スキャンで使用される Tenable ポリシー
注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。
次のビルトイン Tenable One Cloud Exposure IaC ポリシーが、環境をスキャンするために使用されます。これらのポリシーは、 Tenable ポリシーのサブセットにマッピングされます。
AWS
クラウドサイバーエクスポージャー は、次のビルトインポリシーを使用して AWS リソースをスキャンします。
| カテゴリ | 名前 | ID | サポートされているフレームワーク |
|---|---|---|---|
| コンピューティング | EC2 インスタンスメタデータサービスが安全ではないバージョンをサポート | aws-ec2-instance-metadata-service-version |
|
| Lambda 関数は複数の可用性ゾーンで動作しません | aws-lambda-function-configuration-multi-availability-zone-not-exist |
|
|
| Lambda 関数で非推奨のランタイムが使用されています | aws-lambda-function-configuration-deprecated-runtime |
|
|
| パブリック Lambda 関数 | aws-lambda-function-configuration-public-access-exists |
|
|
| データ | Athena ワークグループのクエリ結果が暗号化されていません | aws-athena-workgroup-encryption-disabled |
|
| Data Firehose ストリームが KMS で暗号化されていない | aws-firehose-delivery-stream-encryption-disabled |
|
|
| DMS エンドポイントの転送中の暗号化が有効になっていない | aws-dms-endpoint-ssl-mode-disabled |
|
|
| Redis OSS TLS の DMS エンドポイントが有効になっていない | aws-dms-endpoint-redis-ssl-security-protocol-not-ssl-encryption |
|
|
| DMS エンドポイント MongoDB の認証メカニズムが有効になっていない | aws-dms-endpoint-mongo-db-authentication-disabled |
|
|
| DMS レプリケーションインスタンスのマイナーバージョン自動アップグレードが有効になっていない | aws-dms-replication-instance-minor-version-upgrade-disabled |
|
|
| DMS レプリケーションインスタンスのパブリックアクセスが有効になっている | aws-dms-replication-instance-public-ip-address-enabled |
|
|
| DocumentDB クラスタのバックアップ保持期間が最小要件を満たしていない | aws-doc-db-cluster-backup-retention-time-frame |
|
|
| DocumentDB クラスタの削除保護が有効になっていない | aws-rds-doc-db-cluster-delete-protection-disabled |
|
|
| DynamoDB の削除保護が有効になっていない | aws-dynamodb-table-delete-protection-disabled |
|
|
| DynamoDB テーブルは KMS で暗号化されません | aws-dynamodb-table-encryption-disabled |
|
|
| EBS スナップショットは KMS で暗号化されません | aws-ec2-snapshot-encryption-disabled |
|
|
| EBS ボリュームは KMS で暗号化されません | aws-ec2-volume-encryption-disabled |
|
|
| ElastiCache Redis OSS クラスタキャッシュの自動バックアップが最小要件を満たしていません | aws-elasticache-replication-group-automatic-backups |
|
|
| ElastiCache Redis OSS クラスタキャッシュの自動フェイルオーバーが有効になっていません | aws-elasticache-replication-group-automatic-backups-disabled |
|
|
| ElastiCache Redis OSS クラスタキャッシュのマイナーバージョン自動アップグレードが有効になっていません | aws-elasticache-replication-group-auto-upgrade-minor-versions-disabled |
|
|
| ElastiCache Redis OSS クラスタキャッシュの転送中の暗号化が有効になっていません | aws-elasticache-replication-group-transit-encryption-mode-not-required |
|
|
| ElastiCache Redis OSS クラスタキャッシュがデフォルトのサブネットグループを使用しています | aws-elasticache-replication-group-default-subnet-group |
|
|
| EFS File System が KMS で暗号化されていません | aws-elastic-file-system-file-system-encryption-disabled |
|
|
| Kinesis データストリームが KMS で暗号化されません | aws-kinesis-stream-encryption-disabled |
|
|
| KMS キーの自動キーローテーションが有効になっていません | aws-kms-key-rotation-disabled |
|
|
| Neptune クラスタのバックアップ保持期間が最小要件を満たしていない | aws-rds-neptune-cluster-backup-retention-time-frame |
|
|
| Neptune クラスタの削除保護が有効になっていない | aws-rds-neptune-cluster-delete-protection-disabled |
|
|
| OpenSearch ドメインノード間の転送中の暗号化が有効になっていない | aws-es-domain-node-communication-encryption-disabled |
|
|
| OpenSearch ドメインが KMS で暗号化されていない | aws-es-domain-encryption-disabled |
|
|
| 公開 EC2 イメージ | aws-ec2-image-public-access-exists |
|
|
| 公開 ECR リポジトリ | aws-ecr-repository-public-access-exists |
|
|
| 公開 KMS キー | aws-kms-key-public-access-exists |
|
|
| 公開 OpenSearch ドメイン | aws-es-domain-public-access-exists-cloud-formation |
|
|
| 公開 RDS スナップショット | aws-rds-snapshot-public-access-exists |
