ネットワークのエクスポージャー

このセクションでは、 Tenable One Cloud Exposure のネットワークエクスポージャー機能の詳細な概要を説明します。

• スキャン設定を構成するには、「 ネットワークスキャナーを参照してください。
• [ネットワークエンドポイント] ページで実行できることについては、「 ネットワークエンドポイント」を参照してください。
• よくある質問については、「 FAQ: ネットワークを参照してください。

クラウドサイバーエクスポージャー のネットワークエクスポージャーは、検証済みの到達可能性モデルを通じて評価されます。モデルはリソースへのアクセスを試み、成功した場合、リソースはパブリックとして分類されます。

このモデルには、次のコンポーネントが統合されています。

• ネットワーク評価: クラウド構成の静的分析により、インターネットに接続している可能性のあるリソースを特定します。
• ネットワークスキャナー: アクティブな接続試行を実行してエクスポージャーを検証する権威コンポーネント。
• ネットワークエンドポイント: 確認された露出された各リソースの、特定のホストとポートの組み合わせのレコード。

これらのコンポーネントを組み合わせることで、誤検出が減り、実際の外部リスクの明確な全体像が得られます。

ネットワーク評価

ネットワーク評価は、潜在的なエクスポージャーを評価するために クラウドサイバーエクスポージャー が使用する初期のコンポーネントです。スキャン方法中に収集されたクラウドリソース設定を分析し、リソースがインターネットに接続しているように見えるかどうかを判断します。

ネットワーク評価の役割は、リソースタイプによって異なります。

• 直接リソース: EC2 インスタンスや RDS データベースなどのリソースの場合、ネットワーク評価は検出メカニズムとして機能し、 ネットワークスキャナーで検証する潜在的なエクスポージャーを特定します。これらのリソースについては、スキャンが成功した後にのみパブリックステータスが確認されます。サポートされているリソースのリストを参照してください。
• 間接リソース: ロードバランサーまたは API ゲートウェイの背後にあるリソースの場合、リソースがパブリックかどうかを判断する主要な方法は依然としてネットワーク評価です。

ネットワーク評価は構成データに依存するため、各サイクルで自動的に実行され、追加の設定は必要ありません。ただし、この方法では、WAF、サードパーティのファイアウォール、マネージドプロキシなどの外部セキュリティレイヤーは考慮できません。

たとえば、EC2 インスタンスは、パブリック IP と、 0.0.0.0/0 からのポート 22 への着信トラフィックを許可するセキュリティグループを使用して起動されます。次のオーケストレーションサイクル中に、 クラウドサイバーエクスポージャー はこの設定を取得し、インスタンスに潜在的に公開されているものとしてフラグを立てます。

インスタンスが接続をブロックするファイアウォールまたはプロキシによって保護されている場合、 ネットワークスキャナー はハンドシェイクを確立できません。この場合、インスタンスは非パブリックとしてマークされます。スキャナーが到達可能性を正常に検証した場合にのみ、リソースはパブリックとして分類されます。

ネットワーク評価の範囲と制限

ネットワーク評価は、すべての 統合クラウドプロバイダーをサポートしています。インターネットに接続している可能性のある次のようなリソースの範囲を評価します。

• パブリック IP を持つ仮想マシンとインスタンス
• ロードバランサーとゲートウェイ。
• クラウドワークロードへのアクセスを制御するその他のネットワークコンポーネント。

制限事項:

• IPv4のサポート: IPv4のみがサポートされています。IPv6 は現在サポートされていません。
• コンテナネットワーキング: Kubernetes サービスとコンテナネットワーキングオブジェクトは現在、評価に含まれていません。
• サードパーティのコントロール: ネットワーク評価では、サードパーティのファイアウォールまたは管理されたプロキシによって制御されているアクセスを検出できません。これらの問題は、到達可能性の検証を通じて、 ネットワークスキャナー によって対処されます。

ネットワークスキャナー

ネットワークスキャナーは、 ネットワークスキャナー、ネットワークエクスポージャー分析の信頼できるコンポーネントになります。ネットワーク評価、インターネットに接続されている可能性があるリソースにフラグが立てられた後、ネットワークスキャナーはインターネットからの直接接続を試行することで、それらのリソースを検証します。

スキャナーは 2 つのレイヤーで動作します。

• トランスポート層: TCP 接続を試みて、リソースがインターネットから到達可能であることを確認します。サポートされているリソース。
• アプリケーション層: 確認された HTTP エンドポイントと HTTPS エンドポイントでサポートされているコンピューティングリソースの場合、スキャナーは HTTP GET リクエストを送信し、HTTP ステータスコード、SSL/TLS プロトコルバージョン、ランディングページのスクリーンショット、HTML レスポンスなどのレスポンスをキャプチャします。サポートされているリソース。

