データ

次の設定と範囲を構成して、 Tenable One Cloud Exposure がデータをスキャンする方法を微調整します。

データスキャンの除外を使用して、アカウント全体または特定のリソースを除外できます。

次の点に注意してください。

  • アカウントの除外またはスキャンの無効化によってオプトアウトされたリソースは請求されません。詳細については、「 スキャン後の請求が無効になっているをご覧ください。
  • これらの設定を行うには、 クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

これは、 クラウドサイバーエクスポージャー でデータ設定を構成するためのハウツーガイドです。

  • データ保護機能の概念の概要については、「 データ保護を参照してください。
  • データリソースを Tenableに接続する方法については、「 データリソースの接続を参照してください。
  • データリソースの表示と管理に関するハウツーガイドについては、「 データリソースを参照してください。

バケットスキャン

パブリックバケットとプライベートバケットを含むクラウドバケットを クラウドサイバーエクスポージャー がスキャンする方法を設定します。次のことができます。

  • 特定のアカウントまたはアカウントスコープのスキャンを有効または無効にする
  • プライベートバケットのスキャンを有効または無効にする
  • プライベートネットワークアクセスを使用して、制限された Azure ストレージアカウントへのアクセスを設定する
注意: どのレベルでもスキャンを無効にすると、その範囲内のすべてのデータプラットフォームリソースのスキャンが直ちに停止されます。スキャンが再度有効になるまで、これらのリソースは請求から除外されます。

バケットのスキャン範囲の設定

デフォルトでは、クラウドサイバーエクスポージャー は、データのアクセス許可を付与したアカウントのバケットをスキャンします。

特定のアカウントまたはアカウントスコープ を除外 するか、親レベルの設定をオーバーライドできます。

この設定は OCI には適用されないことに注意してください。すべてのOCIバケットは、デフォルトでプライベートとして扱われます。

バケットスキャンを設定する方法

  1. [Settings > クラウドサイバーエクスポージャー > Data > Buckets] に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。これにより、階層内の特定のアカウントまたはアカウントグループに対して、以下の設定を適用できます。
  3. [Bucket Scanning] (バケットスキャン) セクションで、以下のいずれかを選択します。
    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。組織全体を範囲として選択した場合、[継承] オプションは使用できません。
    • この範囲のスキャンを有効または無効にします。これにより、親レベルの範囲の設定が、このアカウント範囲固有の設定でオーバーライドされます。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

プライベートバケットのスキャン範囲の設定

クラウドサイバーエクスポージャーが、有効な範囲内でプライベートバケットをスキャンするかどうかを設定できます。

プライベートバケットスキャンを使用するには、 バケットスキャン を有効にする必要があります。バケットスキャンが無効になっている場合、プライベートバケットスキャンは自動的に無効になります。

プライベートバケットのスキャンを設定する方法

  1. [Settings > クラウドサイバーエクスポージャー > Data > Buckets] に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。これにより、階層内の特定のアカウントまたはアカウントグループに対して、以下の設定を適用できます。
  3. [プライベートバケットのスキャン] セクションで、以下のいずれかを選択します。
    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。 組織全体を範囲として選択した場合、[Inherit] ( 継承 ) オプションは使用できません。
    • この範囲のスキャンを有効または無効にします。これにより、親レベルの範囲の設定が、このアカウント範囲固有の設定でオーバーライドされます。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

Azure Storage アカウントのプライベートネットワークアクセスの設定

ネットワーク制限のある (プライベートネットワーク経由でのみアクセスできるなど) Azure ストレージアカウント Blob コンテナ をスキャンする場合、 クラウドサイバーエクスポージャー にはプライベートエンドポイントを使用してデータにアクセスしてスキャンするオプションが用意されています。

デフォルトでは、Azure ネットワークモデルの制限により、 クラウドサイバーエクスポージャー はネットワーク制限のある BLOB コンテナにアクセスできません。プライベートエンドポイントを使用すると、他の方法ではアクセスできないセキュリティで保護されたデータを可視化できます。ただし、プライベートエンドポイントの作成時に Azure が DNS レコードを更新する可能性があり 、特定の環境のストレージアカウントへのアクセスがブロックされる可能性があるため、この設定を有効にするには DNS 設定を慎重に確認する必要があります。VNet ID を使用して、ルーティング動作を制御し、DNS の問題を解決することもできます。詳細については、 クラウドサイバーエクスポージャー サポート担当者にお問い合わせください。