|
|
| パブリック S3 バケット | aws-s3-bucket-public-access-exists |
|
|
| 公開のためのスキャントピック | aws-sns-topic-public-access-exists |
|
|
| パブリック SQS キュー | aws-sqs-queue-public-access-exists |
|
|
| RDS クラスタのマイナーバージョン自動アップグレードが有効になっていません | aws-rds-cluster-minor-version-upgrade-disabled |
|
|
| RDS クラスタのバックアップ保持期間が最小要件を満たしていない | aws-rds-cluster-backup-retention-time-frame |
|
|
| RDS クラスタの削除保護が有効になっていない | aws-rds-cluster-delete-protection-disabled |
|
|
| RDS クラスタが KMS で暗号化されていません | aws-rds-cluster-storage-encryption-disabled |
|
|
| RDS インスタンスのマイナーバージョン自動アップグレードが有効になっていない | aws-rds-database-instance-minor-version-upgrade-disabled |
|
|
| RDS インスタンスのバックアップ保持期間が最小要件を満たしていない | aws-rds-database-instance-backup-retention-time-frame |
|
|
| RDS インスタンスの削除保護が有効になっていない | aws-rds-database-instance-delete-protection-disabled |
|
|
| RDS インスタンスが KMS で暗号化されません | aws-rds-database-instance-storage-encryption-disabled |
|
|
| Redshift クラスタのバックアップ保持期間が最小要件を満たしていない | aws-redshift-cluster-backup-retention-time-frame |
|
|
| Redshift クラスタが KMS で暗号化されていません | aws-redshift-cluster-encryption-disabled |
|
|
| S3 バケットのパブリックアクセスのブロックが有効になっていない | aws-s3-bucket-block-public-access-disabled |
|
|
| S3 バケットの転送中の暗号化が有効になっていない | aws-s3-bucket-https-only-disabled |
|
|
| S3 バケットの MFA Delete が有効になっていません | aws-s3-bucket-object-delete-mfa-disabled |
|
|
| S3 バケットが KMS で暗号化されていません | aws-s3-bucket-encryption-disabled |
|
|
| SNS トピックが KMS で暗号化されません | aws-sns-topic-encryption-disabled |
|
|
| SQL サーバーの透過的データ暗号化が CMK で暗号化されていません | azure-sql-server-default-encryption |
|
|
| SQS キューが KMS で暗号化されません | aws-sqs-queue-encryption-disabled |
|
|
| IAM | サードパーティの IAM ロールの外部 ID が設定されていません | aws-iam-role-vendor-assume-role-policy-document-external-id-condition-not-exist |
|
| EC2 インスタンス IAM Instance Profile が設定されていない | aws-ec2-instance-instance-profile-not-exist |
|
|
| 完全な管理権限を持つ IAM ポリシーに「」が添付されています | policies-aws-iam-principal-attached-policy-permission-scope-any |
|
|
| IAM ユーザーにポリシーが添付されています | aws-iam-user-attached-policy |
|
|
| パスワードの長さが最小要件を満たしていません | aws-iam-password-length-policy |
|
|
| 公開 IAM ロール | aws-iam-role-public-access-exists |
|
|
| Kubernetes | Kubernetes シークレットが KMS で暗号化されていません | aws-eks-cluster-kubernetes-secret-encryption-disabled |
|
| ログ | API ゲートウェイ X-Ray のトレースが有効になっていない | aws-api-gateway-v1-api-stages-x-ray-tracing-disabled |
|
| Athena ワークグループは CloudWatch にログを公開していない | aws-athena-workgroup-logging-disabled |
|
|
| CloudFront ディストリビューションロギングが有効になっていません | aws-cloudfront-distribution-logging-disabled |
|
|
| CloudTrail ログが CMK で暗号化されていません | aws-cloudtrail-trail-encryption-disabled |
|
|
| CloudTrail ログが CloudWatch にログを公開していない | aws-cloudtrail-trail-log-group-disabled |
|
|
| CloudTrail S3バケットログファイル検証が有効になっていません | aws-cloudtrail-trail-digest-disabled |
|
|
| CloudTrail S3 バケットロギングが有効になっていません | aws-cloudtrail-trail-bucket-event-disabled |
|
|
| DocumentDB クラスタが CloudWatch Logs にログを公開していない | aws-rds-doc-db-cluster-cloudwatch-logging-disabled |
|
|
| Elastic Beanstalk 環境が CloudWatch Logs にログを公開していません | aws-elastic-beanstalk-environment-cloudwatch-logging-disabled |
|
|
| Neptune DB クラスタが CloudWatch Logs にログを公開していない | aws-rds-neptune-cluster-cloudwatch-logging-disabled |
|
|
| OpenSearch ドメインが CloudWatch Logs にログを公開していません | aws-es-domain-cloudwatch-logging-disabled |
|
|
| パブリック CloudTrail S3 バケット | aws-cloudtrail-trail-bucket-public-access-enabled |
|
|
