クラウドポリシー

これは、検出結果の作成方法を決定するポリシーを管理するためのハウツーガイドです。

• カスタムポリシーを作成するには、「 クラウドポリシー: カスタムを参照してください。
• クラウドの検出結果を表示および管理するには、「 クラウドの検出結果を参照してください。
• 検出結果のステータスと検出結果のライフサイクルについては、「 検出結果のライフサイクルを参照してください。
• 検出結果の深刻度の仕組みについては、「 検出結果の深刻度を参照してください。

標準装備のポリシーとカスタムポリシーの一覧を表示して、Tenable One Cloud Exposure がどのように環境をモニタリングし、ポリシーによってどのように検出結果がトリガーされるのかを確認できます。すべてのポリシーについて、ポリシーのベンチマークにマッピングされる特定のコンプライアンス基準と、そのベンチマークに合格または不合格になったリソースの数が表示されます。

ポリシーを管理する

ポリシーを表示および管理する方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択して、クラウドアカウントの特定のサブセットまたは IdP のポリシーを表示および管理します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. ポリシーを ビルトイン または カスタム のどちらのポリシーを表示するかを選択します。
4. テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。テーブル右上の列ピッカーを使用して、どの列を表示するか選びます。詳細については、 ポリシーの列データ を参照してください。

5. ポリシーをクリックすると、詳細情報を含むスライド式パネルが開きます。ポリシーを確認し、管理します。詳細については、 ポリシーの列データ を参照してください。スライド式パネルには、次のようなポリシーの詳細が記載されています。

   • アクション: 自動化によって作成されるプッシュ通知のリスト。このポリシーによって検出結果がトリガーされたときに統合されたサードパーティツールに送信されます。
   • 構成: ポリシー用に構成されたすべての設定。たとえば、ポリシーが有効かどうかや、関連するリソースがスキャン、無視、失敗した数が含まれます。
   • 除外: ポリシーに関連付けられているすべての 除外 。
   スライド式パネルの画像を見る

   

6. ポリシーの設定を編集します。次のポリシー管理アクティビティを実行できます。これらの設定の一部は、特定のポリシーでのみ使用できます。
   • ポリシーの有効化と無効化
   • 検出結果作成を遅延させる
   • 評価期間とパスワード要件を変更する
   • 無効なアイデンティティの検出結果の作成
   • 招待保留中の Microsoft Entra ID ゲストユーザーの検出結果を作成する
   • アクセス許可使用のラーニング期間
   • グループから非アクティブなプリンシパルを削除することが推奨されます
   • メンバーアカウントのルートユーザーの検出結果を作成する
   • ポリシーからリソースを除外する
   • ポリシーからシークレットを除外する
   • パブリック Lambda 関数ポリシーからの API ゲートウェイパスの除外
   • ポリシーデータのエクスポート

ポリシーの列データ

次の列は [Policies] (ポリシー) ページのテーブルに表示されます。そのほとんどが、テーブルのデータのフィルターにも使用できます。

ポリシーの有効化と無効化

デフォルトでは、標準装備のポリシーは有効になっており ( モニタリング ポリシーを除く)、組織内のすべてのアカウントに適用されます。微調整したい場合は、組織全体でポリシーを無効にするか、アカウントやフォルダーの特定のサブセットのみポリシーを無効にすることができます。フォルダーを使用したアカウントのグループ化については、「 アカウント階層とフォルダー を参照してください。たとえば、VPC フローログの問題など、修正の必要がない深刻度の低い設定ミスが検出される場合は、ポリシーを無効にするとよいでしょう。

ポリシーを有効または無効にする

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットでポリシーを有効または無効にします。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. 関連するポリシーに移動します。

4. 三点リーダーメニュー をクリックし、[編集] をクリックします。

   ポリシー編集ウィンドウの画像を参照してください

   

