アーキテクチャとデータ処理

Tenable One Cloud Exposure は、API 経由で主要なパブリッククラウドサービスプロバイダーに接続する、クラウドでホストされたプラットフォームに基づいています。クラウドインフラのセキュリティの全体像を形成するために、Tenable はアイデンティティとクラウドプロバイダーを統合します。また、 Tenable はサードパーティのチケッティング、通知、SIEM ツールと統合して、可視性を強化し、修正を容易にします。

次の図は、クラウドサイバーエクスポージャー とお客様の統合システム間の通信フローを示しています。

プラットフォームのコンポーネント

クラウドサイバーエクスポージャー プラットフォームは次のコンポーネントで構成されています。

• サービス
• コンソール
• 公開 API

サービス

クラウドサイバーエクスポージャー は、AWS でホストされているマルチテナントサービスです。このサービスは組織の IdP およびクラウドインフラの環境と統合され、アイデンティティ、権限、リソース、ネットワーク、アクティビティログの設定メタデータを継続的に収集します。収集されたデータは独自のデータ構造で処理および保存され、アイデンティティの権限とアクティビティが詳細に可視化されます。これにより、高度なアイデンティティ分析プロセスが可能になり、アクセス関連の脅威と過剰な権限を修正しやすくなります。クラウドサイバーエクスポージャー ではこのようなリスクを排除するために、適切なサイズの IAM 設定に関する推奨事項が生成されます。クラウドサイバーエクスポージャー では、完全自動化や半自動化にかかわらず、スケーラブルで継続的なリスク修正プロセスをサポートしています。チケッティング、通知、SIEM ツール (Jira、Slack、Splunk など) と統合することで、クラウドサイバーエクスポージャー は組織の自然なワークフローにリスク修正を組み込みます。

コンソール

コンソールは クラウドサイバーエクスポージャー の管理アプリケーションであり、以下をサポートします。

• 組織のクラウドインフラアカウントのオンボーディング
• 容易なクラウドアイデンティティプロバイダーとサードパーティのワークフロー製品との統合
• クラウドインフラ環境におけるリスクと脅威の特定、モニタリング、対策実施、管理、調査、修正

公開 API

公開 API により、プログラム的に クラウドサイバーエクスポージャー サービスと連携することで、クラウド環境のオンボーディングや、アクセス許可、リスク、脅威のエクスポート、多くの文脈による クラウドサイバーエクスポージャー プラットフォームの強化が可能になります。

環境の分析方法

環境内のセキュリティ問題を検出して解決するために、クラウドサイバーエクスポージャー では次の操作が実行されます。

1. リソース、アイデンティティ、アクセス許可、接続を含む、環境のスナップショットを取得します。
   • このプロセスでは、API 経由で環境内のアイデンティティ、アカウント、サービス、リソースのすべてでクエリを実行する必要があります。
   • サービスの多くは一括操作をサポートしていないため、環境内のリソースすべてに対して個別の API 呼び出しをトリガーする必要があります。
   • お客様の環境には、デプロイされたリソースが数百から数百万含まれる可能性があります。
   • すべてのクラウドサービスプロバイダー (CSP) の API は、クォータとスロットリングの対象です。セキュリティツールとして、クラウドサイバーエクスポージャー では API 呼び出しが可能な限り最適化され、スロットリングがお客様の環境に影響を与えないようにします。
   • お客様が生成した API 呼び出しがスロットリングの影響を受けないようにするために、クラウドサイバーエクスポージャー では API 呼び出しのレートを制御するメカニズムを実装しています。
2. 設定ミスや過剰な権限に関連するポリシーを含む、利用可能なポリシーすべてに対する全リソースを分析します。
   • たとえば、アイデンティティが過剰な権限を付与されているかどうかを判断するために、クラウドサイバーエクスポージャー では以下のような幅広い文脈情報が考慮されます。
     1. そのアイデンティティに対してアクセス許可を付与するメカニズム
     2. そのアイデンティティによって過去に実行されたすべてのアクティビティ
     3. どのリソースベースのアクセス許可が利用可能かを判断するため、クラウドサイバーエクスポージャー では環境内の各リソースに関する情報をすべて取得する
   • 評価プロセスは、クロスアカウントアクセスを含め、CSP で利用可能なアイデンティティ、サービス、リソース、アクションのすべてに対して行われます。
   • 必要な文脈を分析せずに、アイデンティティに過剰な権限が付与されているかどうかを判断する方法はありません。
3. 各タイプの分析が完了すると、プラットフォームはどの問題が作成、修正、部分的修正されたか、または変更されていないかを判断し、これらの変更を反映して クラウドサイバーエクスポージャー コンソールを更新します。

データの同期と更新の頻度

クラウドサイバーエクスポージャー は、マルチクラウド環境全体で継続的にデータを同期します。ほとんどの環境では、クラウド環境の規模と必要な分析の量に応じて、完全な分析は数時間で完了します (詳細については、 環境の分析方法 を参照してください)。

データ保持期間と学習期間

データ保持

クラウドサイバーエクスポージャー では、選択したデータオブジェクトのグループについて、次のデータが保持されます。

• 検出結果
  • 未解決の検出結果と無視した検出結果: 無期限
  • 解決済みの検出結果: 365 日
• 監査ログ: 無期限
• 設定スナップショット (IAM リソース): 無期限