| RDS クラスタが CloudWatch Logs にログを公開していない | aws-es-domain-cloudwatch-logging-disabled |
|
|
| RDS インスタンスが CloudWatch Logs にログを公開していない | aws-rds-cluster-cloudwatch-logging-disabled |
|
|
| VPC フローログが設定されていません | aws-ec2-vpc-reject-flow-log-not-exist |
|
|
| ネットワーク | API ゲートウェイ API が WAF のウェブ ACL に関連付けられていません | aws-api-gateway-api-web-acl-not-exists |
|
| CloudFront ディストリビューションのカスタムオリジンで転送中の暗号化が有効になっていない | aws-cloudfront-distribution-origin-https-only-disabled |
|
|
| CloudFront ディストリビューションのデフォルトのルートオブジェクトが設定されていません | aws-cloudfront-distribution-root-object-not-exists |
|
|
| CloudFront ディストリビューションの安全でない通信 | aws-cloudfront-distribution-insecure-tls-protocol |
|
|
| CloudFront ディストリビューションが WAF のウェブ ACL と関連付けられていません | aws-cloudfront-distribution-web-acl-not-exists |
|
|
| CloudFront ディストリビューションはデフォルトの SSL 証明書を使用している | aws-cloudfront-distribution-default-ssl-certificate |
|
|
| CloudFront ディストリビューションの S3 オリジンアクセス制御が有効になっていない | aws-cloudfront-distribution-s3-bucket-origin-access-control-disabled |
|
|
| CloudFront ディストリビューションビューワーの転送中の暗号化が有効になっていない | aws-cloudfront-distribution-https-only-disabled |
|
|
| Lambda 関数が VPC に関連付けられていません | aws-lambda-function-configuration-vpc-not-exists |
|
|
| ロードバランサーのセキュアでない通信 | aws-ec2-load-balancer-listener-insecure-ssl-protocol-exists |
|
|
| ネットワーク ACL の無制限のインバウンドインターネットアクセス | policies-aws-ec2-network-acl-inbound-rule-subnet-any-exists |
|
|
| EC2 インスタンスがインターネットに公開されています | aws-ec2-instance-inbound-external-access |
|
|
| パブリックロードバランサー | aws-elb-load-balancer-inbound-external |
|
|
| 公開 RDS インスタンス | aws-rds-database-instance-inbound-external-access |
|
|
| 公開 Redshift クラスター | aws-redshift-cluster-inbound-external-access |
|
|
| Route 53 ホストゾーン DNSSEC が有効になっていません | aws-route-53hosted-zone-signing-disabled |
|
|
| セキュリティグループの無制限インバウンドインターネットアクセス | aws-ec2-security-group-inbound-rule-subnet-any-exists |
|
|
| シークレット | CloudFormation スタックは、機密情報を漏洩しています | aws-cloudformation-stack-secret-exists |
|
| EC2 インスタンスがシークレットを漏洩しています | aws-ec2-instance-user-data-secret-exists |
|
|
| ECS タスク定義は、シークレットを漏洩しています | aws-ecs-task-definition-environment-variable-secret-exists |
|
|
| Lambda 関数が機密情報を漏洩しています | aws-lambda-function-configuration-environment-variable-secret-exists |
|
|
| パブリック Secrets Manager シークレット | aws-secrets-manager-secret-public-access-exists |
|
|
| Secrets Manager のシークレット自動ローテーションが有効になっていません | aws-secrets-manager-secret-rotation-disabled |
|
|
| System Manager パラメーターは、秘密情報を漏洩しています | aws-ssm-parameter-secret-exists |
|
Azure
クラウドサイバーエクスポージャー は、次のビルトインポリシーを使用して Azure リソースをスキャンします。
| カテゴリ | 名前 | ID | サポートされているフレームワーク |
|---|---|---|---|
| コンピューティング | App Service の FTP の暗号化が有効になっていない | azure-web-application-ftp-status-all-allowed |
|
| App Service の HTTP バージョンが最小要件を満たしていない | azure-web-application-http-min-version |
|
|
| App Service Microsoft Entra ID の登録が設定されていない | azure-web-application-managed-identity-not-exists |
|
|
| App Service のリモートデバッグが有効である | azure-web-application-remote-debugging-enabled |
|
|
| 仮想マシンが管理されていないディスクを使用しています | azure-compute-virtual-machine-unmanaged-disk-exists |
|
|
| 仮想マシンのトラステッド起動が有効になっていない | azure-compute-virtual-machine-trusted-launch-disabled |
|
|
| データ | アプリサービスの安全でない通信 | azure-web-application-insecure-tls-protocol |
|
| Event Hubs 名前空間全体のインバウンドインターネットアクセス | azure-event-hub-namespace-inbound-external-wide-range |
|
|
| Key Vault 証明書の自動ローテーションが有効になっていない | azure-key-vault-vault-certificate-rotation-disabled |
|
|
