検出結果の深刻度
異なる色とアイコンを使用して、リソースとアイデンティティが組織にもたらすさまざまなリスクの深刻度レベルを示します。次の表は、各アイコンとそれに対応する深刻度レベル、およびクラウド環境内での意味を示しています。
| ステータス | 説明 | 例 |
|---|---|---|
|
早急なアクションが必要 | 機密データへのアクセス許可を持っている管理者ユーザーがいるが、そのアクセス許可が使用されていない。 |
|
できるだけ早く処理 | 機密データへのアクセス許可を持っている非管理者ユーザーがいるが、そのアクセス許可が使用されていない。 |
|
潜在的なリスク | バケットリストなど、機密性の高いリソースへのアクセス許可を持っているユーザーがいるが、バケットの内容を読み取るアクセス許可は持っていない。 |
|
昇格のモニタリング | 割り当てられたアクセス許可の使用が制限されているユーザーがいる。 |
|
役立つ情報 | 新しい GCP プロジェクトが組織に追加された。 |
動的な深刻度と静的な重大度
各ポリシーには、関連付けられている深刻度レベルがあります。この深刻度レベルによって、ポリシーによってトリガーされる検出結果の深刻度レベルが決まります。
一部のポリシーには 静的な 重大度レベル ([重大]、[高]、[中]、[低]、[情報] のいずれか) がありますが、ほとんどのポリシーには 動的な 重大度レベル 
あります。つまり、ポリシーによってトリガーされる検出結果の深刻度レベルは、検出結果の特定の状況と文脈に応じて動的に決まります。たとえば、使用されていない認証情報を持つ IAM ユーザーを検出するポリシーでは、ユーザーが管理者のアクセス許可を持っている場合は深刻度 [重大]/[高] の検出結果がトリガーされ、ユーザーがセンシティブでないアクセス許可をいくつか持っている場合は深刻度 [低] の検出結果がトリガーされる可能性があります。
IAM 検出結果の深刻度
Tenable One Cloud Exposure は、過剰な権限を持つアイデンティに関連する検出結果のリスクの深刻度を計算して表示します。このセクションでは、異なるクラウドプロバイダー (AWS、 Azure、 GCP) 間での計算方法について説明します。このような検出結果の深刻度は、次の場所の クラウドサイバーエクスポージャー コンソールに表示されます。
- [検出結果] ページの [深刻度] 列の下で、それぞれの検出結果内にある。
- [IAM] > [過剰なアクセス許可] ページの [IAM 検出結果の深刻度] 列詳細は、 過剰なアクセス許可 を参照してください。
- 選択したリソースのそれぞれの検出結果内の、[インベントリ] ページ。
アクティビティカテゴリやカテゴリリスクレベルを含む、特権を持たないアイデンティのアクセス許可分析の詳細については、 アクセス許可の分析とリスクレベル参照してください。
AWS
このセクションでは、権限の昇格された AWS Identity に関連する検出結果のリスクの深刻度の計算方法について説明します。各テーブルは異なるアイデンティティタイプに関連しています。
アクセス許可の深刻度
次の表は、AWS アクセス許可の深刻度レベルがアクション基準から派生し、このセクションのすべてのアイデンティティタイプに関連していることを示しています。
| 基準 | アクセス許可の深刻度 |
|---|---|
| なりすましアクション | 重大 |
| 重大なアクション | 高 |
| 機密性の高いリソースと機密性の高いアクション | 高 |
| アイデンティティは別のアイデンティティを偽装することができます | Dynamic2 |
| 広範なリソースと機密性の高いアクション | 中/高3 |
| 広範なリソースとアクションは危険なカテゴリ1です | 中 |
| その他すべて | 低 |
1 アクセス管理またはインフラストラクチャ書き込み
2 その他のアイデンティの深刻度に応じて
3 アクションの深刻度に基づく
検出結果タイプごとの AWS の深刻度
ユーザーとグループ
