ワークロード

[Workload settings] (ワークロード設定) ページで次の設定を行います。
Settings > クラウドサイバーエクスポージャー > ワークロード

これは、ワークロード設定を構成するためのハウツーガイドです。

仮想マシンの設定

次の設定を構成して、 クラウドサイバーエクスポージャー が環境内の仮想マシンをスキャンする方法を微調整します。

仮想マシンスキャンからアカウントを除外する

デフォルトでは、 クラウドサイバーエクスポージャー はワークロード ワークロードの接続したアカウントのすべてのインスタンスをスキャンします。ただし、特定のアカウントまたはアカウント範囲をスキャンプロセスから除外するように微調整することもできます。この設定を行うには、クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

注意: このオプションは仮想マシンのスキャンのみを有効化/無効化し、 コンテナイメージスキャン有効化/無効化しません。

スキャンからアカウントを除外する方法

  1. クラウドサイバーエクスポージャーコンソールで、[仮想マシン>セキュリティ>ワークロード Settings>] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [仮想マシンの脆弱性のスキャン] セクションで、以下のいずれかを選択します。

    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。

      注意: 組織全体を範囲として選択した場合、[Inherit] (継承) オプションは使用できません。
    • 親レベルの範囲の設定を、このアカウント範囲固有の設定 (有効 / 無効) でオーバーライドします。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

仮想マシンデータスキャンの有効化

ワークロード保護の一部として、 クラウドサイバーエクスポージャー が仮想マシンの機密データをスキャンするかどうかを設定します。この機能は、既存のワークロード保護スキャンインフラとデータ保護分類エンジンを利用して、シークレット、パスワード、API キーなどの制限付き機密データを含む可能性のあるファイルをサンプリングします。

ワークロード保護を提供する一環として、 クラウドサイバーエクスポージャー が仮想マシンの機密データをスキャンするかどうかを管理します。この機能は、既存のワークロード保護スキャンインフラとデータ保護分類エンジンを活用し、シークレット、パスワード、API キーなどの スキャン対象データタイプサンプルファイルを実行します。

注意: 仮想マシンデータのスキャンは、選択した範囲 (継承経由を含む) に対して仮想マシン脆弱性 仮想マシンのデータディスクスキャンを有効にする が有効になっている場合にのみ利用できます。仮想マシン脆弱性スキャンが無効になっている場合、このオプションはグレー表示され変更できません。

仮想マシンデータスキャンを設定する方法

  1. クラウドサイバーエクスポージャーコンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Virtual Machines] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [仮想マシンデータのスキャン] で、[有効 化] または [無効化] のどちらを選択するかを選択します。選択した範囲で 仮想マシンのデータディスクスキャンを有効にする が無効になっている場合、このオプションはグレー表示されます。

仮想マシンのデータディスクスキャンを有効にする

デフォルトでは、 Tenable は、仮想マシンに接続されているルートボリュームと、対象となるルート以外のすべてのボリュームをスキャンします。別々のディスクにインストールされているアプリケーションとデータベースは、脆弱性評価に含まれます。ただし、特定のアカウントまたはアカウント範囲をスキャンプロセスから除外するように微調整することもできます。

データディスクスキャンを有効にする方法

  1. クラウドサイバーエクスポージャーコンソールで、[Settings > Security > Workload > Virtual Machines> Virtual Machine Data Disk Scanning] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. Virtual Machine Data Disk Scanning セクションで、以下のいずれかを選択します。

    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。

      注意: 組織全体を範囲として選択した場合、[Inherit] (継承) オプションは使用できません。
    • 親レベルの範囲の設定を、このアカウント範囲固有の設定 (有効 / 無効) でオーバーライドします。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

スキャンから仮想マシンを除外する

デフォルトでは、 クラウドサイバーエクスポージャー はワークロード ワークロードの接続したアカウントのすべてのインスタンスをスキャンします。ただし、特定の仮想マシンをスキャンプロセスから除外するように微調整することもできます。除外は、クラウドプロバイダーのタグに基づきます。