| キーボールト削除保護が有効になっていません | azure-key-vault-vault-soft-delete-disabled |
|
|
| Key Vault キーの自動キーローテーションが有効になっていません | azure-key-vault-vault-key-not-rotated |
|
|
| キーボールトキーの有効期限が設定されていない | azure-key-vault-vault-key-expiration-disabled |
|
|
| Key Vault キーがローテーションされていません | azure-key-vault-vault-key-not-rotated |
|
|
| Key Vault シークレットがローテーションされていない | azure-key-vault-vault-secret-not-rotated |
|
|
| マネージドディスクのデータアクセス認証が有効になっていない | azure-compute-disk-data-access-authentication-disabled |
|
|
| マネージドディスクはパブリックアクセスをブロックしない | azure-compute-disk-network-access-policy-allow-all |
|
|
| MySQL データベースサーバーで、Microsoft Entra ID のみの認証が有効になっていません | azure-mysql-flexible-server-aad-only-authentication-disabled |
|
|
| PostgreSQLデータベースサーバーで、Microsoft Entra IDのみの認証が有効になっていません | azure-postgresql-flexible-server-aad-only-authentication-disabled |
|
|
| パブリックストレージアカウントblobコンテナ | azure-storage-storage-account-blob-container-public-access-exists |
|
|
| SQL データベースが透過的データ暗号化で暗号化されません | azure-sql-server-database-encryption-disabled |
|
|
| ストレージアカウントの SQL Server 監査保持が設定されていません | azure-server-event-retention-time-frame |
|
|
| SQL Server の Microsoft Defender が有効になっていません | azure-sql-server-microsoft-defender-disabled |
|
|
| SQL サーバー Microsoft Entra ID 管理者が設定されていません | policies-azure-sql-server-aad-authentication-administrator-principal-not-exists |
|
|
| SQL サーバー Microsoft Entra ID のみの認証が有効になっていません | azure-sql-server-aad-only-authentication-disabled |
|
|
| ストレージアカウントのクロステナントレプリケーションが有効になっている | azure-storage-storage-account-cross-tenant-replication-enabled |
|
|
| ストレージアカウントインフラの暗号化が有効になっていない | azure-storage-storage-account-infrastructure-encryption-disabled |
|
|
| ストレージアカウントが CMK で暗号化されません | azure-storage-storage-account-default-encryption |
|
|
| ストレージアカウントのソフトデリート保護が有効になっていません | azure-storage-storage-account-soft-delete-disabled |
|
|
| App Service の転送中の暗号化が有効になっていない | azure-web-application-https-only-disabled |
|
|
| MySQL データベースサーバーの転送中の暗号化が有効になっていない | azure-mysql-server-https-only-disabled |
|
|
| PostgreSQL データベースサーバーの転送中の暗号化が有効になっていない | azure-postgresql-server-https-only-disabled |
|
|
| 転送中のストレージアカウントが有効になっていない | azure-storage-storage-account-https-only-disabled |
|
|
| IAM | コンテナレジストリ管理者ユーザーが有効になっている | azure-container-registry-registry-access-key-enabled |
|
| CosmosDB アカウントキー管理アクセスが有効になっている | azure-document-db-database-account-management-key-access-enabled |
|
|
| キーボールトロールベースのアクセスコントロールが有効になっていません | azure-key-vault-vault-rbac-disabled |
|
|
| サブスクリプションで管理者ロールを持つ Microsoft Entra ID 外部ユーザーまたはゲストユーザー | azure-directory-guest-user-administrator |
|
|
| ストレージアカウントの共有キーアクセスが有効になっている | azure-storage-storage_account_shared_key_access_enabled |
|
|
| Kubernetes | Kubernetes シークレットが CMK で暗号化されていません | azure-container-service-managed-cluster-kubernetes-secret-encryption-disabled |
|
| ログ | アクティビティログブロブコンテナが CMK で暗号化されません | azure-insights-diagnostic-settings-storage-account-blob-container-default-encryption |
|
| キーボールトログが有効になっていません | azure-key-vault-vault-event-disabled |
|
|
| MySQL データベースサーバーのパラメーター audit_log_enabled が有効になっていません | azure-mysql-flexible-server-audit-log-disabled |
|
|
| MySQL データベースサーバーのパラメーター audit_log_events が最小要件を満たしていません | azure-mysql-flexible-server-audit-log-connection-event-disabled |
|
|
| PostgreSQL データベースサーバー log_retation_day が最小要件を満たしていません | azure-postgresql-server-log-retention |
|
|
| PostgreSQL データベースサーバーパラメーターの接続スロットリングが有効化されていません | azure-postgresql-server-connection-throttling-disabled |
