よくある質問: 脆弱性管理

回答: 仮想マシンの検出結果の深刻度は、30 日間連続してシャットダウンされた後にのみ軽減されます。この 30 日のしきい値を過ぎると、VM が停止しても、検出結果は「重大」などの元の深刻度レベル (重大) を保持します。

回答: デフォルトでは、 Tenable は仮想マシンに接続されているルートボリュームと、対象となるルート以外のすべてのボリュームをスキャンします。ボリュームは、サイズが 600 GB を超えない場合に対象となります。

次の制限が適用されます。

• 最大ディスクサイズ: 600 GB (個別のディスク)
• 仮想マシンあたりの最大ボリューム: ルートボリュームを含めて 4

回答: Tenable では、非ルートボリュームに対してオール・オア・ナッシングのアプローチを使用します。仮想マシンごとに、次のいずれか Tenable します。

• ルートボリュームのみをスキャンするか、
• ルートボリュームを、対象となるすべての非ルートボリュームとともにスキャンします

Tenable は、ルートでないボリュームのサブセットはスキャンしません。

ディスク容量が 600 GB を超えるなど、ルートボリュームがスキャンされたものの 1 つ以上の非ルートボリュームがスキップされた場合、仮想マシンのスキャンステータスは 「部分的」 と表示されます。

回答: 仮想マシンのプロファイルページに移動します。[Overview] タブで、[Disks/Volumes] テーブルを表示します。
質問: 非ルートボリュームのスキャンを無効にできますか?

回答: はい。[Settings > Security > Workload] に移動し、[Extended Disk Scanning] をオフに切り替えます。

回答: 非ルートディスクは、[ライセンス] ページの [データディスク] カテゴリで請求されます。このカテゴリは、各クラウドプロバイダー (AWS、Azure、GCP、OCI) に固有です。

回答: Windows OS のバージョン 」と Linux OS のバージョンを参照してください。

回答: Tenable は、前回のスキャンから 24 時間が経過するとすぐに各仮想マシンのスキャンを試みます。

回答: 平均スキャン時間はインスタンス 1 つあたり約 15 分です。この時間は、いくつかの要因が影響する可能性があります。

• AWS スナップショットの制限: AWS では、アカウントあたり最大 20 個のスナップショットを同時に許可します。顧客が開始したスナップショットへの干渉を防ぐために、Tenable ではスナップショット作成を 15 に制限しています。
• スキャンされるインスタンスの数: アカウントあたりのスキャンされるインスタンスが多いほど、各インスタンスのボリュームに独自のスナップショットが必要になるため、スナップショットの作成にかかる時間は長くなります。これにより、特に AWS の同時スナップショットの制限に近づいている場合、遅延が発生する可能性があります。
• インスタンスのボリュームサイズ: ボリュームが大きいほど、スナップショットにかかる時間は長くなります。これがインスタンスの数や AWS の制限と組み合わさると、スナップショットの合計時間に大きく影響する可能性があります。

これにより、システムは、データ同期の完了を待たずに、新たに検出された脆弱性などの技術的なデータをより迅速に表示できるようになります。

はい。根本的な脆弱性がスキャンデータですでに検出または解決されている場合であっても、検出結果はこれまでと同様に、オーケストレーションプロセスの完了後に作成またはクローズされます。

潜在的に。関連する検出結果がリスクビューに反映されるのはデータ同期の完了後のため、その前にスキャンデータに脆弱性が表示されることがあります。

回答: スキャンはエージェントレスであるため、実行中のワークロードに対して比較的透過的です。ボリュームのスナップショットを取得するために使用される メカニズムは、可能な限り無停止です。スナップショットが作成されると、スナップショットは Tenable の環境と共有され (Azure の場合は環境にコピーされます)、ボリュームに変換された後、Tenable マシンによってスキャンされます。後者の手順は、ワークロードにまったく影響を与えません。

回答: はい。スナップショットはスキャンが完了するとすぐに削除され、どのスナップショットも存在する時間が最短になるようにスキャンプロセスが最適化されます。AWS では、誤って削除したスナップショットをごみ箱から復元するための保持ルールを作成した場合、追加コストが発生する可能性があります。価格設定の詳細については AWSドキュメントを参照してください。

回答: スナップショットスキャン費用計算ツールを参照してください。

深刻度メトリクスは、 Tenable One Cloud Exposure コンソールで [Workload > Vulnerabilities] > [Vulnerability Severity Metric] (ワークロード脆弱性の深刻度メトリクス) に移動して選択できます。 Tenable は、選択されたメトリクスに基づいて、CVE とプラグイン両方の深刻度値を動的に更新します。