注意: お使いのアカウントで [Scan Exclusions ] (早期利用可能) にアクセスできる場合は、除外タグの代わりに [Scan Exclusions] (スキャンの除外) を使用してください。スキャンの除外は、タグだけでなくあらゆるリソース属性で一致でき、除外タグがサポートしていないコンテナレジストリもカバーします。

除外タグを追加する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Virtual Machine > Exclusion Tags] に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [仮想マシンの除外タグ] セクションで、[仮想マシンの除外タグの追加] をクリックします。
  4. タグキーとタグ値 (オプション) を入力し、[追加] をクリックします。
注意: スキャンからワークロードを除外するために、デフォルトのタグ tenable-cwp-scan-disabled が提供されています。このデフォルトタグを使用するか、独自のカスタムタグを作成して、仮想マシンスキャンの除外を管理できます。

仮想マシンをポリシーから除外する

デフォルトでは、 クラウドサイバーエクスポージャー ポリシーはポリシーの範囲内にあるすべてのリソースに適用されます。これを微調整するために、 ポリシーからリソースを除外する して、そのリソースに関連する潜在的な検出結果が作成されないようにすることができます。たとえば、次のことが可能です。

  • 特定の仮想マシンを脆弱性のスキャンから除外する
  • 除外パターンを定義することによって、一連の仮想マシンを脆弱性のスキャンから除外します。

仮想マシンディスクの最大サイズ

ワークロード保護は、ディスクサイズが最大 600 GiB の仮想マシンに対して有効になっています。詳細を確認するか、この値を変更するには、 サポートへの問い合わせ。 してください。

仮想マシンイメージ

次の設定を行い、環境内で クラウドサイバーエクスポージャー が仮想マシンイメージをスキャンする方法を微調整します。

仮想マシンイメージスキャンからアカウントを除外する

デフォルトでは、 クラウドサイバーエクスポージャー はワークロード ワークロードの接続したアカウントのすべてのインスタンスをスキャンします。ただし、特定のアカウントまたはアカウント範囲をスキャンプロセスから除外するように微調整することもできます。この設定を行うには、クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

注意: このオプションは仮想マシンイメージのスキャンのみを有効化/無効化し、 コンテナイメージスキャン有効化/無効化しません。

スキャンからアカウントを除外する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > 仮想マシンイメージ > 仮想マシンイメージスキャン] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [仮想マシン] セクションで、以下のいずれかを選択します。

    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。

      注意: 組織全体を範囲として選択した場合、[Inherit] (継承) オプションは使用できません。
    • 親レベルの範囲の設定を、このアカウント範囲固有の設定 (有効 / 無効) でオーバーライドします。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

仮想マシンイメージデータスキャンの有効化

ワークロード保護を提供する一環として、 クラウドサイバーエクスポージャー が仮想マシンの機密データをスキャンするかどうかを管理します。この機能は、既存のワークロード保護スキャンインフラとデータ保護分類エンジンを活用し、シークレット、パスワード、API キーなどの スキャン対象データタイプサンプルファイルを実行します。

注意: 仮想マシンイメージデータのスキャンは、選択した範囲 (継承経由を含む) に対して仮想マシン脆弱性 仮想マシンイメージスキャンからアカウントを除外する が有効になっている場合にのみ利用できます。無効な場合、このオプションはグレー表示され変更できません。

仮想マシンイメージデータスキャンを設定する方法

  1. クラウドサイバーエクスポージャーコンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Virtual Machine Images] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [仮想マシンデータのスキャン] で、[有効化] または [無効化] のどちらを選択するかを選択します。選択した範囲で仮想マシン の脆弱性イメージスキャン が無効になっている場合、このオプションはグレー表示されます。

仮想マシンイメージをスキャンから除外する

デフォルトでは、 クラウドサイバーエクスポージャー はワークロード ワークロードの接続したアカウントのすべてのインスタンスをスキャンします。ただし、特定の仮想マシンイメージをスキャンプロセスから除外するように微調整することもできます。除外は、クラウドプロバイダーのタグに基づきます。

