分類の除外
データ保護は、クラウドリソース全体で PII、PCI、PHI、シークレットなどの機密データを検出して分類します。一部のデータは、機密データタイプに一致しますが、内部メールドメインや既知のテストデータベースの機密値など、お使いの環境では実際のリスクではありません。これらの一致を放っておくと、行動を起こさない検出結果が作成されます。
分類の除外により、Tenable に無視させるデータとその無視する場所を微調整できます。除外する対象 (データタイプ、カテゴリ、機密度、特定の値) と、除外が適用される正確なリソースとデータオブジェクトを定義します。スキャンは引き続きリソース上で実行されるため、他の機密データは引き続き機密扱いされ、請求には影響しません。
注意: (クイックリンク) このセクションでは、分類除外の仕組みについて説明します。作成して管理するには、[分類除外を作成する]を参照してください。
除外の例
- 任意の .pdf ファイルの Secret カテゴリのすべてのデータタイプで password123 値を無視します。
- Test という名前のデータベーステーブルの制限されたデータ型を無視します。
- 特定のリージョンのすべてのデータリソースにおいて、[メール] データタイプの企業ドメイン (@acme.com) を無視する。
分類除外の仕組み
各分類除外は、3つのスコープディメンションを組み合わせたものです。これらを組み合わせることで、Tenable が何をどこで無視するかを正確に決定します。
- データ。 何を無視するか。データのタイプを選択し、次に値を選択します。
- 型: すべての データ型、データカテゴリ、機密性レベル、または 1 つ以上の特定のデータ型。
- 値: 選択したタイプのすべての値、または RE2 正規表現パターンとして定義された特定の値 (企業のメールドメインなど)。
- リソース。 除外を適用する場所: スコープ内のすべてのリソース、またはクエリで選択された特定のリソース
- データオブジェクト。 それらのリソース内の正確な場所。すべてのデータ・オブジェクト、または1つ以上のロケーション条件として定義された特定のデータ・オブジェクトを選択します。
- データベース名
- データベーススキーマ名
- データベーステーブル名
- ファイル拡張子
- オブジェクトパス
各ロケーション条件は 1 回使用され、それぞれが複数の RE2 正規表現値を受け入れます。Tenable は条件間に OR ロジックを適用するため、いずれかの条件に一致する場合、データは無視されます。
[すべてのデータ タイプ] を選択すると、[すべてのデータ オブジェクト] オプションが無効になります。すべてのデータオブジェクトですべてのデータタイプを除外すると、リソースの分類が完全に停止されます。これは、分類の除外ではなくスキャンの除外の動作です。
分類の除外とスキャンの除外の比較
どちらの機能もノイズを低減しますが、異なる段階で作用します。
| 機能 | 機能 | スキャンへの影響 | 請求への影響 |
|---|---|---|---|
| データ | リソースに対するスキャンの実行を停止します | スキャンが実行されない | リソースはスキャンされていません |
| 分類除外 | は、定義した場所内で、定義したデータの分類を抑制します | スキャンは引き続き実行されます。その他のデータはまだ機密扱いです | なし |
リソースのスキャンは継続したいが、リソース内の特定のデータは無視したい場合に、分類除外を使用します。リソースのスキャンを完全に停止する場合は、スキャン除外を使用します。
詳細はこちら
- 除外を作成、編集、有効化、無効化、または削除するには、「分類除外の作成」を参照してください。