|
|
| PostgreSQL データベースサーバーパラメーター log_checkpoints が有効になっていません | azure-postgresql-server-log-checkpoints-disabled |
|
|
| PostgreSQL データベースサーバーパラメーター log_connections が有効になっていません | azure-postgresql-server-log-connections-disabled |
|
|
| PostgreSQL データベースサーバーパラメーター log_disconnections が有効になっていません | azure-postgresql-server-log-disconnections-disabled |
|
|
| 公開アクティビティログブロブコンテナ | azure-insights-diagnostic-settings-storage-account-blob-container-public-access-enabled |
|
|
| SQL サーバー監査が有効になっていません | azure-sql-server-event-disabled |
|
|
| ストレージアカウントブロブサービスのログが有効になっていません | azure-storage-storage-account-blob-service-diagnostic-settings-log-category-not-enabled |
|
|
| ストレージアカウントキューサービスのログが有効になっていません | azure-storage-storage-account-queue-service-diagnostic-settings-log-category-not-enabled |
|
|
| ストレージアカウントテーブルサービスのログが有効になっていません | azure-storage-storage-account-table-service-diagnostic-settings-log-category-not-enabled |
|
|
| ネットワーク | アプリサービスの SCM サイト全体のインバウンドインターネットアクセス | azure-web-application-scm-inbound-external-wide-range |
|
| コンテナレジストリのワイドインバウンドインターネットアクセス | azure-container-registry-registry-inbound-external-wide-range |
|
|
| CosmosDB アカウントがプライベートエンドポイントに関連付けられていません | azure-document-db-database-account-private-endpoint-not-exists |
|
|
| CosmosDB アカウント全体のインバウンドインターネットアクセス | azure-document-db-database-account-wide-range-inbound |
|
|
| キーボールトファイアウォールのワイドインバウンドインターネットアクセス | azure-key-vault-vault-wide-range-inbound |
|
|
| Key Vault がプライベートエンドポイントに関連付けられていません | azure-key-vault-vault-private-endpoint-not-exists |
|
|
| ロジックアプリ全体のインバウンドインターネットアクセス | azure-logic-workflow-inbound-external-wide-range |
|
|
| MySQL データベースサーバーのパラメーター tls_version が最小要件を満たしていません | azure-mysql-flexible-server-insecure-tls-protocol |
|
|
| MySQL データベースサーバー全体のインバウンドインターネットアクセス | azure-mysql-server-wide-range-inbound |
|
|
| サービスタグ経由のネットワークセキュリティグループの安全でないインバウンドインターネットアクセス | policies-azure-network-network-security-group-inbound-rule-insecure-service-tag |
|
|
| ネットワークセキュリティグループの制限されない RDP インバウンドのインターネットアクセス | azure-network-network-security-group-inbound-rule-subnet-any-rdp-exists |
|
|
| ネットワークセキュリティグループの制限されない SSH インバウンドのインターネットアクセス | azure-network-network-security-group-inbound-rule-subnet-any-ssh-exists |
|
|
| ネットワークセキュリティグループの無制限 UDP インバウンドインターネットアクセス | azure-network-networksecuritygroup-inbound-rule-subnet-any-udp-exists |
|
|
| PostgreSQL データベースサーバーのワイドインバウンドインターネットアクセス | azure-postgresql-server-wide-range-inbound |
|
|
| パブリックアプリサービス | azure-web-application-inbound-external-wide-range |
|
|
| SQL サーバーワイドインバウンドインターネットアクセス | azure-sql-server-wide-range-inbound |
|
|
| ストレージアカウント Azure の信頼できるサービスへのアクセスが有効になっていません | azure-storage-storage-account-allow-any-azure-trusted-services-network-access-disabled |
|
|
| ストレージアカウントの安全でない通信 | azure-storage-storage-account-insecure-tls-protocol |
|
|
| ストレージアカウントがプライベートエンドポイントに関連付けられていません | azure-storage-storage-account-private-endpoint-not-exists |
|
|
| ストレージアカウントワイドのインバウンドインターネットアクセス | azure-storage-storage-account-wide-range-inbound |
|
|
| サブネットの無制限のインバウンドインターネットアクセス | azure-network-virtual-network-subnet-unrestricted-inbound-access |
|
|
| シークレット | アプリサービスでシークレットが公開されている | azure-application-app-settings-secret-exists |
|
| キーボールトシークレットの有効期限が設定されていません | azure-key-vault-vault-secret-expiration-disabled |
|
|
| 論理アプリが機密情報を漏洩しています | azure-logic-workflow-secret-exists |
|
|