注意: お使いのアカウントで [Scan Exclusions ] (早期利用可能) にアクセスできる場合は、除外タグの代わりに [Scan Exclusions] (スキャンの除外) を使用してください。スキャンの除外は、タグだけでなくあらゆるリソース属性で一致でき、除外タグがサポートしていないコンテナレジストリもカバーします。

除外タグを追加する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > [Virtual Machine Images] > [Virtual Machine Image Exclusion Tags] に移動します。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [仮想マシンイメージの除外タグ] セクションで、[仮想マシンイメージの除外タグの追加] をクリックします。
  4. タグキーとタグ値 (オプション) を入力し、[追加] をクリックします。
注意: スキャンからワークロードを除外するために、デフォルトのタグ tenable-cwp-scan-disabled が提供されています。このデフォルトのタグを使用するか、独自のカスタムタグを作成して、仮想マシンイメージスキャンの除外を管理できます。

仮想マシンイメージをポリシーから除外する

デフォルトでは、 クラウドサイバーエクスポージャー ポリシーはポリシーの範囲内にあるすべてのリソースに適用されます。これを微調整するために、 ポリシーからリソースを除外する して、そのリソースに関連する潜在的な検出結果が作成されないようにすることができます。たとえば、次のことが可能です。

  • 特定の仮想マシンイメージを脆弱性スキャンから除外する
  • 除外パターンを定義することによって、一連の仮想マシンイメージを脆弱性のスキャンから除外します。

仮想マシンイメージディスクの最大サイズ

ワークロード保護は、ディスクサイズが最大 600 GiB の仮想マシンイメージに対して有効になっています。詳細を確認するか、この値を変更するには、 サポートへの問い合わせ。 してください。

コンテナレジストリの設定

次の設定を行い、 クラウドサイバーエクスポージャー が環境内のコンテナレジストリをスキャンする方法を微調整します。

コンテナレジストリの脆弱性スキャンを Tenable で有効化する

デフォルトでは、レジストリスキャンは組織全体で クラウドサイバーエクスポージャー で無効になっています。コンソール設定からスキャンを有効にでき、特定のアカウントまたはアカウントスコープで機能を有効/無効にして微調整できます。この設定を行うには、クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

コンテナレジストリのスキャンを有効にする方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Container Registries] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [Container Registry Vulnerability Scanning] セクションで、以下のいずれかを選択します。

    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。

      注意: 組織全体を範囲として選択した場合、[Inherit] (継承) オプションは使用できません。
    • 親レベルの範囲の設定を、このアカウント範囲固有の設定 (有効 / 無効) でオーバーライドします。この固有の設定は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

コンテナイメージの最大サイズ

ワークロード保護は、サイズが 2 GiB までのコンテナイメージに対して有効になっています。詳細を確認するか、この値を変更するには、 サポートへの問い合わせ。 してください。

スキャンの除外

注意: この機能は早期リリース版として提供されており、変更される可能性があります。機能およびサポートが制限される場合があります。アクセス権のリクエストやフィードバックの提供については、Tenable の担当者までご連絡ください。

[スキャンの除外] を使用して、ワークロードスキャン中にスキップ クラウドサイバーエクスポージャー 仮想マシン、仮想マシンイメージ、コンテナレジストリを定義します。

一般的なユースケースは次のとおりです。

  • コストの最適化: ライセンス容量を維持するために、重要でない開発またはテストのリソースを除外します。
  • 環境分離: サンドボックス環境や、すでに他のツールによって監視されているリソースを除外します。
  • 機密性の高いサイロ: 「ツールなし」ポリシーを適用する、規制の厳しい環境を除外します。
注意: アカウントで除外 タグ を使用して仮想マシンまたは仮想マシンイメージをスキャンから除外する場合、Tenable がユーザーに代わって既存のタグベースの除外をスキャンの除外に移行します。除外タグは移行が完了するまで引き続き適用されるため、移行中にスキャン範囲は変更されません。除外タグは、コンテナレジストリをサポートしていません。

スキャンの除外の表示と管理

[スキャンの除外] テーブルでは、アクティブな除外と非アクティブな除外がすべて一元的に表示されます。

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Scan Exclusions] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。