この表は、権限のない AWS ユーザーおよびグループに関連付けられている検出結果のリスクの深刻度の計算方法を示しています。計算は、ユーザーのアクセス許可のリスクの深刻度 (詳細については アクセス許可の深刻度 を参照) と認証情報に関連する要素に基づいて行われます。たとえば、あるユーザーのアクセス許可の深刻度が [高] で、ユーザーが MFA が設定されたパスワードを持っている場合、検出結果の深刻度は [中] となります。
| アクセス許可の深刻度 | パスワード/キーなし | MFA のあるパスワード | アクセスキー | MFA とアクセスキーでパスワード | MFA1のないパスワード |
|---|---|---|---|---|---|
| 低 | 低 | 低 | 低 | 低 | 中 |
| 中 | 低 | 低 | 中 | 中 | 中 |
| 高 | 低 | 中 | 高 | 高 | 高 |
| 重大 | 低 | 中 | 高 | 高 | 重大 |
1 アクセスキーの有無
ロール
この表は、権限の昇格された AWS ロールに関連付けられている検出結果についてリスクの深刻度がどのように計算されるかを示しています。計算は、ロールのアクセス許可のリスクの深刻度 (詳細については アクセス許可の深刻度 を参照) に基づいて、他の要素と組み合わせて行われます。たとえば、特定のロールについて、アクセス許可の深刻度が [高] であるのに、そのロールが公開されている場合、検出結果の深刻度は [重大] になります。
| アクセス許可の深刻度 | なしまたは信頼できる外部 | Tenable/Customer によって定義されたサードパーティロール | 不明なアカウント | パブリックコンピューティング | パブリックロール | 脆弱性のあるコンピューティング |
|---|---|---|---|---|---|---|
| 低 | 低 | 中 | 中 | 中 | 中 | 中 |
| 中 | 低 | 中 | 高 | 高 | 高 | 高 |
| 高 | 中 | 高 | 高 | 高 | 重大 | 重大 |
| 重大 | 中 | 重大 | 重大 | 重大 | 重大 | 重大 |
SSO アクセス許可セット
この表は、特権 AWS SSO アクセス許可セットに関連付けられている検出結果についてリスクの深刻度を計算する方法を示しています。計算は、アクセス許可セットのリスクの深刻度 (詳細については アクセス許可の深刻度 参照) に基づいて、リスクの深刻度 (非過剰) と割り当て/アカウントの数を組み合わせて行われます。たとえば、特定のアクセス許可セットでは、アクセス許可の深刻度が [高] であるものの、アクセス許可セットにある割り当ての数が 10 未満、アカウントの数が 10 未満で、そのすべての深刻度が「中」のアクセス許可を持つ場合、検出結果の深刻度は「中」になります。
割り当てられていないアクセス許可セットに関連付けられている検出結果には、深刻度「低」が割り当てられます。
最大 10 個の割り当ておよび最大 10 個のアカウント
| 割り当て/アカウントの深刻度 → (残りのアクセス許可) |
低 | 中 | 高 | 重大 |
|---|---|---|---|---|
| アクセス許可の深刻度 ↓ (アクセス許可を削除) |
||||
| 低 | 低 | 低 | 低 | 低 |
| 中 | 低 | 低 | 低 | 低 |
| 高 | 中 | 中 | 中 | 低 |
| 重大 | 高 | 高 | 高 | 中 |
10 個以上の割り当てまたは 10 つ以上のアカウント
| 割り当て/アカウントの深刻度 → (残りのアクセス許可) |
低 | 中 | 高 | 重大 |
|---|---|---|---|---|
| アクセス許可の深刻度 ↓ (アクセス許可を削除) |
||||
| 低 | 低 | 低 | 低 | 低 |
| 中 | 中 | 中 | 低 | 低 |
| 高 | 高 | 高 | 高 | 低 |
| 重大 | 重大 | 重大 | 重大 | 中 |
未使用のアクセス許可セットが割り当てられた SSO ユーザーおよびグループ