重要: この設定を有効にする前に、 Azure ネットワークを確認し、設定 DNSしてください。一部の構成では、Azure がストレージアカウントの DNS 解決をリダイレクトする場合があるため、接続エラーが発生する可能性があります。Azure プライベート DNS ゾーン のインターネットにフォールバックする方法について説明します。

プライベートネットワークアクセスを設定する方法

  1. [Settings > クラウドサイバーエクスポージャー > Data > Buckets] に移動します。
  2. [組織] または [Azure ツリー] のドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。これにより、階層内の特定のアカウントまたはアカウントグループに対して、以下の設定を適用できます。
  3. [プライベートネットワークアクセス] セクションで、以下のいずれかを選択します。
    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。 組織全体を範囲として選択した場合、[Inherit] ( 継承 ) オプションは使用できません。
    • この範囲のスキャンを有効または無効にします。これにより、親レベルの範囲の設定が、このアカウント範囲固有の設定でオーバーライドされます。この固有の設定は、親レベルの scope.pe で行われた変更に関係なく、子レベルの範囲に残ります。

データベース

クラウドサイバーエクスポージャー がマネージドデータベース環境をスキャンする方法を設定します。特定のアカウントまたはアカウントスコープのスキャンを有効または無効にできます

注意: どのレベルでもスキャンを無効にすると、その範囲内のすべてのデータプラットフォームリソースのスキャンが直ちに停止されます。スキャンが再度有効になるまで、これらのリソースは請求から除外されます。

マネージドデータベースのスキャン範囲の設定

デフォルトでは、クラウドサイバーエクスポージャー は、データリソースの接続されたアカウントのマネージドデータベースに対してデータ分析スキャンを実行します。

マネージドデータベースのスキャンを設定する方法

  1. [Settings > クラウドサイバーエクスポージャー > Data > Managed Database] に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。これにより、階層内の特定のアカウントまたはアカウントグループに対して、以下の設定を適用できます。
  3. [マネージドデータベースのスキャン] セクションで、以下のいずれかを選択します。
    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。 組織全体を範囲として選択した場合、[Inherit] ( 継承 ) オプションは使用できません。
    • この範囲のスキャンを有効または無効にします。これにより、親レベルの範囲の設定が、このアカウント範囲固有の設定でオーバーライドされます。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

データプラットフォーム

Snowflake から始めて、 クラウドサイバーエクスポージャー がデータプラットフォーム環境をスキャンする方法を設定します。特定のアカウントまたはアカウントスコープのスキャンを有効または無効にできます

注意:

  • どのレベルでもスキャンを無効にすると、その範囲内のすべてのデータプラットフォームリソースのスキャンが直ちに停止されます。スキャンが再度有効になるまで、これらのリソースは請求から除外されます。
  • Snowflakeアカウントでネットワーク制限が実施されている場合は、スキャンを有効にする前に Tenable IPからのアクセスを許可してください。必要なスクリプトと手順については、「 ネットワークアクセスの許可 」を参照してください。

データプラットフォームのスキャン範囲の設定

デフォルトでは、 クラウドサイバーエクスポージャー は、データアクセス許可が付与されている、接続されているすべての Snowflake アカウントをスキャンします。アカウントまたはフォルダーレベルでスキャンを無効にできます。

データプラットフォームのスキャンを設定する方法

  1. Settings > クラウドサイバーエクスポージャー > Data > Data Platform に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。これにより、階層内の特定のアカウントまたはアカウントグループに対して、以下の設定を適用できます。
  3. [Data Platform Scanning] (データプラットフォームのスキャン) セクションで、以下のいずれかを選択します。
  • 親レベルのアカウント範囲の設定を継承 (デフォルト)。組織全体を範囲として選択した場合、[継承] オプションは使用できません。
  • この範囲のスキャンを有効または無効にします。これにより、親レベルの範囲の設定が、このアカウント範囲またはフォルダー固有の設定でオーバーライドされます。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

スキャンの除外

データスキャンの除外を使用して、データスキャン中にスキップするクラウドリソースクラウドサイバーエクスポージャー定義します。

一般的なユースケースは次のとおりです。

  • コストの最適化: ライセンス容量を維持するために、重要でない開発またはテストリソースを除外します。
  • 環境分離: 「サンドボックス」環境や、すでに他のツールによって監視されているリソースを除外します。
  • 機密性の高いサイロ: 「ツールなし」ポリシーを強制する、規制の厳しい環境を除外します。

