FAQ: 脅威の検出と脅威事例

クラウド脅威検出は、 クラウドサイバーエクスポージャー Enterprise ライセンスの一部として含まれています。これらの機能を有効にしても、追加コストは発生せず、請求対象のリソースの数が増えることもありません。

アカウント内スキャンは脅威の検出には関係ありません。アカウント内スキャンは脆弱性とデータのスキャンをお客様のインフラ内でローカルに実行しますが、 Tenable はセンサーアクティビティイベントとクラウドプロバイダーのログを クラウドサイバーエクスポージャー プラットフォームを通じて直接分析することで脅威を検出します。そのため、すべての脅威の特定は、アカウント内のスキャンインフラではなく、 クラウドサイバーエクスポージャー プラットフォーム内で行われます。

回答: はい。 Tenable は、近リアルタイム (NRT) アプローチを利用しています。クラウドイベントとセンサーデータを継続的に収集して処理することで、 Tenable は不審なアクティビティを特定し、特定されたらそれを警告します。

回答: Enterprise / CNAPP Complete ライセンスのデータ保持期間は、データの種類によって異なります。

• クラウドイベント (エージェントレスモニタリング): 90 日
• ランタイムイベント (センサーベースの監視) : 90 日
• 検出: 1 年間

学習期間とは、Tenable が逸脱を正確に特定する前に、アイデンティティの通常の動作のベースラインを確立する必要がある時間のことです。これは、次のソースから表面化した脅威に適用されます。

• クラウドポリシー: 異常検出のポリシー。一致するリソースが [クラウドの検出結果] に表示されます。
• 脅威検出ルール: 動作パターンに基づいて脅威を検出するルールです。ルールに一致する不審なアクティビティは、[脅威検出] の検出として表示されます。

Tenable は、次の学習ライフサイクルに従います。

• 分析期間: Tenable は最大 12 か月分の履歴データを分析し、アイデンティティのベースラインを確立するには少なくとも 30 日間のアクティブな観察を必要とします。
• 反復する動作: 最初の検出結果または検出をオープンした後に、同様の異常な動作が検出された場合
  • 30 日以内: Tenable は既存の検出結果または検出に動作を追加し、以前に解決済みの場合は再度オープンします。
  • 30 日後: Tenable が新しい検出結果または検出を生成します。

カスタム検出ルールは現在製品ロードマップに記載されており、将来の更新プログラムとして利用可能になる予定です。

修正機能は現在製品ロードマップに記載されており、今後の更新プログラムとして利用可能になる予定です。

回答: 脅威検出検出結果に対する API サポートは、現在製品ロードマップに記載されており、今後のアップデートとして利用可能になる予定です。

回答: 脅威検出は、変更されたセキュリティグループなど、クラウドランタイム環境内の疑わしいアクティビティを 1 つ特定します。脅威ストーリーは、共有アクターなどの関連エンティティによって経時的に観察された複数の関連する検出を結び付け、潜在的な攻撃の全範囲を示します。

回答: Tenable は、共有されたコンテキスト データを分析することで、セキュリティ イベントを自動的に関連付けます。このデータには、特定のアクター ID、イベントのタイムフレーム、影響を受けるクラウド リソース、ランタイム クラウド環境全体でのイベントの進行状況が含まれます。

回答: 脅威事例の詳細を表示する ビューを開き、次の手順に従ってイベントを調査します。

• 概要の詳細を確認します。上部のメタデータパネルのすぐ下にある [概要] セクションと [影響] セクションを参照して、何が起きたのか、セキュリティポスチャーにどのような影響を与えるのかを理解します。
• リレーションシップマップを分析する: ページのさらに下にあるインタラクティブなビジュアルグラフを使用して、脅威アクター、脅威ストーリー、影響を受けるリソース間のつながりをトレースします。
• データの検査: ページ下部の [Detections] (検出) テーブルにリストされている個々のレコードを表示して、イベントの各特定のステップを確認します。

回答: はい。脅威ストーリーのワークフローステータスを更新することで、調査を追跡できます。内部のトリアージと修復の取り組みに基づいて、脅威ストーリーが [オープン]、[進行中]、[解決済み] のいずれであるかを反映するようにステータスを設定できます。