この表は、未使用のアクセス許可セットが割り当てられている AWS SSO グループおよびユーザー に関連する検出結果のリスクの深刻度の計算方法を示しています。計算は、使用済みおよび未使用の AWS SSO アクセス許可セットの割り当てを通じてユーザーが引き受けることができるロールのアクセス許可の深刻度 (詳細については アクセス許可の深刻度 を参照) と、割り当ての数に基づいて行われます。たとえば、グループまたはユーザーに、未使用の深刻度高のアクセス許可セットの割り当てがあり、これは 削除できるが、使用済みの割り当てが 残りのアクセス許可である場合、ユーザーは深刻度中権限のあるロールを引き受け、グループまたはユーザーのアクセス許可が より少ない場合、割り当て数 10、検出結果の深刻度は [中]
削除されたアクセス許可セットの割り当て (未使用のアクセス許可セット) が、グループまたはユーザーに対して有効なアクセス許可を付与しない場合、検出結果の深刻度は [情報] になります。
最大 10 件の割り当て
| 残りのアクセス許可 → | 低 | 中 | 高 | 重大 |
|---|---|---|---|---|
| アクセス許可を削除した ↓ | ||||
| 低 | 低 | 低 | 低 | 低 |
| 中 | 低 | 低 | 低 | 低 |
| 高 | 中 | 中 | 中 | 低 |
| 重大 | 高 | 高 | 高 | 中 |
10 件以上の割り当て
| 残りのアクセス許可 → | 低 | 中 | 高 | 重大 |
|---|---|---|---|---|
| アクセス許可を削除した ↓ | ||||
| 低 | 低 | 低 | 低 | 低 |
| 中 | 中 | 中 | 低 | 低 |
| 高 | 高 | 高 | 高 | 低 |
| 重大 | 重大 | 重大 | 重大 | 中 |
Azure
このセクションでは、権限の過剰な Azure ID に関連する検出結果に対してリスクの深刻度を計算する方法について説明します。
アクセス許可の深刻度
Azure では、アクセス許可の深刻度レベルはアクションベースの基準の組み合わせに基づいて決定されます。これらの基準には、アクションまたはリソースの機密性が高いかどうか、アクセス許可の範囲が広いかどうか、サービスが一般的に使用されているかどうかなどの要素があります。さらに、MFA が有効でない Entra ID ユーザーが見つかった場合、アクセス許可の深刻度レベルは上がります。以下の表は、アクセス許可の [重大] と [高] の深刻度レベルにこうした基準がどのように影響するか、例を示しています。
| 影響を受けるアクションは1 | リソースは重要度高2 | ワイドスコープ3に付与されたアクセス許可 | サービスはインベントリ4でサポートされています | 権限昇格アクション5 | 深刻度 |
|---|---|---|---|---|---|
| ✔ | - | ✔ | - | ✔ | 重大 |
| ✔ | - | ✔ | - | ✗ | 高 |
| ✔ | ✔ | - | ✔ | - | 高 |
1 データの読み取り、データの書き込み、インフラストラクチャの書き込み、アクセス管理、またはなりすましに関連するアクション (約 4,300 件のアクション)
2 ユーザーが 機密度の高いリソースをマークする、または クラウドサイバーエクスポージャー がリソース内の機密データを識別したかどうかに基づいて、
3 広範な範囲: root 管理グループ、管理グループ、サブスクリプション
4 クラウドサイバーエクスポージャー インベントリ
のサービスによると、一般的に使用される Azure サービス5 Microsoft.Authorization/classicAdministrators/write または Microsoft.Authorization/roleAssignments/write
Azure 検出結果の深刻度
このセクションでは、権限の過剰な Azure ID に関連する検出結果に対してリスクの深刻度を計算する方法について説明します。Azure では、検出結果の深刻度は、削除できるアクセス許可の深刻度 と削除後に残るアクセス許可の深刻度 とともに 計算されます。たとえば、ユーザーに削除可能な「低」の深刻度のアクセス許可があり、削除された後でもそのユーザーには「高」の深刻度のアクセス許可があり、変更の影響は低いため、検出結果の深刻度は「低」になります。
この表は、その論理の仕組みを示しています。
| 残りのアクセス許可 → | なし (非アクティブ) | 低 | 中 | 高 | 重大 |