データスキャンの除外の表示と管理

[データスキャンの除外] テーブルには、アクティブな除外と非アクティブな除外がすべて一元的に表示されます。

  1. Settings > クラウドサイバーエクスポージャー > [Data > Data Scan Exclusions] に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。

  3. デフォルトでは、選択した範囲と親の範囲で定義された項目がテーブルに表示されます。[フラットビュー] をクリックすると、子の範囲で定義されている項目も表示されます。

  4. 現在ターゲットとなっている特定のリソースなど、除外に関する詳細を表示するには、除外の行をクリックして詳細ペインを開きます。
  5. 除外を管理するには、行の最後にある三点リーダーメニューをクリックして、[編集]、[有効化/無効化]、[削除] のいずれかを行います。

データスキャンの除外ステータス

ステータス 説明
有効 除外が有効で、期限切れでない場合は、次回のスキャンに適用されます。除外の有効期限が切れると、他の除外が適用されない限り、検出対象の検出結果は再オープンされるか元に戻されます。
無効 除外は無効な状態ですが、再度有効にすることができます。
更新を保留中 変更があったため、次回のスキャンで更新されます。
無効化を保留中 このあと無効になりますが、スキャンが完了するまでは有効な状態です。
削除の保留中 削除のキューに登録されています。スキャンが完了するまでは有効な状態です。

データスキャンの除外を作成する

除外を作成するときは、 エクスプローラー クエリビルダーを使用してターゲットリソースを定義します。このロジックは動的であり、その後クエリパラメーターに一致するリソースは、次のスキャンサイクルから自動的に除外されます。

データスキャンの除外を作成する方法

  1. Settings > クラウドサイバーエクスポージャー > [Data > Data Scan Exclusions] に移動します。
  2. [組織] ドロップダウンで アカウント階層とフォルダー を選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [+ 除外を追加] をクリックします。
  4. 名前と説明を入力します。
  5. [Excluded Resources] (除外されたリソース ) セクションで、 エクスプローラー を使用してターゲットを選択します。
    • リソースの検索: ネイティブオブジェクトと汎用オブジェクト (AWS S3 バケットやマネージドデータベースなど) を選択します。
    • フィルターの追加: [+] をクリックして、リージョン、アカウント ID、タグなどの特定の属性を追加します。
    • プレビューの確認: クエリの作成時に、現在ターゲットとなっているリソースのリストが表示されます。
  6. [Save] (保存) をクリックします。

分類の除外

分類の除外により、Tenable に無視させるデータとその無視する場所を微調整できます。除外する対象 (データタイプ、カテゴリ、機密度、特定の値) と、除外が適用される正確なリソースとデータオブジェクトを定義します。スキャンは引き続きリソース上で実行されるため、他の機密データは引き続き機密扱いされ、請求には影響しません。除外の仕組みの詳細については、「 分類の除外」を参照してください。

分類除外の作成

分類除外を作成して Tenable が特定の場所にある特定の機密データを分類しないようにすることで、既知の安全または無関係な一致が検出結果を生成しないようにします。

始める前に

  • 範囲を設定するリソースに対してデータ保護が有効になっていることを確認します。

分類の除外を作成する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > Data] に移動します。

  2. [分類の除外] タブをクリックします。

    [分類の除外] セクションが既存の除外とともに表示されます。

  3. [+ 分類の除外を追加] をクリックします。
  4. [名前] ボックスに、除外の名前を入力します。
  5. (オプション) [説明] ボックスに説明を入力します。
  6. [データ] セクションの [タイプ] で、次のいずれかのオプションを選択します。
    • すべてのデータタイプを無視します。
    • 特定のデータカテゴリを選択してから、1 つ以上のカテゴリを選択します。
    • 特定のデータの機密性を指定してから、1 つ以上の機密レベルを選択します。
    • 特定のデータタイプを選択してから、1 つ以上のデータタイプを選択します。
  7. [値] で、次のいずれかを実行します。
    • 選択したタイプのすべての値を無視するには、[すべての値] を選択します。
    • 特定の値のみを無視するには、[特定の値] を選択し、ボックスに RE2 正規表現パターンを入力します。正規表現は RE2 構文 に従う必要があります。
  8. [リソース] セクションで、次のいずれかを行います。
    • スコープ内のすべてのリソースに除外を適用するには、 [すべてのリソース] を選択します。
    • 除外を特定のリソースに適用するには、 [特定のリソース] を選択し、クエリを作成してそれらを選択します。

