • SQS キュー
    • Slack チャンネル
    • Teams チャネル
    • Webhook

自動化を有効または無効にする

自動化ルールを有効または無効にすると、設定を失うことなく、自動化ワークフローを一時的に柔軟に一時停止できます。データまたは通知の送信を再開する準備ができたら、ルールをオンに戻すことができます。

自動化を有効または無効にする方法

  1. クラウドサイバーエクスポージャーコンソールで、次のいずれかに移動します。
    • 運用>リスクの自動化
    • オペレーション>監査の自動化
  2. (オプション)[組織] ドロップダウンで アカウント階層とフォルダー を選択します。選択した範囲内でアクセス許可を持つユーザーは自動化にアクセスできます。
  3. テーブル内の関連する自動化の横にある三点リーダーをクリックし、[編集] をクリックします。
  4. [ステータス] で [有効] または [無効] を選択し、[保存] をクリックします。

既存の自動化の複製

以前生成された自動化 (リスクデータまたは監査データ) を複製して、新しい自動化を作成するためのベースラインとして使用するこれにより、以前の自動化と同じ設定で新しい自動化をすばやく作成できるため、時間と手間を節約できます。たとえば、AWS 検出結果用の ServiceNow 自動化があり、同様の自動化が Azure 用に必要な場合、AWS の自動化を複製して、範囲を Azure 環境に変更します。

アイテムを複製するとき、関連する設定はすべて元の範囲に基づいて処理されます。

  • これは送信方法やラベルなどの設定に適用されます。
  • 関連する設定が現在の設定よりも狭い範囲で設定されている場合、その設定がアイテムとともに複製されることはありません。
  • たとえば、特定の範囲から、より広い組織の範囲にアイテムを複製した場合、その狭い範囲にのみ関連付けられている設定は引き継がれません。

これにより、無関係のデータや設定ミスのあるデータが新しい範囲で作成されるのを防ぐことができます。これらの特定の設定が必要な場合は、現在の範囲内で手動で再設定する必要があります。

既存の自動化を複製する方法

  1. クラウドサイバーエクスポージャーコンソールで、次のいずれかに移動します。
    • 運用>リスクの自動化
    • オペレーション>監査の自動化
  2. (オプション)[組織] ドロップダウンで アカウント階層とフォルダー を選択します。選択した範囲内でアクセス許可を持つユーザーは自動化にアクセスできます。
  3. テーブル内の関連する自動化の横にある三点リーダーをクリックし、[複製] をクリックします。
  4. 必要に応じて自動化を変更し、[追加] をクリックします。