   親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。

5. [保存] をクリックします。

検出結果作成を遅延させる

ポリシールールに違反した後、検出結果の作成を指定した時間延期します。設定された遅延は、その設定が行われた後に作成された新しいリソースにのみ適用されます (リソースの作成時間に基づきます)。この設定は、特定のアカウント範囲のポリシーごとに行われます。この設定は、すべてのポリシーで利用できるわけではありません。

一般的に、検出結果の作成を遅らせないことを クラウドサイバーエクスポージャー は推奨していますが、遅らせた方がよい場合もいくつかあります。たとえば、お使いの環境のメンテナンス中に大量のリソースを作成または削除する場合や、一時的なリソースに関連するノイズを減らす場合などです。

検出結果の作成を遅らせる方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットでポリシーを有効または無効にします。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. 関連するポリシーに移動します。

4. 三点リーダーメニュー をクリックし、[編集] をクリックします。

   ポリシー編集ウィンドウの画像を参照してください

   

   親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。

5. [保存] をクリックします。

評価期間とパスワード要件を変更する

クラウドサイバーエクスポージャー は、特定のポリシーに対してデフォルトの評価期間とパスワード要件を使用します。組織はこれらのポリシーをカスタマイズして、内部ポリシー基準を定義できます。たとえば、キーのローテーションをデフォルトの 12 か月ではなく、6 か月ごとに設定できます。

• 評価期間とは、検出結果をトリガーする前にポリシーを評価するために使用される時間設定を指します。これには、 ローテーション期間、 保持期間、 非アクティブ期間があり、それぞれでポリシーを適用する特定の期間を定義します。これにより、検出結果がオープンになる前に時間をかけてリソースを分析できます。
• パスワード要件とは、文字長さなどのパスワード設定のことで、アカウントのパスワードを作成するときにパスワードがパスワードポリシーの要件に確実に適合するようにします。パスワードの長さはデフォルトで 14 文字ですが、たとえばこれを 20 文字にすることができます。

評価期間またはパスワード要件を変更する方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. サポートされているいずれか サポートされているポリシーに移動します。
3. 三点リーダーメニュー をクリックし、[編集] をクリックします。
4. [詳細] をクリックします。
5. セクションのタイトルは、ポリシー設定のタイプによって異なります。
   • ローテーション期間: ローテーション期間のカスタム日数を選択します。
   • 保持期間: 保持期間のカスタム日数を選択します。
   • 非アクティブ期間: 非アクティブ期間のカスタム日数を選択します。
   • パスワード要件: デフォルト値を更新します。

6. アカウントの範囲が [組織] にない場合は、該当するオプションを選択します。

   • 継承。 親レベルのアカウント範囲の設定を継承 (デフォルト)。継承された設定は、親レベル範囲の名前の横の括弧内に表示されます。組織全体を範囲として選択した場合、このオプションは表示されません。
   • カスタム (親レベルの設定をオーバーライド)。評価期間のカスタム日数 (1～365) を選択します。
   注意: 親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。
7. [保存] をクリックします。

サポートされているポリシー

内部基準に準拠するために、次のポリシーのデフォルトの評価期間とパスワード要件を変更できます。

無効なアイデンティティの検出結果の作成

無効なアイデンティティに非アクティブなIAMポリシーを適用するかどうかを選択します。非アクティブなユーザーをデフォルトで無効にしたくない場合は、無効なアイデンティティにポリシーを適用できます。

• ポリシーに対してこのオプションを有効にすると、無効なアイデンティティの検出結果も作成されます。すべてのポリシーの検出結果の修正手順として、アイデンティティの削除が推奨されます。
• ポリシーに対してこのオプションを無効にすると (デフォルトの動作)、無効なアイデンティティの検出結果は作成されません。すべてのポリシーの検出結果の修正手順として、アイデンティティの削除または無効化が推奨されます。

無効なアイデンティティの検出結果を作成する方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットでポリシーを有効または無効にします。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. サポートされているいずれか サポートされているポリシーに移動します。

4. 三点リーダーメニュー アイコンをクリックし、[編集] をクリックします。

   ポリシー編集ウィンドウの画像を参照してください

   

