よくある質問 - データ保護

回答: サポートされているリソースタイプのリストについては、 スキャン済みリソースタイプを参照してください。

回答: サポートされているファイル形式のリストについては、 スキャン対象ファイル形式参照してください。

回答: サポートされているビルトインデータタイプのリストについては、 スキャン対象データタイプ参照してください。 データ こともできます。

回答: スキャン頻度は、リソースタイプ、サイズ、データの更新などの複数の要因によって異なります。一般的に、スキャンは 2～7 日に 1 回実行されます。この頻度の変更に関する詳細は、 サポートへの問い合わせ。 を参照してください。

回答: リソースがスキャンされるとすぐに 請求対象のリソース 開始されます。次のいずれかが発生した場合

• スキャンは後で無効になる
• リソースがオプトアウトされています
• クラウドサイバーエクスポージャー リソースへのアクセスが失われる

クラウドサイバーエクスポージャー は、通常のスキャンサイクル中に最大 2 回リソースのスキャンを試行します。これらの試行後もリソースがスキャンできない場合、そのリソースは請求レポートから削除されます。

回答: いいえ。テレメトリとメタデータ特定のデータタイプの存在と場所が outpost で収集され、グローバル クラウドサイバーエクスポージャー プラットフォームに送信されますが、機密データが他の場所に保存されることはありません。

回答: はい。 スキャンされたリソースタイプの [インベントリ] ビューで、データカテゴリ情報でフィルタリングすることで、機密データを持つリソースを表示できます。次に、特定のリソースのプロファイルビューで、 [データ] タブに移動します。詳しくは、 データリソース 参照してください。

データ か、 データできます。

データ 、自社に固有の機密データの検出正規表現を定義できます。

はい。 データタイプ を使用して、特定の値をデータタイプの分類から除外できます。

たとえば、そのデータタイプの他のすべての値をスキャンして分類しながら、既知のテストメールアドレス、サービスアカウント、内部識別子を除外することができます。

回答: Tenable は、必要最小限の権限、主に読み取り専用の権限を使用することを目的としています。ただし、一部のサービスでは、間接スキャンを有効にするために制限付きの書き込みアクセス許可が必要です。これらのアクセス許可により、バックアップの作成やネットワークアクセスの調整など、範囲指定された操作が可能になります。

現在は、以下の書き込みアクセス許可が必要です。

回答: いいえ。 クラウドサイバーエクスポージャー は、 OCI テナンシの接続時に定義されているものと同じアクセス許可を使用します。OCI リソースをスキャンするために クラウドサイバーエクスポージャー へのアクセスをすでに設定している場合、データ保護に追加のアクセス許可は必要ありません。

回答: クラウドサイバーエクスポージャー は、クラウドサービスプロバイダー (CSP) 暗号化オプションを利用して、データベースやオブジェクトストレージなどの暗号化されたリソースの DSPM スキャンをサポートします。ただし、顧客が管理するキー (CMK) は現在、スキャンではサポートされていません。

回答: 失敗したスキャンのツールチップに アクセス許可がないことが示されている場合は、データスキャンに データリソースの接続 を確認し、それらがリソースレベルで付与されていることを確認してください。

回答: [Not Supported] ステータスは、設定、暗号化方法またはサービス層が原因で、リソースを現在スキャンできないことを示します。このタイプのリソースにサポートを追加する必要があると思われる場合は、 リクエスト を送信して、当社の製品チームに確認させることができます。詳細については、 サポートされているリソースを参照してください。

回答: 無効の ステータスは、特定のアカウントスコープのスキャン設定で、または データスキャンの除外によって、リソースのデータスキャンがオフになっていることを意味します。スキャンを再度有効にするには、スキャン範囲を確認し、 [データスキャン除外] タブをチェックして、ルールが特定のリソースをターゲットにしているかどうかを確認します。

回答: ブロブコンテナのアクセス許可の問題を解決するには、次の手順を実行してください。

• Tenable データロールと必要なビルトインロール は、リソースレベルで付与されます。
• ブロブコンテナ、そのリソースグループ、またはサブスクリプションで 拒否割り当て がデータアクセスを防止されていません。
• ストレージアカウントのネットワークアクセスが制限されていないある場合は、 データを有効にすることを検討してください。

回答: クラウドサイバーエクスポージャー は、実在する機密データを検出するように設計されています。テスト値 (例: 1234-1234-1234-1234、[email protected]) や既知のテストパターン (公開クレジットカードテスト番号など) は分類されません。同様に、合成データ (機密性の高い値の構造に従いますが、実際の識別子は含まれていないデータ) も分類から除外されます。

これにより、高い精度を確保し、誤検出を減らすことができます。プラットフォームをテストしている場合は、実在するコンテンツに似た実際の (ただし機密性が低い) データサンプルを使用することを推奨します。

クラウドサイバーエクスポージャー は Snowflake のスケジュールされたタスクを使用して、新しく検出されたデータベースを自動的に接続します。タスクを無効化または削除するとスキャンの実行が停止し、 クラウドサイバーエクスポージャー がアカウントのデータ保護の検出結果を更新できなくなります。

アカウントのステータスがデータ保護のアクセス許可なしの場合、以下の手順を実行します。

• 統合スクリプトを再実行し、必要なロールとアクセス許可を再適用します。
• ネットワークアクセスが正しく設定されていて、 クラウドサイバーエクスポージャー の IP アドレスが許可されることを確認します。詳細については、 ネットワークアクセス権の付与を参照してください。

はい。スケジュールされたタスクが有効になっている場合、 クラウドサイバーエクスポージャー は、Marketplace を通じて共有されているものや、他のアカウントから共有されているものを含め、Snowflake で新しく作成されたデータベースを自動的に検出して接続します。

新しい Snowflake アカウントを接続する場合は、必要なアクセス許可を付与し、そのアカウント用の統合プロセスを別途完了する必要があります。

アカウント内スキャンは Snowflake でサポートされていますか?