• アクティビティログ

  • 最大 30 日: CIEM または Standard ライセンス
  • 最大 90 日: Enterprise ライセンス

  詳細については、「 ライセンス を参照してください。

過剰なアクセス許可

クラウドサイバーエクスポージャー は以下のアクティビティに対して分析期間 (学習期間) をトリガーします。この期間には、過剰なアクセス許可に関連する新しい検出結果は作成されません。

• AWS
  • 新規のユーザーアイデンティティが作成された場合 - 180 日
  • 新規のサービスアイデンティティまたはマシンアイデンティティが作成された場合 - 90 日
• Azure または GCP
  • 新規のアイデンティティが作成された場合 - 90 日

• すべてのクラウドプロバイダー

  • アイデンティティのアクセス許可が変更された場合 - 30 日
    • アイデンティティが非アクティブの場合
      • 最初のアクセス許可が追加されると、Tenable は 30 日の学習期間を実施
      • その後にアクセス許可が変更されても、学習期間の追加実施はなし
    • アイデンティティがアクティブの場合
      • アクセス許可が変更されると、Tenable は 30 日の学習期間を実施するか、追加で 30 日の新しい学習期間を開始
  注意: (Azure)アクセス許可の変更では、分析期間または学習期間はサブスクリプションごとに計算されます。

アクティビティログと異常な動作

クラウドサイバーエクスポージャー は、最大 12 か月分のユーザーアクティビティを分析します。クラウドサイバーエクスポージャー は、アイデンティティについて少なくとも 30 日間学習した後、異常な動作について警告します。特定の動作に対して異常な検出結果がオープンされた後、類似の異常な動作が検出されると、すべて次のように処理されます。

• 30 日以内 - その動作は既存の検出結果に追加され、以前に解決済みとしてマークされていた場合はその検出結果が再オープンされます。
• 30 日経過後 - 新しい検出結果がオープンされます。

許可が必要な Tenable IP アドレス

クラウドサイバーエクスポージャー の適切な機能とネットワークアクセスを確保するために、ファイヤーウォールで特定の IP アドレスを許可する必要がある場合があります。このセクションでは、利用する機能に応じて必要な IP アドレスについて概要を説明します。

• クラウドサイバーエクスポージャー のコアサービス用 IP アドレス
• ワークロード保護用とデータ保護用の追加 IP アドレス

クラウドサイバーエクスポージャー のコアサービス用 IP アドレス

以下のようなさまざまな状況で、クラウドサイバーエクスポージャー のネットワークアクセスを許可するために、ファイヤーウォールで Tenable リージョンに関連付けられた IP アドレスを許可する必要があります。以下に例を挙げます。

• Jira などのオンプレミス開発ツールを使用する場合。
• Kubernetes クラスタを クラウドサイバーエクスポージャー に接続するとき。詳細については、Kubernetesを参照してください。
• VPC Service Controls を使用して、オンボーディングするプロジェクトや組織の Google 管理サービスに対するアクセスを制限する場合。詳細については、VPC Service Control の例外の追加を参照してください。
• ネットワークアクセスに制限のあるコンテナレジストリに関連付けられた Azure コンテナリポジトリを表示するとき。レジストリの ネットワーキング 設定でパブリックネットワークアクセスを設定して、選択されたネットワーク からのアクセスを許可し、関連するアドレスを以下のとおりに追加します。詳細については、関連する Microsoft のドキュメントを参照してください。

上記のいずれの状況においても、以下の表に記載されているように、リージョンに関連付けられている IP アドレスをすべて追加する必要があります。必要に応じて、上記のリンク先ドキュメントの詳細な手順に従ってください。

クラウドサイバーエクスポージャー コンソールへのログインに使用する URL に基づいて、リージョンを特定できます。

詳しくは、リージョン別の Tenable コンソール URL を参照してください。

ワークロード保護用とデータ保護用の追加 IP アドレス

ネットワークポリシーを適用して環境を保護し、ワークロード保護やデータ保護の機能を使用する場合は、スキャン対象のリソースが配置されているリージョンに関連付けられた IP アドレスを、ネットワークポリシーで許可する必要があります。以下のAWS、Azure、GCP、OCI、Alibaba Cloudの関連表を参照してください。

AWS: 追加 IP アドレス

AWS リソースの場合は、スキャン対象のリソースが配置されているリージョンに関連付けられた IP アドレスを許可します。

Azure: 追加 IP アドレス

Azure リソースの場合は、スキャン対象のリソースが配置されているリージョンに関連付けられた IP アドレスを許可します。

GCP: 追加 IP アドレス

GCP リソースの場合は、スキャン対象のリソースが配置されているリージョンに関連付けられた IP アドレスを許可します。

OCI: 追加 IP アドレス

OCI リソースの場合は、スキャン対象のリソースが配置されているリージョンに関連付けられた IP アドレスを許可します。

Alibaba Cloud: 追加の IP アドレス

Alibaba Cloud リソースの場合は、スキャン対象のリソースが配置されているリージョンに関連付けられた IP アドレスを許可します。

許可が必要な Tenable アカウント ID

クラウドサイバーエクスポージャー では複数のアカウント ID を使用して API リクエストを行います。これらの ID を認識することで、以下が保証されます。

• これらの ID から受信した API リクエストを信頼できるものとしてバリデーションできます。このようなリクエストを Tenable が使用するのは、たとえば、オンボーディング目的で環境に接続する際にアカウントのロールを引き継ぐ場合です。
• ワークロード保護を使用する場合、これらの ID をあらゆるアラートやブロックのメカニズムから除外することを検討します。これは、Tenable がスナップショットをスキャン目的でこれらのアカウントと共有するためです。