   親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。

5. [保存] をクリックします。

サポートされているポリシー

次のポリシーで、無効なアイデンティティの検出結果作成を有効または無効にできます。

• GCP
  • 非アクティブなサービスアカウント
• Google Workspace
  • 非アクティブな Google Workspace ユーザー
• Microsoft Entra ID
  • 非アクティブな Microsoft Entra ID アプリケーション
  • 非アクティブな Microsoft Entra ID ユーザー

招待保留中の Microsoft Entra ID ゲストユーザーの検出結果を作成する

ユーザーがゲストで、テナントへの招待ステータスが保留中の場合に、検出結果を作成するかどうかを選択します。これにより、非アクティブな Microsoft Entra ID ユーザーから、テナント参加招待をまだ承諾していない Microsoft Entra ID ゲストユーザーを除外できます。

招待保留中のゲストユーザーの検出結果を作成する方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットでポリシーを有効または無効にします。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. 「非アクティブな Microsoft Entra ID ユーザー」ポリシーに移動します。

4. 三点リーダーメニュー アイコンをクリックし、[編集] をクリックします。

   ポリシー編集ウィンドウの画像を参照してください

   

   親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。

5. [保存] をクリックします。

アクセス許可使用状況の学習期間を変更する

過剰なアクセス許可と非アクティブなアイデンティティに関する記事のアクセス アクセス許可使用のラーニング期間 を参照してください。

グループから非アクティブなプリンシパルを削除することが推奨されます

プリンシパルが非アクティブなときに、過剰な権限の検出結果 検出結果の修正 で Tenable がグループからプリンシパルを削除することを推奨するかどうかを選択します。組織の IdP グループが、クラウドアクセス許可の管理以外の目的で使用されている場合 (SaaS アプリケーションや組織構造の管理など)、このオプションを無効にできます。

• 2024 年 8 月 11 日より前に クラウドサイバーエクスポージャー の使用を開始したお客様の場合、このオプションはデフォルトで有効になっています (「サブスクリプションで過剰な権限を持つ Microsoft Entra ID グループポリシーを除く」)。
• 2024 年 8 月 11 日以降に クラウドサイバーエクスポージャー の使用を開始したお客様の場合、このオプションはデフォルトで無効になっています。

グループから非アクティブなプリンシパルを削除することを推奨する方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットでポリシーを有効または無効にします。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. サポートされているいずれか サポートされているポリシーに移動します。

4. 三点リーダーメニュー アイコンをクリックし、[編集] をクリックします。

   ポリシー編集ウィンドウの画像を参照してください

   

   クラウドサイバーエクスポージャー は、ユーザーが非アクティブな場合、検出結果 検出結果の修正 でユーザーをグループから削除することを推奨します。

5. 無効化 (親レベルの設定をオーバーライド)。 クラウドサイバーエクスポージャー は、ユーザーが非アクティブの場合、検出結果 検出結果の修正 でユーザーをグループから削除することは推奨しません。

   注意: 親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。
6. [保存] をクリックします。

サポートされているポリシー

次のポリシーで、非アクティブなプリンシパルをグループから削除することを推奨するかどうかを設定できます。

• Azure
  • サブスクリプションで過剰な権限を持つマネージド ID
  • サブスクリプションで過剰な権限を持つ Microsoft Entra ID アプリケーション
  • サブスクリプションで過剰な権限を持つ Microsoft Entra ID グループ
  • サブスクリプションで過剰な権限を持つ Microsoft Entra ID ユーザー
• GCP
  • プロジェクトで過剰な権限のサービスアカウント
  • プロジェクトで過剰な権限を持つユーザー

メンバーアカウントのルートユーザーの検出結果を作成する

[Root User MFA is not enabled] (ルートユーザーの MFA が有効になっていない) ポリシーで、メンバーアカウントのルートユーザーの検出結果を作成するかどうかを選択します。デフォルトでは、このオプションは無効になっており、AWS のベストプラクティスに従っています。