|---|---|---|---|---|---|
| アクセス許可を削除した ↓ | |||||
| 低 | 低 | 低 | 低 | 低 | 低 |
| 中 | 低 | 低 | 低 | 低 | 低 |
| 高 | 高 | 高 | 中 | 低 | 低 |
| 重大 | 高 | 高 | 高 | 中 | 低 |
注意: 以下の条件により、ベースラインの深刻度が 1 レベルだけ上昇します。
- アプリケーションはサードパーティです
- パブリックコンピューティングインスタンスに関連付けられた ID
- 悪用可能な脆弱性のあるコンピューティングインスタンスに関連付けられた ID
- MFA が有効になっていない内部メンバーまたはゲスト
たとえば、本来であれば深刻度が「低」である検出結果が、サードパーティのアプリケーションに関連する場合には「中」として深刻度が割り当てられます。
上記のロジックに関係なく、以下のすべてのシナリオで、検出結果の深刻度は [低] です。
- アプリケーションは無効です
- Microsoft アプリケーション
- 有効なシークレットまたは証明書がないファーストパーティアプリケーション
GCP
このセクションでは、権限のない GCP Identity に関連する検出結果のリスクの深刻度計算方法について説明します。
アクセス許可の深刻度
GCP では、アクセス許可の深刻度レベルはさまざまなアクション基準の組み合わせから派生します。これらの基準には、アクセス許可の範囲が広いかどうかなどがあります。この表は、アクセス許可の深刻度レベルにアクション基準がどのように影響するかを示す例です。
| 機密性の高いリソース/サービスアカウント1 | 機密でないリソース/サービスアカウント1 | 機密性の高いプロジェクトのフォルダーと企業2 | 機密性の高いフォルダーと企業2 | |
|---|---|---|---|---|
| ワイドスコープの権限管理のアクセス許可 3 | - | - | 重大 | 重大 |
| 特別に機密性の高いアクセス許可4 | 高 | 高 | 高 | 高 |
| 機密性の高いアクセス許可5 | 高 | 中 | 高 | 中 |
1 サービスアカウントがリソースとして扱われ、別のプリンシパルがそれを操作するアクセス許可を持っている場合、サービスアカウントのアクセス許可の中で最大の深刻度レベルが適用されます。
2 サービスアカウント、プロジェクトフォルダー、または組織に GcpActions.GcpIam.ServiceAccounts.ImplicitDelegation アクセス許可がある場合、このアカウントは、なりすましが可能なすべてのプリンシパルから間接的なアクセス許可の最も高い深刻度を継承します。
3SetIamPolicy プロジェクトフォルダーおよび組織のアクセス許可を付与します。
4 GcpContainer.Clusters.GetCredentialsなど、機密として定義されているデータ漏洩、インフラ書き込み、アクセス管理、なりすましに関連する 20 個未満のアクセス許可のリスト。
5データ漏洩、インフラに対する書き込み、アクセス管理、またはなりすましに関連するアクション (約 1,800 件のアクション) です。
GCPの所見の重大度
このセクションでは、GCP で権限のないアイデンティの検出結果の深刻度を決定する方法について説明します。深刻度は、次の表に示す アクセス許可の深刻度に基づいて計算されます。アカウントが外部のものかパブリックアクセスを持っているかなどの追加の要因によって、ベースラインの深刻度が上がる可能性があります。
| 過剰なアクセス許可の深刻度 | 検出結果の深刻度 |
|---|---|
| 重大 | 高 |
| 高 | 中 |
| 中 | 低 |
| 低 | 低 |
- 外部エンティティ: ユーザー、サービスアカウント、またはグループは外部です。
- パブリックアクセス: サービスアカウントが有効化され、内部化されていますが、パブリックアクセス権を持つオリジンがあります。
上記のロジックに関係なく、以下のすべてのシナリオで、検出結果の深刻度は [Low] です。
- ユーザーが無効です
- サービスアカウントが無効になっている