  3. デフォルトでは、選択した範囲と親の範囲で定義された項目がテーブルに表示されます。[フラットビュー] をクリックすると、子の範囲で定義されている項目も表示されます。

  4. 現在ターゲットとなっている特定のリソースなど、除外に関する詳細を表示するには、除外の行をクリックして詳細ペインを開きます。
  5. 除外を管理するには、行の最後にある三点リーダーメニューをクリックして、[編集]、[有効化/無効化]、[削除] のいずれかを行います。

スキャンの除外ステータス

ステータス 説明
有効 除外が有効で、期限切れでない場合は、次回のスキャンに適用されます。除外の有効期限が切れると、他の除外が適用されない限り、検出対象の検出結果は再オープンされるか元に戻されます。
無効 除外は無効な状態ですが、再度有効にすることができます。
更新を保留中 変更があったため、次回のスキャンで更新されます。
無効化を保留中 このあと無効になりますが、スキャンが完了するまでは有効な状態です。
削除の保留中 削除のキューに登録されています。スキャンが完了するまでは有効な状態です。

スキャンの除外を作成する

除外を作成するときは、 エクスプローラー クエリビルダーを使用してターゲットリソースを定義します。このロジックは動的で、次のスキャンサイクル以降、クエリパラメーターに一致するリソースは自動的に除外されます。

注意: 保存された除外は、即時ではなく次のスキャンサイクルに有効になります。クエリに一致するリソースは、そのサイクルが実行されるまでスキャンされ続けられます。

スキャンの除外を作成する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Scan Exclusions] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [+スキャンの除外を追加] をクリックします。
  4. 名前と説明を入力します。
  5. [Excluded Resources] (除外されたリソース ) セクションで、 エクスプローラー を使用してターゲットを選択します。
    • リソースの検索: ワークロードリソースを選択するか、その下にある特定のタイプ ( 仮想マシン、 仮想マシンイメージ、 コンテナイメージ) を選択します。
    • フィルターの追加: [+] をクリックして、リージョン、アカウント ID、タグなどの特定の属性を追加します。
    • プレビューの確認: クエリを構築すると、現在ターゲットとなっているリソースのリストが表示されます。
  6. [Save] をクリックします。

脆弱性設定

次の設定を行い、 クラウドサイバーエクスポージャー が環境内の脆弱性をスキャンする方法を微調整します。

脆弱性の深刻度のメトリクス

多様なリスク評価のニーズに対応するために、お客様は希望の脆弱性の深刻度メトリクスを選択できます。利用できるオプションは次のとおりです。

  • CVSS (共通脆弱性評価システム)
  • VPR (脆弱性優先度格付け)

デフォルトでは、特に指定のない限り CVSS が使用されます。この柔軟性により、組織は深刻度スコアを社内の優先順位付け戦略に合わせることができます。一貫性と信頼性を確保するために、すべての CVSS スコアは Tenable Vulnerability Database (TVDB) のみに基づいています。特定の CVE で複数の CVSS バージョンが利用できる場合は、最も高いバージョンのスコアがデフォルトで選択されます。脆弱性の深刻度評価は、ベンダーが提供する評価に基づいています。それらが利用できない場合は、National Vulnerability Database (NVD) の評価が使用されます。

脆弱性の深刻度メトリクスを選択するには

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Vulnerabilities] をクリックします。
  2. 脆弱性の深刻度メトリクスを選択します。

検出結果の最小脆弱性深刻度

検出結果を作成するには最小深刻度を設定します。デフォルトでは、重大な脆弱性に対して検出結果が作成されます。しきい値を下げると、検出結果の数が増える可能性があります。

検出結果を作成するための最小深刻度を設定する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Vulnerabilities] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [検出結果の最小脆弱性深刻度] セクションで、関連する深刻度レベルを選択します。
    • 情報
    • 低
    • 中
    • 高
    • 重大