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットでポリシーを有効または無効にします。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. [Root User MFA is not enabled] (ルートユーザーの MFA が有効になっていない) ポリシーに移動します。

4. 三点リーダーメニュー アイコンをクリックし、[編集] をクリックします。

   ポリシー編集ウィンドウの画像を参照

   

   クラウドサイバーエクスポージャー 、メンバーアカウントのルートユーザーに関する検出結果を作成します。

5. 無効化 (親レベルの設定をオーバーライド)。 クラウドサイバーエクスポージャー では、メンバーアカウントのルートユーザーの検出結果は作成されません。

   注意: 親レベルの構成をオーバーライドする場合、親レベルの範囲で行われた変更に関係なく、固有の構成は残ります。
6. [保存] をクリックします。

ポリシーからリソースを除外する

除外 、ポリシーからリソースを除外したり、関連する検出結果の深刻度を変更したりできます。検出結果ごとに、または 無視された検出結果からのパターンベースの除外の作成に基づいて作成し、 除外を監査して維持するすることで正確性を保つことができます。

ポリシーからシークレットを除外する

検出された誤検出に対処するために、ポリシーからシークレットを除外します。シークレットはキーと値のペアで構成され、どちらかにシークレットが含まれます。除外したいパターンを入力します。パターンがシークレットと一致した場合、クラウドサイバーエクスポージャー はそのシークレットを除外します。たとえば、値パターン https://* を使用した場合、シークレットとして誤検出された URL はすべて除外されます。

このオプションは、シークレットの公開に関連するポリシーで利用できます。たとえば、CloudFormation スタックでシークレットが公開されています。

ポリシーからシークレットを除外する方法

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットについてリソースを除外します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. 関連するポリシーに移動します。
4. 三点リーダーメニュー アイコンをクリックし、[編集] をクリックします。
5. 設定ダイアログで、[シークレットの除外] に移動します。
6. キーパターンと値パターンを入力します。パターンでは次のワイルドカード文字を使用できます。
   • アスタリスク * - 0 文字以上と一致
   • クエスチョンマーク ? - 1 文字と一致
7. (オプション) コメントを追加します。
8. [大文字と小文字を無視 する] (大文字と小文字を同一の文字として処理する) かどうかを選択します。
9. [保存] をクリックします。

パブリック Lambda 関数ポリシーからの API ゲートウェイパスの除外

意図した設定を反映するように、API ゲートウェイリソースパスとメソッドを設計上パブリックとして定義します。リソースパスパターンと HTTP メソッド (例: Get) を入力します。検出されたパスとメソッドが一致する場合、Tenable はそれらを設計上パブリックとして分類し、関連する検出結果をクローズします。たとえば、Get で「/health」と入力すると、この組み合わせが意図的にパブリックとしてマークされます。

除外は次回のシステム データの同期と更新の頻度時に更新されます。

API ゲートウェイパスを除外するには

1. クラウドサイバーエクスポージャーコンソールで、[ポリシー] > [クラウドポリシー] の順にクリックします。
2. [Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットについてリソースを除外します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
3. パブリック Lambda 関数ポリシーに移動します。
4. 三点リーダーメニュー アイコンをクリックし、[編集] をクリックします。
5. 設定ダイアログで、 API ゲートウェイのパスの除外に移動します。
6. パスパターンを入力します。パターンでは次のワイルドカード文字を使用できます。
   • アスタリスク * - 0 文字以上と一致
   • クエスチョンマーク ? - 1 文字と一致
7. HTTP メソッドを選択します。
8. (オプション) コメントを追加します。
9. [大文字と小文字を無視 する] (大文字と小文字を同一の文字として処理する) かどうかを選択します。
10. [保存] をクリックします。

