Tenable による環境内の脅威の監視方法
必要なライセンス: この機能は Enterprise ライセンスでのみ利用できます。詳細については、ライセンスを参照してください。
Tenable は、クラウドログ内の不審なアクティビティを分析し、ユーザーのアクティビティを観察することで、クラウドインフラとコンテナ化されたワークロードを監視します。監視方法は、環境の種類と、環境全体のアクティブな脅威をほぼリアルタイムで特定するために管理レベルのアクティビティとランタイムアクティビティのどちらを追跡しているかによって異なります。
サポートされている範囲
Tenable は、クラウドプロバイダーとコンテナプラットフォーム全体で脅威検出範囲を提供します。使用する方法は、環境の種類と、検出に必要な特定のログまたはイベントによって決まります。
脅威検出を有効にするアカウントをまだ接続していない場合は、以下の記事を使用して関連するクラウドプロバイダーを接続してください。
| クラウドプロバイダー | 記事 |
|---|---|
| AWS | AWS 組織の接続 |
| Azure | Azure 組織の接続 |
| GCP | GCP 組織の接続 |
次の表は、サポートされているコンテナプラットフォームとそれぞれの監視方法の内訳を示しています。クラスタをまだ接続していない場合は、関連記事を使用してクラスタを接続します。
| 環境タイプ | プラットフォーム | モニタリング方法 |
|---|---|---|
| マネージド (パブリック) | エージェントレス | |
| マネージド (プライベート) | センサーベース(eBPF) | |
| アンマネージド (クラウド) | プライベートマネージドの Kubernetes クラスタの接続 | センサーベース(eBPF) |
| オンプレミス (アンマネージド) | Kubernetes と OpenShift クラスタの接続 | センサーベース(eBPF) |
要件
脅威の検出を有効にするには、クラスタタイプに応じて、関連するアクティビティログをエクスポートするか、Kubernetes センサーをインストールするように環境を設定する必要があります。
クラウドアカウント
クラウドインフラ内の疑わしいアクティビティを監視するには、クラウドプロバイダーアカウントのアクティビティログを有効にする必要があります。これにより、Tenable がクラウド環境全体のイベントを収集して分析できるようになります。次の表は、各クラウドプロバイダーに必要なログの内訳を示しています。
| プラットフォーム | 要件 |
|---|---|
| AWS | AWS CloudTrail を設定する |
| Microsoft Azure | Azure の必要なアクセス許可にアクセスするためのアクセス許可を付与する |
| GCP | Google の必要なアクセス許可にアクセスするためのアクセス許可を付与する |
Kubernetes クラスタ
コンテナ化されたワークロード内の不審なアクティビティを監視し、特定するには、Kubernetes センサーをインストールする必要があります。センサーは、クラウドベースの環境とオンプレミス環境の両方で、Kubernetes クラスタの不審なアクティビティイベントを可視化します。このセンサーをインストールするには、Helm Chart を介してクラスタを接続するを参照してください。
センサーの要件に関する詳細については、「 センサーリソースを参照してください。
モニタリング方法
Tenable では、2 つの主要な脅威検出方法を使用して、ユーザーアクティビティを収集して分析します。
エージェントレス
この方法では、API 統合を使用して、ソフトウェアをインストールすることなくアクティビティログを収集して分析します。
- エージェントレスデプロイメント: API ベースのログ収集を通じて動作し、環境にソフトウェアがインストールされていないことを確認します。
- ユーザーレベルのモニタリング: クラウドインフラ全体の不審なアクティビティを追跡します。
- 一元化された可視性: 接続されているすべてのクラウドアカウントにわたって不審なアクティビティを検出します。
ランタイム検出(eBPF センサーベース)
この方法では、クラスタにセンサーをインストールすることで、ランタイムの可視性を提供します。eBPF テクノロジーを使用して、カーネルレベルでのユーザーアクティビティを監視します。
- 詳細な可視性: クラスタ内のユーザーアクティビティをほぼリアルタイムで可視化します。
- ユーザーレベルのインサイト: クラウドプロバイダーのアクティビティログには表示されないワークロード内の不審なアクティビティを特定します。
- デプロイメント:Tenable の Helm チャートを使用してクラスタ間で簡単にデプロイできます。
セキュリティとプライバシー
次のセクションでは、顧客データを保護し、 Tenable One Cloud Exposure 脅威検出ソリューションの整合性を確保するために実装されているセキュリティとプライバシーの実践方法の概要を説明します。
最低限必要なアクセス許可
Tenable は厳格な 最小権限 セキュリティモデルに従って、効果的な監視に必要なセキュリティコンテキストを維持しながら、セキュリティリスクを軽減します。
- ログ分析: Tenable は、CloudTrail、Azure Monitor、GCP 監査ログなど、クラウドプロバイダーログの収集と分析に必要な最小限AWSクラウドアクセス許可を利用します。
- センサーの監視: ランタイムセンサーは、広範な管理アクセス権を付与せずに、脅威検出アクティビティを監視するために必要な最小限のアクセス許可で設定されます。
データの分離と常駐
- リージョン データ レジデンシー: データは、 Tenable コンテナがデプロイされているリージョン (米国、EMEA、APAC など) に格納されます。これにより、地域のデータ要件へのコンプライアンスを確保でき、セキュリティアクティビティデータを優先地理的境界内に維持できます。
- 安全なログ ストレージ: クラウド ログとイベントは、 Tenable の安全なデータ ストア内に保存されます。
データの暗号化と安全な通信
- 転送中のデータ: ランタイムセンサーアクティビティデータやクラウドイベントログなど、オープンネットワーク間を移動するすべてのデータは、TLS 1.2 以上を使用して暗号化されます。ランタイムセンサーは、 クラウドサイバーエクスポージャー Vulnerability Management および Kubernetes Security Posture Management と同じセキュリティ通信プロトコルを使用します。
- 保存データ: 保存されているすべてのデータとイベント データは AES-256 を使用して保存時に暗号化され、セキュリティ メタデータが不正アクセスから確実に保護されます。