IP アドレスとポートを持つ直接リソースのみがスキャンされます。ロードバランサー (ALB、NLB) や API ゲートウェイの背後にあるリソースなどの間接リソースは現在サポートされておらず、エクスポージャーステータスについては ネットワーク評価 に依存しています。

たとえば EC2 インスタンスには、そのセキュリティグループがポート 443 への 0.0.0.0/0 からの着信トラフィックを許可するため、フラグが立てられます。ネットワークスキャナーがポート 443 への接続を試みます。成功した場合、 クラウドサイバーエクスポージャー は ネットワークエンドポイント を作成し、リソースをパブリックとして分類します。EC2 インスタンスはアプリケーションレイヤーのスキャンもサポートされているため、スキャナーは GET リクエストを送信し、HTTP ステータス、SSL/TLS バージョン、ランディングページのスクリーンショット、HTML レスポンスを記録します。

検出結果の深刻度への影響

ネットワークスキャナーは、検出結果の深刻度に直接影響します。

たとえば、EC2 インスタンスなどのパブリックリソースはパブリックとして分類されました。次の表は、深刻度がどのように影響を受けるかを示しています。

サポートされているリソース

次の直接リソースタイプは、ネットワークスキャナーのトランスポート層やアプリケーション層のスキャンをサポートします。

ネットワークスキャナーは、次のパブリック IP アドレスからトラフィックを送信します。

ネットワークエンドポイント

ネットワークエンドポイントは、ネットワーク評価によってフラグが立てられたリソースがインターネットから到達可能であることをネットワークネットワークスキャナーが確認したときに作成されます。

各ネットワークエンドポイントは、宛先ホスト (IP アドレスまたは DNS 名) とポートの一意の組み合わせを表します。サポートされているコンピューティングリソースの場合、確認済みの HTTP エンドポイントと HTTPS エンドポイントには、スキャナーによってキャプチャされたアプリケーション層データも含まれます。これらのエンドポイントは、直接リソースをパブリックに分類するために検証済み到達可能性モデルに必要な決定論的証拠を提供します。

次の点に注意してください。

• 直接リソースのみ: エンドポイントは、IP アドレスとポートを持つ直接リソースに対してのみ作成されます。
• 分類トリガー: サポートされている直接リソースの場合、ネットワークエンドポイントの存在は、リソースがパブリックとして分類される唯一の方法です。
• 最近の結果: ネットワークエンドポイントには、最新のスキャン結果のみが表示されます。エンドポイントは現在、履歴的に保存されません。
• 検出結果の影響: エンドポイントはスキャン結果であり、検出結果そのものではありませんが、ネットワークベースの検出結果の深刻度が影響を受けるかどうかを決定します。

ネットワークエンドポイントの作成方法

ネットワーク評価、インターネットに接続されている可能性があるリソースにフラグが立てられると、ネットワークスキャナーは直接接続を試みます。

接続の試行が成功した場合、 クラウドサイバーエクスポージャー は特定のホストとポートのネットワークエンドポイントを作成します。この確認された到達可能性により、リソースのステータスは自動的にパブリックに更新され、関連する検出結果の深刻度が調整されます。

HTTP エンドポイントと HTTPS エンドポイントでサポートされているコンピューティングリソースの場合、スキャナーは GET リクエストも送信し、アプリケーション層のレスポンスデータを記録します。

たとえば、EC2 インスタンスには、そのセキュリティグループが 0.0.0.0/0 からのポート 443 への着信トラフィックを許可しているため、フラグが立てられることがあります。スキャナーが正常に接続すると、 クラウドサイバーエクスポージャー レコードがネットワークエンドポイントとして <instance-IP>:443 されます。これにより、リソースが公開されており、アクティブに到達可能として設定されていることが確認されます。これにより、パブリック分類になります。

ポートスキャンロジック

ネットワークスキャナーは 共通サービスポートのリストでリソースをテストします。

• リソースのオープンポートの合計数 (既知とその他) が既知のポートの数以下の場合、スキャナーはそれらすべてをテストします。
• 開いているポートの合計数が既知のポートの数を超えると、スキャナーは既知のポートのみをテストします。

このアプローチにより、過剰なスキャンオーバーヘッドなしで、広い範囲をカバーできます。

共通サービスポート