IaC ポリシー

注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。

これは、ポリシーを管理し、 Tenable One Cloud Exposure で検出結果を作成する方法を設定するためのハウツーガイドです。

  • IaC 検出結果の表示とモニタリングに関するハウツーガイドについては、 IaC 検出結果を参照してください。
  • 検出結果の深刻度の仕組みの概念概要については、「 検出結果の深刻度」を参照してください。

設定ファイルの問題を検出して修正するように クラウドサイバーエクスポージャー IaC セキュリティを設定すると、IaC ポリシーの表示や管理を行いながら環境をモニタリングできます。

IaC/コードポリシー IaC ポリシーは、[Exclusions] (除外) ページと [Policies] (ポリシー ) ページから無効化/除外できます。以下のように、設定した除外は常にすべての包含を上書きすることに注意してください。

  • [除外] ページのパラメーターでポリシーを除外したが、[ポリシー] ページでポリシーが有効になっている場合、ポリシーはスキャンから 除外 されます。
  • [ポリシー] ページでポリシーを無効にした (または クラウドポリシーした) が、[除外] ページ経由でポリシーが (明示的または暗黙的に) 含まれている場合、そのポリシーはスキャンから 除外 されます。

ポリシーの管理

ポリシーを表示および管理する方法

  1. クラウドサイバーエクスポージャーコンソールで、[Policies] > [IaC Policies] の順にクリックします。

    The IaC Policies table, listing policies by platform, category, name, and status

  2. 組織/リポジトリの特定のサブセットに対するポリシーを表示および管理するには、[Organization] (組織) ドロップダウンでコードテナントを選択します。デフォルトでは、組織全体 (すべての組織/リポジトリ) が選択されています。
  3. テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。テーブル右上の列ピッカーを使用して、どの列を表示するか選びます。詳細については、 IaC ポリシーの列データ を参照してください。

  4. ポリシーをクリックすると、詳細情報を含むスライド式パネルが開きます。ポリシーを確認し、管理します。詳細については、 IaC ポリシーの列データ を参照してください。

    An IaC policy's slideout panel, with its description, frameworks, severity, compliance standards, and configuration

  5. ポリシーの設定を編集します。次のポリシー管理アクティビティを実行できます。

IaC ポリシーの列データ

次の列がページ上のテーブルに表示されます。そのほとんどが、テーブルのデータのフィルターにも使用できます。

フィルター 説明
プラットフォーム たとえば、クラウドサービスプロバイダーや IdP などです。可能な値: AWS、Azure、Microsoft Entra ID、コード (IaC 固有のポリシー)、GCP、または OCI。
深刻度 ポリシーの深刻度レベル。
カテゴリ ポリシーが属する論理カテゴリ。「 ポリシーカテゴリを参照してください。
名前 ポリシーの名前
コンプライアンス ポリシーのベンチマークにマッピングされるコンプライアンス標準とセキュリティのベストプラクティス。
ステータス ポリシーが有効か無効か。ポリシーが対象アカウントのリソースに対して検出結果をトリガーしないように、 IaC ポリシーの有効化と無効化 できます。
検出結果 ポリシーについてオープンな IaC 検出結果の数が表示されます。
ポリシー Settings Three dots menu icon
フレームワーク 各 IaC ポリシーによってサポートされている IaC フレームワークを確認します。

IaC ポリシーの有効化と無効化

デフォルトでは、標準装備のポリシーは有効になっており ( モニタリング ポリシーを除く)、組織内のすべてのアカウントに適用されます。微調整したい場合は、組織全体でポリシーを無効にするか、アカウントやフォルダーの特定のサブセットのみポリシーを無効にすることができます。

警告: ポリシーを無効にすると、そのポリシーに関連する検出結果が対象アカウントからすべて削除され、新しい検出結果が作成されなくなります。このアクションは次回 データの同期と更新の頻度後に実行され、元に戻すことはできません。

注意:

  • ポリシーの有効化と無効化は、「管理者」ロールを持つユーザーだけが使用できます。
  • たとえば、深刻度の低い問題に関連する一部のポリシーは、デフォルトで無効化されていますが、コンプライアンス準拠のためやその他のセキュリティ目的で有効化が必要な場合は有効にできます。
  • 無効にできないポリシーの小サブセットが存在します。これらのポリシーは、過剰な権限を持つ ID や非アクティブな ID に関連し、コアシステム機能を提供します。

ポリシーを有効または無効にする

  1. クラウドサイバーエクスポージャーコンソールで、[リスク>スキャン]> [コードスキャン] の順にクリックします。
  2. [Organization] (組織) ドロップダウンでコードテナントを選択し、クラウドアカウントの特定のサブセットのポリシーを有効化または無効化します。デフォルトでは、組織全体 (すべての組織/リポジトリ) が選択されています。
  3. 関連する IaC ポリシーに移動します。
  4. Three dots menu iconアイコンをクリックしてから、[編集] をクリックします。