  9. [Data Objects] セクションで、Tenable がデータを無視する場所を定義します。

    • リソース全体に除外を適用するには、[すべてのデータオブジェクト] を選択します。
    • 正確な場所をターゲットにするには、「 特定のデータ・オブジェクト」 を選択し、「 +追加」 をクリックしてから、1つ以上の場所条件(データベース名、データベース・スキーマ名、データベース・テーブル名、ファイル拡張子、またはオブジェクト・パス)を追加します。各条件は複数の RE2 正規表現値を受け入れ、Tenable は条件間に OR ロジックを適用します。正規表現は RE2 構文 に従う必要があります。

    手順 6 で [すべてのデータ タイプ] を選択した場合、[すべてのデータ オブジェクト] オプションは無効になります。[特定のデータオブジェクト] を選択して続行します。

  10. [保存] をクリックします。

    Tenable が分類の除外を作成し、[有効] としてリストします。[保存] は、必要な選択を完了した後にのみ使用可能になります。

次の手順

  • 除外を変更、無効化、または削除するには、以下の管理手順を参照してください。

分類の除外を管理する

リストから既存の分類除外を編集、有効化、無効化、または削除できます。

分類の除外を管理する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > Data] に移動し、[Classification Exclusions] タブをクリックします。

    [分類除外] セクションが表示されます。

  2. 除外の行で、アクションメニューをクリックします。

  3. 次のいずれかを行います。

    • 除外を変更するには、[編集] をクリックし、設定を更新してから [保存] をクリックします。
    • 除外のオンまたはオフを切り替えるには、[有効化] または [無効化] をクリックします。
    • 除外を削除するには、[削除] をクリックしてから確認します。

    Tenable が変更を適用し、[Status] 列を更新します。

データタイプ

データタイプは、スキャン中に クラウドサイバーエクスポージャー が機密データを識別および分類する方法を定義します。各データタイプには検出ロジックが含まれており、カテゴリ (PCI や PII など) と 感度レベルにマッピングされます。これらを組み合わせることで、検出結果のラベル付け方法やリスク深刻度の計算方法が決まります。

データタイプはデータスキャン中に評価され、検出結果、ダッシュボード、リスク計算で使用されます。

クラウドサイバーエクスポージャー サポートされるデータタイプには、次の 2 つのタイプがあります。

  • 組み込みデータ型: メールアドレス、IP アドレス、国別識別子などの一般的な機密データを検出するために クラウドサイバーエクスポージャー によって提供される事前定義のデータ型。組み込みデータタイプには、デフォルトの検出ロジック、カテゴリ、機密度があり、これらは組織の要件に合わせて設定できます。
  • カスタムデータ型: 内部識別子、メンバーシップ ID、トランザクションコードなど、組織固有の機密データを検出できるようにするユーザー定義のデータ型です。カスタムデータタイプを作成するときは、検出ロジックを定義し、カテゴリと機密性を割り当てます。

[データタイプ] テーブルには、組み込みデータタイプとカスタムデータタイプの両方と、それらの現在の構成が一覧表示されます。このビューは、 アカウント階層とフォルダー が [組織] に設定されている場合にのみ使用できます。[タイプ] フィルターを使用して、ソース (組み込みまたはカスタム) 別にデータ型を表示できます。

データ型を編集するして、スキャン中に分類するかどうかを制御できます。

カスタムデータ型の作成

カスタムデータタイプを作成して、内部識別子、メンバーシップ ID、トランザクションコードなど、組織に固有の機密データを分類できます。

機密レベルは検出結果の深刻度に影響するため、カスタムデータタイプを作成するときは、最初に 感度レベル を [パブリック] または [プライベート] として選択することをお勧めします。データタイプに他のレベル (社外秘、専有、制限付きなど) が割り当てられている場合、検出されたデータに関連する検出結果の深刻度は 1 レベル上げられます。初期検証時に低い感度を選択すると、リスクの深刻度に影響を与える前に正確な分類を確認できます。