ポリシーデータのエクスポート

CSV ファイルにポリシーデータをエクスポートします。データは、テーブルにその時点で適用されているフィルターに従ってエクスポートされます。データには、ポリシーによってトリガーされる特定の検出結果でフィルタリングされた [Findings] (検出結果) ページの URL など、関連するすべてのポリシーデータが含まれます。

ポリシーデータをエクスポートする方法

1. (オプション)[Organization] (組織) ドロップダウンで アカウント階層とフォルダー を選択し、クラウドアカウントの特定のサブセットに関連するポリシーを表示します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
2. テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。詳細については、 ポリシーの列データ を参照してください。
3. ポリシーの表の右上隅にある [Export ] ボタンをクリックします。

Azure で非アクティブなシステムマネージド ID の検出結果を作成する

Azure では、一部のシステムマネージド ID は、たとえ非アクティブであっても削除できません。このような場合でも、Tenable はこれらのアイデンティティについて、深刻 検出結果の深刻度 が 情報 修正手順が不要であることを発見しました。
削除できるシステムマネージド ID の場合は、修正手順があり、深刻度レベルが高い可能性があります。

削除できるシステムマネージド ID

非アクティブ時に Azure で削除できるシステムマネージド ID は次のとおりです。

• AI サービス
• API Management サービス
• アプリ設定
• アプリサービス
• Automation アカウント
• Azure Database for MySQL フレキシブル サーバー
• Backup Vault
• CDN プロファイル
• コンテナアプリ
• コンテナインスタンス
• コンテナレジストリ
• CosmosDB アカウント
• データ収集ルール
• Data Explorer クラスタ
• Data Factory V2
• Digital Twins インスタンス
• Grafana
• IoT Hub
• ロジックアプリ
• Maps アカウント
• PostgreSQL データベースフレキシブルサーバー
• リカバリサービス Vault
• Redis キャッシュ
• 検索サービス
• SignalR サービス
• SQL Managed Instance
• SQL Server
• 静的サイト
• 仮想マシン
• 仮想マシンスケールセット
• Web PubSub

ポリシーカテゴリ

クラウドサイバーエクスポージャー には論理的に次のカテゴリに分類された、標準装備のポリシーが多数あります。

• AI。クラウド環境での AI サービスや AI 活用型リソースの使用に関連するセキュリティ、ガバナンス、設定のリスクを検出するポリシーが含まれます。
• コンピューティング。たとえば、「EC2 インスタンスメタデータサービスは安全でないバージョンをサポートする」ポリシーが含まれます。これは、IMDSv2 ではなくインスタンスメタデータサービスバージョン 1 (IMDSv1) を通じて IAM ロール認証情報を取得する EC2 インスタンスを識別します。IMDSv1 と IMDSv2 の両方が利用可能で、デフォルトで有効になっていますが、IMDSv2 のみを使用する必要があります。
• データ。たとえば、パブリックにアクセス可能なリソースや暗号化されていないデータリソースを検出するポリシーが含まれます。
• IAM。たとえば、過剰な権限を持つ IAM アイデンティティを検出するポリシーが含まれます。
• Kubernetes。Kubernetes コンテナの設定ミスを検出するポリシーが含まれます。
• ロギング。 クラウドログに関連する設定ミスを検出するポリシーが含まれます。
• 管理。新しいアカウントがクラウド環境に追加されたことを検出するポリシーが含まれます。
• モニタリング。 AWS CloudWatch アラームの欠落を検出するポリシーが含まれます。このアラームは環境にさまざまな変更が行われた際に通知するために使用されます。
• ネットワーク。たとえば、パブリックネットワークへの露出や安全でないネットワークの設定を検出するポリシーが含まれます。
• シークレット。シークレットを露出するリソースを検出するポリシーが含まれます。
• ワークロード保護。ワークロードの脆弱性を特定、評価、処理、報告するポリシーが含まれます。
• 異常検出アイデンティティによって実行される異常な動作を検出するポリシーが含まれます。
• カスタムポリシー作成したカスタムポリシーがすべて含まれます。「 クラウドポリシー: カスタム」を参照してください。