  5. [ステータス] セクションで、関連するオプションを選択します。

    • 継承。 親レベルのアカウント範囲の設定を継承 (デフォルト)。継承された設定は、親レベル範囲の名前の横の括弧内に表示されます。組織全体を範囲として選択した場合、このオプションは表示されません。
    • 有効 (親レベルの設定をオーバーライド)。ポリシールールに違反すると、検出結果が作成されます。
    • 無効化 (親レベルの設定をオーバーライド)。ポリシールールに違反しても、検出結果は作成されません。

    The Edit Policy window, with the Enabled and Disabled status options

  6. [保存] をクリックします。

IaC スキャンで除外を設定する

コードベースのスキャンから特定の パス、 リソースタイプ、 またはリソース名 のパターンを除外して、これらのリソースに関連する潜在的な検出結果を防ぐことができます。除外オプションごとに、除外するパターンを入力します。パターンが関連するオプションと一致する場合、 クラウドサイバーエクスポージャー はそのパターンをスキャンから除外します。構成オプションは AND 条件を使用して組み合わされ、すべてオプションです。また、リソースを除外する理由を説明するコメントを追加できます。詳細は、「 除外を参照してください。

必要な クラウドサイバーエクスポージャー ユーザーロール: ポリシーからのリソース除外は、「コラボレータ」または「管理者」ロールのいずれかを持つユーザーが利用できます。

IaC スキャンの除外を作成する方法

  1. [ポリシー] > [除外] に移動します。
  2. [Organization] (組織) ドロップダウンで、 アカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。

  3. [除外の追加] をクリックします。

    注意: 除外の作成を開始した後は、アカウント範囲を変更できません。
  4. 名前と説明を入力します。
    • 明確でビジネスに焦点を当てた名前を使用します (例: QA の公知の EC2 インスタンス)。
    • 除外の理由または正当性を説明してください。
  5. 除外 で、検出結果が除外と一致した場合の動作を選択します。
    • 無視 — 一致する検出結果を [オープンの検出結果] リストから除外します。
      • 検出結果を無視する理由を入力します。検出結果が無視されると、サブステータスは [例外]、[設計上]、[誤検出] のいずれかになります。
    • 深刻度を変更 — 一致する検出結果の深刻度を下げたり上げたりします。
  6. ターゲットとなる検出結果の範囲を定義します。
    1. [タイプ] で [IaC] を選択します。

    2. [ポリシー] で、[すべてのポリシー] または [ターゲットとする 特定のポリシー] を選択します。

      ヒント: 定義されたビジネスケースに一致する特定のポリシーを選択します。

    3. 必要に応じて深刻 度 フィルターを追加して、特定の深刻度の検出結果のみを含めることもできます。

  7. ターゲットリソースを定義します。

    [コード] フィールドに、次のワイルドカード文字を使用してパターンを入力します。

    • * (アスタリスク) - 0 文字以上と一致
    • ? (クエスチョンマーク) - 1 文字と一致

    たとえば、パターン aol-* の名前です。

  8. [有効期限] で、[なし] または [有効期限] を選択します。

    有効期限を過ぎると、除外は検出結果に適用されなくなります。他の除外がこれらの検出結果に影響を与えない場合、検出結果は再オープンされるか、深刻度が元に戻されます。

  9. 対象となるオープンの検出結果をすべて一覧表示する [検出結果] プレビュー パネルで設定を確認します。保存する前に、フィルター、保持、範囲が意図した結果を正確にターゲットにしていることを確認してください。
  10. [保存] をクリックします。

除外は次のスキャンサイクルに有効になり、一致するすべての検出結果が更新されます。

IaC ポリシーデータのエクスポート

CSV ファイルにポリシーデータをエクスポートします。データは、テーブルにその時点で適用されているフィルターに従ってエクスポートされます。データには、ポリシーによってトリガーされる特定の検出結果でフィルタリングされた [Findings] (検出結果) ページの URL など、関連するすべてのポリシーデータが含まれます。

IaC ポリシーデータをエクスポートする方法

  1. (オプション)[Organization] (組織) ドロップダウンでコードテナントを選択し、クラウドアカウントの特定のサブセットに関連するポリシーを表示します。デフォルトでは、組織全体 (すべての組織/リポジトリ) が選択されています。
  2. テーブルをフィルタリングして、表示するデータの範囲を絞り込みます。
  3. テーブルの右上隅にある [Export Export icon ] ボタンをクリックします。