いいえ。データリソースのアカウント内スキャンは、Snowflake でサポートされていません。すべてのスキャンは、 Tenable One Cloud Exposure が関連するクラウドリージョンから外部で実行します。

Data Protection スキャンは常に、Snowflake アカウントと同じクラウドプロバイダーおよびリージョンから実行されます。

たとえば、Snowflake アカウントが AWS us-east-1にある場合 Tenable は AWS からスキャンします us-east-1。これにより、リージョンが一致することを確認し、データの所在地の要件をサポートします。

クラウドサイバーエクスポージャー で カスタムポリシーテンプレート を使用して、データ境界を定義して適用できます。これらのポリシーは、開発アカウント、パブリックストレージ、その他の認証されていない環境など、定義された境界外や制限された境界内で、秘密データが存在すべきでない場所に秘密データが格納されているのを検出するのに役立ちます。

データのスプロールを監視するには、 [慎重な扱いが必要なデータの監視] カテゴリで、次のいずれかのテンプレートを使用してカスタムポリシーを作成します。

• この機密データはこれらのリソースに存在するべきではありません: 存在すべきでない定義された境界内で機密データが見つかったときに、検出結果を生成します。
• この機密データは、次のリソースにのみ存在する必要があります: 定義された境界外で機密データが見つかった場合に、検出結果を生成します。

1. [リスク] > [クラウドポリシー] に移動し、 [カスタム] タブを開きます。
2. [カスタムポリシーの追加] をクリックします。
3. [Choose Policy Template] (ポリシーテンプレートを選択) 画面で、 [Monitor Sensitive Data] (機密データの監視) を選択します。
4. 関連するテンプレートを選択し、 [Next] をクリックします。
5. ポリシー 名を入力します ( オプション)。
6. [深刻度] を選択します。これは、生成されたときの検出結果の深刻度です。
7. [秘密データ] で、ポリシーを適用するデータの種類を選択します (たとえば、PCI や PII などの特定のカテゴリ) を選択します。
8. [リソース] で、特定のデータリソース、リソースタイプ、タグ別のリソース、ラベル別のリソースなどのリソースを選択して、データ境界を定義します。
9. [Done] をクリックしてポリシーを保存します。

作成後、ポリシーはクラウド環境を継続的に評価し、選択したテンプレートに従って、存在すべきでない場所に保存されている機密データを検出したときに検出結果を生成します。

回答: Snowflake スキャンは、Enterpriseでのみ利用可能です。別のライセンス層を使用している組織の方で、Snowflake のサポートを有効したいという場合は、Tenable の担当者にお問い合わせください。詳細については、ライセンスを参照してください。

いいえ。Workload Protection スキャンが有効になっている場合、 スキャンから仮想マシンを除外する および ワークロード スキャンベースの請求可能なリソースとして請求されます。これらの仮想マシンでデータスキャンを有効にしても、同じ基盤となるスキャンを使用するため、請求可能なリソースの数は増えません。

つまり、Workload Protection が有効になっている場合、データスキャンは既存の仮想マシンの脆弱性スキャンの一部として含まれます。

スキャンベースの請求可能なリソースの詳細については、 ライセンス参照してください。

はい。 Tenable は、アクティブな 仮想マシン と 仮想マシンイメージの 両方をスキャンして、パスワード、API キー、トークンなどの秘密情報や認証情報を含む機密データを取得できます。詳細は、 ワークロードベースのスキャンを参照してください。

VM のデータスキャンは、Workload Protection の設定に関連付けられています。次のデータスキャンを有効にできます。

• スキャンから仮想マシンを除外する
• ワークロード

スキャンが仮想マシンまたはイメージ上の機密データ (パスワード、API キー、トークンなど) を識別する場合、 [機密性が制限されている](/v1/docs/ja/assess-data-scans#sensitivity-levels) データタイプのみが分類されます。検出結果は次のように処理されます。

• 既存の検出結果: 深刻度レベルが 1 レベル上げられましたが、 高に抑えられています。 以下に例を挙げます。
  • 中レベルの 検出結果は、 高にエスカレートされます。
  • [高] および [重大] の 検出結果の深刻度レベルは、そのままです。
• 新しい検出結果: 検出結果は、検出されたデータが [秘密データの監視] テンプレートを使用して クラウドポリシー: カスタム をトリガーする場合にのみ生成されます。この場合、検出結果は、その特定のポリシーで定義された深刻度レベルで作成されます。