| 仮想マシンでシークレットが公開されています | azure-compute-virtual-machine-user-data-secret-exists |
|
GCP
クラウドサイバーエクスポージャー は、次のビルトインポリシーを使用して GCP リソースをスキャンします。
| カテゴリ | 名前 | ID | サポートされているフレームワーク |
|---|---|---|---|
| コンピューティング | ロードバランサーのバックエンドサービスログが有効になっていません | gcp-compute-backend-service-logging-not-enabled |
|
| プロジェクト OS ログインが有効になっていません | gcp-compute-project-ssh-iam-not-enabled |
|
|
| パブリック Cloud Functions | gcp-functions-function-public-access-exists |
|
|
| パブリック Cloud Run サービス | gcp-cloud-run-service-public-access-exists |
|
|
| 公開用 Compute Engine イメージ | gcp-compute-image-public-access-exists |
|
|
| VM インスタンスの「プロジェクトワイド SSH キーをブロック」が有効になっていない | gcp-compute-instance-block-project-wide-ssh-keys-not-enabled |
|
|
| VM インスタンスの機密情報コンピューティングが有効になっていない | gcp-compute-instance-memory-encryption-not-enabled |
|
|
| VM インスタンスの IP フォワーディングが有効になっている | gcp-compute-instance-ip-forwarding-enabled |
|
|
| VM インスタンスの保護された VM が有効になっていない | gcp-compute-instance-shielded-not-enabled |
|
|
| VM インスタンスはデフォルトのサービスアカウントを使用しています | gcp-compute-instance-default-service-account |
|
|
| VM インスタンスのシリアルポートアクセスが有効化されている | gcp-compute-instance-ssh-serial-port-enabled |
|
|
| データ | App Engine サービスの転送中の暗号化が有効になっていない | gcp-app-engine-application-service-unencrypted-transport-exists |
|
| BigQuery データセットのデフォルトの暗号化が CMEK で設定されていません | gcp-big-query-dataset-encryption-disabled |
|
|
| BigQuery データセットテーブルが CMEK で暗号化されていません | gcp-big-query-dataset-table-encryption-disabled |
|
|
| クラウド KMS キーローテーションが設定されていません | gcp-kms-key-ring-key-rotation-time-frame |
|
|
| クラウド SQL インスタンスの「クロスデータベースオーナー権限チェーン」フラグが有効になっています | gcp-sql-instance-sql-server-cross-database-implicit-permissions-enabled |
|
|
| Cloud SQL インスタンスの転送中の暗号化が有効になっていない | gcp-sql-instance-https-only-disabled |
|
|
| クラウド SQL インスタンスの「外部スクリプトの有効化」フラグが有効化されている | gcp-sql-instance-sql-server-script-execution-enabled |
|
|
| クラウド SQL インスタンスの「リモートアクセス」フラグが有効になっている | gcp-sql-instance-sql-server-cross-instance-procedure-execution-enabled |
|
|
| Cloud SQL インスタンスの「user options」フラグが有効化されている | gcp-sql-instance-sql-server-user-options-enabled |
|
|
| クラウド SQL インスタンスの自動バックアップが有効になっていません | gcp-sql-instance-backup-disabled |
|
|
| クラウド SQL MySQL インスタンスの「local_infile」フラグが有効化されている | gcp-sql-instance-mysql-load-client-file-enabled |
|
|
| クラウド SQL MySQL インスタンスの「skip_show_database」フラグが有効になっていない | gcp-sql-instance-mysql-list-databases-permission-required-disabled |
|
|
| クラウドストレージのバケットロックポリシーが設定されていない | gcp-storage-bucket-locked-retention-policy-not-enabled |
|
|
| パブリックアーティファクトレジストリ | gcp-artifact-registry-public-access-exists |
|
|
| 公開 BigQuery データセット | gcp-big-query-dataset-public-access-exists |
|
|
| パブリッククラウド KMS キー | gcp-kms-key-ring-key-public-access-exists |
|
|
| パブリッククラウド KMS キーリング | gcp-kms-key-ring-public-access-exists |
|
|
| パブリッククラウドストレージバケット | gcp-storage-bucket-public-access-exists |
|
|
| パブリック KMS キー | gcp-kms-key-public-access-exists |
|
|
| 公開 KMS キーリング | gcp-kms-key-ring-public-access-exists |
|
|
| Public Pub/Sub サブスクリプション | gcp-pub-sub-subscription-public-access-exists |
|
|
| 公開 Pub/Sub トピック | gcp-pub-sub-topic-public-access-exists |
|
|
| IAM | クラウド SQL インスタンスの「コンテナデータベース認証」フラグが有効化されている | gcp-iam-service-account-user-managed-key-exists |
|
| クラウドストレージバケットの統一アクセスポリシーが有効になっていません | gcp-storage-bucket-uniform-access-control-disabled |
|
|
| プロジェクト API キーの API 制限が設定されていません | gcp-api-keys-key-service-restriction-not-exists |
|
|
| プロジェクト API キーのアプリケーション制限が設定されていません | gcp-api-keys-key-client-restriction-not-exists |
