ベンダー

ベンダーとは、通常、AWS IAM ロール、Microsoft Entra ID アプリケーション、GCP サービスアカウント、または統合を通じて、クラウド環境内で運用するサードパーティを指します。これらのエンティティは、サービスを提供するために環境にアクセスする必要があります。ベンダーを正確にマッピングすることで、外部アクセスの可視性が向上し、全体的なセキュリティポスチャーが強化されます。

ベンダー機能を使用すると、サードパーティベンダーのマッピングを管理でき、クラウド環境への外部アクセスの可視性と制御が向上します。

ベンダーの管理

ベンダーマッピングを追加、編集、または削除して、環境への外部アクセスを正確に把握できます。

新しいベンダーの追加

新しいベンダーを追加する方法

1. Tenable One Cloud Exposureコンソールで、コンソール> [クラウドサイバーエクスポージャー>ベンダー > Settingsに移動します。
2. [+ベンダーの追加] ボタン (右上) をクリックします。
3. 以下を設定します。
   1. ベンダーの名前を入力します。

   2. [+ 追加] をクリックして、関連する AWS アカウント/Microsoft Entra ID アプリケーション/Microsoft Entra ID アプリケーションの所有者/GCP サービスアカウントを追加します。

      注意: 複数の値を同じベンダーにマッピングできます。
4. (オプション)ベンダーが信頼できる場合は 、[信頼できるものとしてマークする] を選択します。
   詳細については、「 信頼できるベンダーを参照してください。
5. [追加] をクリックします。

ベンダーを編集する

ベンダーを編集する方法

1. クラウドサイバーエクスポージャー コンソールで、[コンソール] > [クラウドサイバーエクスポージャー>ベンダー>Settingsに移動します。
2. ベンダーエントリの右側にある三点リーダーメニューをクリックし、[編集] をクリックします。

ベンダーを削除する

ベンダーを削除する方法

1. クラウドサイバーエクスポージャー コンソールで、[コンソール] > [クラウドサイバーエクスポージャー>ベンダー>Settingsに移動します。
2. ベンダーエントリの右側にある三点リーダーメニューをクリックし、[削除] をクリックします。

信頼できるベンダー

信頼できるベンダー機能を使用すると、環境への外部アクセスのタイプを区別できます。

• 不明な外部アクセスがある場合は、調査または削除が必要な場合があります。
• 既知の外部アクセスとは、 Tenable またはお客様によってサードパーティベンダーにマッピングされたベンダーを指します。

ベンダーを信頼できるものとして明示的にマークできるため、本当に重要な外部アクセスの監視に集中できます。デフォルトでは、どのベンダーも信頼できるものとして事前設定されていません。信頼できるステータスは、ベンダー 新しいベンダーの追加 で手動で割り当てることができ、コンソールに明確に表示されます。ベンダーを信頼できるものとして設定すると、次回データの同期と更新の頻度後に Tenable が変更を適用します。

ベンダーを信頼できるものとして設定すると、次の影響があります。

¹ これは、次のポリシーに影響します。

• AWS
  • 過剰なアクセス許可のある ECR リポジトリ
  • 過剰なアクセス許可のある S3 バケット
  • 過剰なアクセス許可を持つ Secrets Manager シークレット
  • 過剰な権限の IAM ロール
  • Systems Manager パラメーターでシークレットが公開されています
  • EC2 インスタンスでシークレットが公開されています
  • 非アクティブな IAM ロール
• Azure
  • サブスクリプションで過剰な権限を持つ Microsoft Entra ID アプリケーション
  • ロジックアプリでシークレットが公開されている
• GCP
  • プロジェクトで過剰な権限を持つサービスアカウント
  • サービスアカウントは、プロジェクト内のすべてのサービスアカウントになりすますことができます
  • サービスアカウントはプロジェクトで特権を得ています

コンソール全体でのベンダーの可視性

ベンダーマッピングは、 Tenable全体のいくつかの機能に影響を与えます。コンソール全体に反映されるのは、環境内に存在し、ベンダー設定 (組み込みまたはカスタムのいずれか) で定義されているサードパーティベンダーのみです。これらのベンダーは主要分野に登場し、可視性を高め、サードパーティ追跡を簡素化し、検出結果の精度を向上させています。

• IAM ダッシュボード: 特定されたすべてのベンダーは 、[サードパーティベンダー] というタイトルのウィジェットの下にグループ化されます。詳細については、こちらのドキュメントを参照してください。
• アイデンティティインテリジェンス: ベンダーは、アイコン付きで [Identity Intelligence > Vendor] 列> [Explore Identity Intelligence] に表示されます。これは、ベンダー設定 (組み込みまたはカスタム) で定義されたベンダーが、サービスアイデンティティを通じて環境にアクセスできる場合に発生します。
• アクセス許可クエリ: 外部 AWS アカウントの場合、追加のアカウント ID をベンダーにマッピングすると、そのアカウントはベンダーの名前に関連付けられ、環境への外部アクセスを調査できるようになります。ベンダーが追加されると、[アクセス許可クエリ] ビューで現在 "不明" とマークされているベンダーの名前がベンダーの名前に置き換えられます。
• インベントリ: サードパーティベンダーとしてクラウド環境内で動作するアイデンティティは自動的に識別され、関連するインベントリテーブルでマークされます。これらのエントリは、ベンダー名と識別アイコンとともに [ベンダー] 列に表示されます。[ベンダー] フィルターを使用すると、環境にアクセスできるサードパーティを簡単に特定できます。

ベンダーテーブルの列