修正なしの脆弱性の検出結果

重大な脆弱性の検出結果の作成方法を設定します。修正のある脆弱性の検出結果のみを作成することで、未解決の検出結果の数を減らせる可能性があります。

重大な脆弱性の検出結果の作成方法を設定する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Vulnerabilities] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。

  3. [修正のない脆弱性の検出結果] セクションで、関連するオプションを選択します。

    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。
    • 有効 (親レベルの設定をオーバーライド)。修正ありの重大な脆弱性の検出結果のみを作成。
    • 無効化 (親レベルの設定をオーバーライド)。 すべての重大な脆弱性の検出結果を作成 (修正なしのものを含む)。

    注意:

    • [有効] または [無効] を選択すると、親レベルの範囲の設定が、このアカウント範囲固有の設定でオーバーライドされます。この固有の構成は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。
    • 組織全体を範囲として選択した場合、[継承] オプションは使用できません。
    • この設定を行うには、クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

終末期の設定

次の設定を構成して、OS EOL 検出結果のしきい値を微調整します。

オペレーティングシステムのサポート終了検出結果のしきい値

仮想マシン、仮想マシンイメージ、コンテナイメージに対するオペレーティングシステム (OS) のサポート終了 (EOL) 検出結果のしきい値を設定できます。Tenable がサポートするこの機能強化により、ユーザーはリソースの OS サポートが終了するとき、またはサポート終了が近づいたときに検出結果をトリガーするしきい値を定義できます。これにより、可視性が向上し、プロアクティブなリスク管理が可能になります。

しきい値を設定するには

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > End-of-Life] に移動します。
  2. 必要な EOL しきい値を設定します。
注意: サポート終了アラートのしきい値のデフォルト値は 30 日です。

Malicious File Settings

次の設定を行い、環境内で悪意のあるファイルを クラウドサイバーエクスポージャー がスキャンする方法を微調整します。

スキャンからアカウントを除外する

デフォルトでは、 クラウドサイバーエクスポージャー は、 ワークロードの接続したアカウントにあるすべてのワークロードをスキャンします。ただし、特定のアカウントまたはアカウント範囲をスキャンプロセスから除外するように微調整することもできます。この設定を行うには、クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

スキャンからアカウントを除外する方法

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Malicious Files] をクリックします。
  2. [組織] ツリーのドロップダウンでアカウント階層とフォルダーを選択します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [Malware Scanning] (マルウェアのスキャン) セクションで、以下のいずれかを選択します。

    • 親レベルのアカウント範囲の設定を継承 (デフォルト)。

      注意: 組織全体を範囲として選択した場合、[Inherit] (継承) オプションは使用できません。
    • 親レベルの範囲の設定を、このアカウント範囲固有の設定 (有効 / 無効) でオーバーライドします。この固有の設定は、親レベルの範囲で行われた変更に関係なく、子レベルの範囲に残ります。

信頼できるファイルを追加する

信頼できると見なされるファイルの SHA-256 ハッシュを指定します。この設定を行うには、クラウドサイバーエクスポージャー で管理者ロールを持つユーザーである必要があります。

注意: (一元化された Settings 領域を介して) 次の手順で説明されているハッシュを入力するだけでなく、アドホックベースで次の場所にあるファイルを信頼できるものとしてマークすることもできます。
  • [Malicious Files] ページ経由で送信されます。
  • [Overview] (概要) または [Remediation] (修正) タブの関連する検出結果を使用します。

信頼できるファイルを追加するには

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > クラウドサイバーエクスポージャー > Workload > Malicious Files] をクリックします。
  2. 左側の [Organization] (組織) ツリーでアカウント階層とフォルダーを選択し、除外が適用されるアカウントを決定します。デフォルトでは、組織全体 (すべてのアカウント) が選択されています。
  3. [信頼できるファイル SHA-256 ハッシュ] セクションで、[追加] をクリックします。
  4. ファイルの SHA-256 ハッシュを入力します。
  5. (オプション) コメントを入力します。
  6. [追加] をクリックします。テーブルにエントリが表示されます。
  7. エントリを削除するには、エントリの横にある三点リーダーアイコンをクリックし、[削除] をクリックします。