|
|
| サービスアカウントはプロジェクト内のすべてのサービスアカウントになりすますことができます | gcp-principal-service-account-wide-scope-impersonate-service-account-action-exists |
|
|
| サービスアカウントにユーザー管理のキーがある | gcp-iam-service-account-user-managed-key-exists |
|
|
| サービスアカウントがプロジェクトで権限がある | gcp-principal-service-account-wide-scope-administrator-role |
|
|
| サービスアカウントユーザーが管理するキーがローテーションされない | gcp-iam-service-account-unrotated-user-managed-key |
|
|
| ユーザーは、プロジェクト内のすべてのサービスアカウントになりすますことができます | gcp-principal-user-wide-scrope-impersonate-service-account-action-exists |
|
|
| Kubernetes | Kubernetes シークレットが CMEK で暗号化されていません | gcp-container-cluster-kubernetes-secret-encryption-disabled |
|
| ログ | 監査ログが有効になっていません | gcp-logging-audit-log-tenant-default-not-enabled |
|
| クラウド SQL インスタンス「3625トレースフラグ」フラグが有効になっていません | gcp-instance-sql-server-log-mask-parameters-disabled |
|
|
| クラウド SQL PostgreSQL インスタンスの「cloudsql.enable_pgaudit」フラグが有効になっていません | gcp-sql-instance-postgresql-audit-disabled |
|
|
| クラウド SQL PostgreSQL インスタンスの「log_connections」フラグが有効になっていません | gcp-sql-instance-postgresql-log-connections-disabled |
|
|
| クラウド SQL PostgreSQL インスタンスの「log_disconnections」フラグが有効になっていません | gcp-sql-instance-postgresql-log-disconnections-disabled |
|
|
| Cloud SQL PostgreSQLインスタンスの「log_error_verbosity」フラグが最小要件を満たさない | gcp-sql-instance-postgresql-log-error-verbosity |
|
|
| クラウド SQL PostgreSQL インスタンスの「log_hostname」フラグが有効になっていない | gcp-sql-instance-postgresql-log-connections-host-name-disabled |
|
|
| クラウド SQL PostgreSQL インスタンス「log_min_duration_statement」フラグが有効化されている | gcp-sql-instance-postgresql-min-duration-log-query-enabled |
|
|
| Cloud SQL PostgreSQLインスタンスの「log_min_error_statement」フラグが最小要件を満たさない | gcp-sql-instance-postgresql-min-log-level-log-query |
|
|
| Cloud SQL PostgreSQLインスタンスの「log_min_messages」フラグが最小要件を満たさない | gcp-sql-instance-postgresql-log-min-level |
|
|
| Cloud SQL PostgreSQLインスタンスの「log_statement」フラグが最小要件を満たさない | gcp-sql-instance-postgresql-statement-log-disabled |
|
|
| ネットワーク | クラウド SQL インスタンスの「ユーザー接続」フラグが最小要件を満たさない | gcp-sql-instance-sql-server-user-max-connections-exists |
|
| クラウド SQL インスタンスのワイドインバウンドインターネットアクセス | gcp-sql-instance-wide-range-inbound |
|
|
| ロードバランサー SSL ポリシーの安全でない通信 | gcp-compute-load-balancer-insecure-ssl-policy |
|
|
| VPC フローログが有効になっていません | gcp-compute-vpc-flow-logs-not-enabled |
|
|
| VPC ネットワークの制限されない ICMP インバウンドインターネットアクセス | gcp-compute-vpc-unrestricted-icmp-inbound-access |
|
|
| VPC ネットワークの制限されない RDP でのインバウンドインターネットアクセス | gcp-compute-vpc-unrestricted-rdp-inbound-access |
|
|
| VPC ネットワークの制限されていない SSH インバウンドのインターネットアクセス | gcp-compute-vpc-unrestricted-ssh-inbound-access |
|
|
| シークレット | App Engine サービスは、機密情報を漏洩しています | gcp-app-engine-application-service-environment-variable-secret-exists |
|
| Cloud Functions でシークレットが公開されています | gcp-functions-function-environment-variable-secret-exists |
|
|
| Cloud Run サービスは、シークレットを漏洩しています | gcp-cloud-run-service-environment-variable-secret-exists |
|
|
| Secret Manager のシークレットのローテーションが設定されていません | gcp-secret-manager-secret-rotation-time-frame |
|
|
| VM インスタンスがシークレットを漏洩しています | gcp-compute-instance-startup-script-secret-exists |
|
OCI
クラウドサイバーエクスポージャー は、次のビルトインポリシーを使用して OCI リソースをスキャンします。
| カテゴリ | 名前 | ID | サポートされているフレームワーク |
|---|---|---|---|
| データ | 起動ボリュームが CMK で暗号化されません | oci-block-storage-boot-volume-default-encryption |
|
| ファイルシステムが CMK で暗号化されていません | oci-fss-file-system-default-encryption |
|
|
