過剰なアクセス許可と非アクティブな ID

注意: この機能は、Cloud Vulnerability Management ライセンスでは使用できません。

クラウド環境で最小権限を適用します。 Tenable One Cloud Exposure [過剰なアクセス許可] ページでは、必要以上のアクセス許可を割り当てられているアイデンティティの内訳を表示し、それらのアイデンティティが組織にもたらすリスクを最小限に抑えることができます。このページには、そのようなアイデンティティのアクティビティステータスに関するインサイトも表示され、 非アクティブなアイデンティティの定義を表示することができます。

過剰なアクセス許可の定義

クラウドサイバーエクスポージャーでは、デフォルトで、サービス ID とユーザーの両方に対する過剰なパーミッションは、過去 90 日間に 使用されなかったパーミッション として定義されます。 アクセス許可使用のラーニング期間 を変更して、この期間を調整できます。

注意: 2025 年 2 月 2 日より前に クラウドサイバーエクスポージャー の作業を開始したお客様については、デフォルト値が異なる場合があります。たとえば、AWS の人のアイデンティティの場合、デフォルトの定義は 180 日間でした。
重要: 権限は、関連する CSP からの 明示的なクラウドログ証拠 に基づくか、 暗黙的な証拠 (つまり、 クラウドサイバーエクスポージャー 権限が過剰である証拠を持たない) のいずれかに基づいて、「使用済み」として決定されます。ログされ アクセス許可マッピングの視覚化 どのように Tenable が過剰な権限と使用を決定する方法に影響を与えるかについての詳細は、ログされない権限を参照してください。

過剰なアクセス許可を持つすべてのアイデンティティには、少なくとも 1 つの検出結果が関連付けられています。これらの検出結果は、多くの場合、「過剰な権限を持つ」ポリシー (過剰な権限を持つ IAM ロールなど) によってトリガーされます。これらの検出結果は、[調査結果] (検出結果) ページで処理できるほか、[権限の過剰付与] (過剰なアクセス許可) ページから表示して、自動的に修正することもできます。

Azure と GCP のアカウントの場合、検出結果はサブスクリプションまたはプロジェクトごとにオープンになります。同じアイデンティティが複数のサブスクリプションまたはプロジェクトに存在する場合、Tenable はサブスクリプションまたはプロジェクトごとに、そのアイデンティティに対する個別の検出結果をオープンします。これらは、[調査結果] (検出結果) ページに個別の項目として表示されます。ただし、[権限の過剰付与] (過剰なアクセス許可) ページでは、そのような複数の検出結果は 1 つのテーブルエントリに統合されます。これに伴い、次の点が変更になります。

  • このページから ID を自動的に修正すると、すべての検出結果が解決されます。
  • そのアイデンティティのアクションを手動でトリガーすると、検出結果ごとに複数のチケットが作成されます。

非アクティブなアイデンティティの定義

クラウドサイバーエクスポージャーでは、デフォルトで、サービス ID とユーザーの両方の非アクティブな ID は、過去 90 日間に アクティビティがなかった ID として定義されます。 アクセス許可使用のラーニング期間 を変更して、この期間を調整できます。

  • 2025 年 2 月 2 日より前に クラウドサイバーエクスポージャー の使用を開始した場合は、デフォルト値が異なる場合があります。たとえば、AWS の人のアイデンティティの場合、デフォルトの定義は 180 日間でした。
  • AWS: クラウドサイバーエクスポージャー は、認証情報の使用やロールを引き受けようとする試みを含む、あらゆるアクティビティを監視します。
  • Azure/Microsoft Entra ID
    • 非アクティブなアプリケーションは、ユーザーまたはサービスプリンシパルのサインインログがないことで識別されますが、非アクティブな管理されたアイデンティティは、サービスプリンシパルのみのサインインログがないことで識別されます。
    • プロビジョニングを実行している非アクティブなアプリケーションは、ポリシーの検出から除外されます。
    • Tenable エンタープライズアプリケーションのアクティビティを監視することはできません。これは、アプリケーションにサインオンイベントがないためです。
  • GCP/Google Workspace: クラウドサイバーエクスポージャー は成功したサインインログとアクティビティの時間をチェックし、使用率を検証します。

未使用ロールの定義

クラウドサイバーエクスポージャーでは、GCP と Azure の未使用のロールが識別され、不要なロールを減らし、クラウド環境のセキュリティと管理性を向上させるのに役立ちます。

ロールにアクティブなバインドや割り当てがない場合、 未使用 としてマークされます。GCP のみ、ロールのバインドすべてに 30 日以上「未使用」としてフラグが立てられている場合、「未使用」としてマークされます。

これにより、使用されなくなったロールを素早く特定して削除できるようになります。非アクティブなアイデンティティや過剰なアクセス許可を把握し、最小権限の適用が可能になります。

権限が過剰なアイデンティおよび非アクティブなアイデンティティの作成を検出する

次の表は、権限のないアイデンティや非アクティブなアイデンティティの検出結果が作成される方法を示しています。

シナリオ 結果
ID が アクティブで あり、 権限があります 権限昇格の結果のみが作成される
アイデンティティは 非アクティブであるが、 権限を昇格されていない 非アクティブな検出結果のみが作成されます。非アクティブなラベルがアイデンティティと関連する検出結果に適用されます。
ID が 非アクティブで あり、 権限が過剰です [過剰な権限] と [非アクティブ] の両方の検出結果が作成されます。非アクティブなラベルがアイデンティティと関連する、過剰な権限を持つ非アクティブな検出結果に適用されます。