カスタムデータタイプを作成すると、デフォルトで有効になり、次回のデータスキャン後に有効になります。カスタムデータタイプを後で編集し、無効にすることができます。

カスタムデータ型を作成する方法

  1. アカウント階層とフォルダーが [組織] に設定されていることを確認します。
  2. Settings > クラウドサイバーエクスポージャー > [データ>データタイプ] に移動します。
  3. [カスタムデータタイプの追加] をクリックします。
  4. 名前 と ( オプション) 説明を入力します。
  5. カテゴリを選択します。
  6. 機密性レベルを選択します。
  7. 次の正規表現フィールドを 1 つ以上設定します。
    • 正規表現を含める: このデータ型の値を識別するために使用されるパターンを定義します。
    • 正規表現を除外 (オプション): 特定の値を分類対象から除外します。
    • コンテキスト正規表現 (オプション): ファイル内の列名やパスなど、値の近くにあるキーワードまたはコンテキストを照合します。
      次の点に注意してください。
      • 正規表現は RE2 構文 に従う必要があります。
      • 除外は選択したデータタイプにのみ適用されます。
  8. [作成] をクリックします。

データ型を編集する

組み込みデータ型とカスタムデータタイプの設定を、所属組織の要件に合わせて変更できます。これには、分類や機密レベルの更新、データタイプの有効化または無効化などの変更が含まれます。

これらの調整は、ラベル付けや、検出結果やダッシュボード上でのデータの表示方法には影響しますが、コアスキャンの動作には影響しません。データタイプを編集するには、管理者である必要があります。

次のプロパティを調整できます。

  • カテゴリ: データ型に別の分類を割り当てます。
  • 機密度: データ型に適用される機密度レベルを設定します。
  • ステータス:
    • 有効: データタイプが分類され、検出結果に表示されます。
    • 無効: データタイプは分類されておらず、検出結果やリスク計算に表示されません。
  • 正規表現を除外 (オプション): このデータタイプの分類対象から特定の値を除外します。

カスタムデータタイプの場合、以下を更新することもできます。

  • 正規表現を含める: このデータ型の値を識別するために使用されるパターンを定義します。
  • コンテキスト正規表現: 列名やファイルパスなど、値の近くにあるキーワードまたはコンテキストと一致します。

データ型を編集する方法

  1. アカウント階層とフォルダーが [組織] に設定されていることを確認します。
  2. Settings > クラウドサイバーエクスポージャー > [データ>データタイプ] に移動します。
  3. 変更するデータ型を見つけて、三点リーダーメニューを開いて、[編集] をクリックします。
  4. 必要に応じて、 カテゴリ、 機密度、 またはステータスを更新します。
  5. [値] で [正規表現を除外] を指定して、一致する値を分類から除外します。カスタムデータタイプの場合、[Include regex] または [Context] regex を更新して検出ロジックを変更することもできます。
    注意:
    • 正規表現は RE2 構文に従う必要があります。
    • 除外は選択したデータタイプにのみ適用されます。
    • 組み込みデータタイプのデフォルト設定に戻すと、設定されたすべての除外正規表現が削除されます。
  6. [保存] をクリックします。変更は、次回のデータスキャン後に有効になります。

デフォルト分類の復元 (ビルトインデータタイプ)

組み込みデータ型が変更されている場合は、デフォルト設定に戻すことができます。データ型を復元すると、すべてのカスタマイズが即座にクリアされます。

データタイプに [除外] 正規表現が含まれている場合、デフォルト設定を復元すると除外正規表現も削除されます。

データタイプのデフォルト設定に戻す方法

  1. アカウント階層とフォルダーが [組織] に設定されていることを確認します。
  2. Settings > クラウドサイバーエクスポージャー > [データ>データタイプ] に移動します。
  3. データ型を見つけて、三点リーダーメニューを開き、[デフォルトに戻す] をクリックします。
  4. [はい] をクリックして確認します。

カスタムデータタイプの削除

不要になったカスタムデータタイプを削除できます。

現在 クラウドポリシー: カスタムで使用されているカスタムデータタイプは削除できません。

カスタムデータタイプを削除する方法

  1. Settings > クラウドサイバーエクスポージャー > [データ>データタイプ] に移動します。
  2. カスタム データ型を見つけて、三点リーダー メニューを開いて、[削除] をクリックします。
  3. データタイプが使用されている場合は、参照先のカスタムポリシーを一覧表示するメッセージが表示されます。削除を確定するには、[はい] をクリックします。