| ファイルシステムのルートユーザーアクセスが制限されていない | oci-fss-file-system-mount-target-export-option-identity-squash-root-not-enabled |
|
|
| IAM | パスワード期限切れポリシーが最小要件を満たしていません | oci-iam-domain-password-expiration-policy |
|
| パスワード長ポリシーが最小要件を満たしていません | oci-iam-domain-password-length-policy |
|
|
| パスワード再利用ポリシーが最小要件を満たしていません | oci-iam-domain-password-reuse-policy |
|
|
| ログ | オブジェクトストレージバケットのオブジェクトのログが有効になっていない | oci-object-storage-bucket-log-category-write-not-exists |
|
| ネットワーク | ネットワークセキュリティグループの無制限の RDP インバウンドインターネットアクセス | oci-networking-network-security-group-inbound-rule-subnet-any-rdp-exists |
|
| セキュリティグループの無制限の SSH インバウンドインターネットアクセス | oci-networking-network-security-group-inbound-rule-subnet-any-ssh-exists |
|
|
| セキュリティリストの無制限の RDP インバウンドインターネットアクセス | oci-networking-security-list-inbound-rule-subnet-any-rdp-exists |
|
|
| セキュリティリストの無制限の SSH インバウンドインターネットアクセス | oci-networking-security-list-inbound-rule-subnet-any-ssh-exists |
|
|
| VCN フローログが有効化されていない | oci-networking-vcn-flow-logs-not-enabled |
|
Kubernetes
次のビルトインポリシーは、よくある設定ミスやセキュリティリスクに対して Kubernetes 設定をスキャンします。
| 名前 | ID | サポートされているフレームワーク |
|---|---|---|
| Kubernetes クラスタには、過剰な権限を持つ Role と ClusterRole が含まれています | kubernetes-cluster-pattern-role-exists |
|
| Kubernetes クラスタに、クラスタ管理者ロールを割り当てるロールバインディングが含まれている | kubernetes-cluster-cluster-admin-role-binding-exists |
|
| Kubernetes クラスタにより、デフォルトの名前空間が使用されています | kubernetes-cluster-default-namespace-used |
|
| Kubernetes に特権として実行するコンテナがあります | kubernetes-workload-resource-container-privileged |
|
| Kubernetes 名前空間デフォルトサービスアカウントが頻繁に使用されています | kubernetes-namespace-default-service-account-role-binding-exists |
|
| Kubernetes 名前空間に制限付きポリシーが設定されていません | kubernetes-namespace-restricted-pod-security-standard-not-exist |
|
| Kubernetes 名前空間に機能が割り当てられたコンテナがあります | kubernetes-namespace-workload-resource-container-capability |
|
| Kubernetes Pod に権限昇格を許可するコンテナがあります | kubernetes-namespace-workload-resource-container-privilege-escalation |
|
| Kubernetes Pod にルートユーザーとして実行するコンテナがあります | kubernetes-namespace-workload-resource-container-root-user-enabled |
|
| Kubernetes Pod にホスト IPC 名前空間を共有するコンテナがあります | kubernetes-namespace-workload-resource-host-namespace-inter-process-communication-enabled |
|
| Kubernetes Pod にホストネットワーク名前空間を共有するコンテナがあります | kubernetes-namespace-workload-resource-host-namespace-network-enabled |
|
| Kubernetes Pod にホストプロセス ID 名前空間を共有するコンテナがあります | kubernetes-namespace-workload-resource-host-namespace-process-id-enabled |
|
| Kubernetes Pod に HostPath ボリュームを使用するコンテナがあります | kubernetes-namespace-workload-resource-volume-host-path-exists |
|
| Kubernetes Pod に hostPort を使用するコンテナがあります | kubernetes-namespace-workload-resource-container-host-port-exists |
|
| Kubernetes Pod に書き込み可能なルートファイルシステムを含むコンテナがあります | kubernetes-namespace-workload-resource-container-read-only-root-filesystem-disabled |
|
| Kubernetes Pod に機密性の高いホストファイルシステムがマウントされたコンテナがあります | kubernetes-namespace-workload-resource-volume-sensitive-host-path-exists |
|
| Kubernetes シークレットは環境変数として使用されます | kubernetes-workload-resource-environment-variable-secret-reference |
|
| Kubernetes クラスタ内の過剰な権限を持ちパブリックにアクセスできるグループまたはユーザー | kubernetes-cluster-authentication-principal-role-binding-exists |
|
その他
次のポリシーは、単一のクラウドプロバイダーに固有でない一般的な IaC 設定に適用されます。
| 名前 | ID | サポートされているフレームワーク |
|---|---|---|
| Terraform 設定の DNS データブロック | code-terraform-dns-record-set-exists |
|
| Terraform 設定の外部データブロック | code-terraform-external-exists |
|