たとえば [VPR] を選択した場合、すべての CVE とプラグインは、VPR 深刻度がメインの深刻度レベルとして一貫して表示されます。

詳細については、こちらの脆弱性の深刻度のメトリクスを参照してください。

回答: はい。仮想マシンのプロファイルビュー内で、[Workload > Vulnerabilities] に移動し、[Resolved] (解決済み ) フィルターをクリックします。この情報は 30 日間保持されます。

回答: オペレーティングシステムは、正式なサポート終了日の30日前に、サポート終了間近と見なされます。

パッチ未適用のオペレーティングシステムを識別する基準は、オペレーティングシステムによって異なります。

• Windows ワークロード: オペレーティングシステムの未処理の KB 更新が 1 つ以上ある場合に、検出結果が作成されます。
• Linux ワークロード。Tenable は、ほとんどの既知の Linux ディストリビューションをマッピングして、どのパッケージがベース OS イメージの一部であるかを識別しています (Amazon ベースイメージをガイドとして使用)。
  • マップされた Linux ディストリビューションの場合、深刻度が重大または高の脆弱性を持つ OS 関連パッケージが 10 個以上ある場合に検出結果が作成されます。
  • マッピングされていない Linux ディストリビューションの場合、深刻度が重大または高の脆弱性を持つ OS 関連パッケージが 20 個以上ある場合に検出結果が作成されます。

回答: 一般的な修正情報については、 クラウドサイバーエクスポージャー 脆弱性関連の検出結果のリスト API エンドポイントをクエリできます。プラグインの追加情報については、Tenable One get plugin details API エンドポイントをクエリすることもできます。

Tenable は、クラウドマネージドとカスタマーマネージドの両方の AMI をスキャンしますが、スキャンの対象となる基準はイメージタイプによって異なります。

• カスタマーマネージド (プライベート) AMI: 使用状況に関係なく、すべてのイメージがスキャンされます。
• クラウドマネージド (パブリック) AMI: 現在 使用中 (アクティブ) のイメージのみがスキャンされます。

回答: スキャンは同期しますが、通常は非常に高速です。通常、1 分もかかりません。

Tenable は、少なくとも 1 か月分のスキャン履歴を保持します。スキャンの量によっては最大 2 か月分のスキャン履歴を保持します。この期間を変更するには、 サポートへの問い合わせ。

いいえ、CI/CD パイプライン内のコンテナイメージのスキャンに通常、Docker-in-Docker (DinD) は必要ありません。DinD なしでこれらのスキャンを実行する柔軟な方法がいくつかあります。

• コンテナランタイムソケットのマッピング: コンテナランタイムソケット (Docker ソケットなど) をパイプラインコンテナにマッピングして、スキャナーがホストのコンテナデーモンと対話できるようにすることができます。
• イメージをアーカイブとして渡す: コンテナイメージを tar アーカイブまたは同様の形式でスキャナーに渡すことができます。
• リモートからイメージをプルする: スキャナーは、分析のためにリモートレジストリからコンテナイメージを直接プルできます。

いいえ。CI/CD スキャンには画像サイズの制限はありません。

スキャンが 7 日以内に正常に更新されない場合、検出結果は自動的に削除され、古くなった情報が表示されないようになります。コンソールにデータがこの欠落すると、サードパーティ (外部) レジストリの認証情報の有効期限が切れた場合に発生し、自動スキャンが停止する可能性があります。認証情報を更新すると、スキャンプロセスが再起動し、脆弱性データがインベントリに復元されます。

回答: この不一致は、認証情報の有効期限が切れ、Tenable とレジストリ間の接続が中断されたときに発生します。認証に失敗すると、次のようになります。

• レジストリの無効化: レジストリのステータスが [無効] に変わり、脆弱性分析プロセスが停止します。
• スキャンの停止: Tenable はそのリポジトリ内のイメージのスキャンを停止します。
• データ保持: コンテナイメージのスキャン結果が 7 日以内に更新されない場合、Tenable はデータベースから削除します。

回答: はい。 Tenable は、CI/CD パイプライン内の Windows ベースのコンテナイメージスキャンをサポートしています。
質問: 使用済み画像と未使用画像の技術的な違いは何ですか?

回答:Tenable は、アクティブな環境モニタリングに基づいてコンテナイメージの使用量を分類します。

• 使用済み: Tenable は、この特定のイメージを参照する環境でアクティブに実行中またはデプロイされているライブランタイムワークロード (ポッド、タスク、サービスなど) を検出しました。
• 未使用: イメージはコンテナレジストリに存在しますが、最新のインベントリスキャン中にイメージを参照しているアクティブなクラウドワークロード Tenable 見つかりませんでした。

回答: Tenable は、クラウドコネクタとセンサーを介して、レジストリ (AWS ECR、Azure ACR など) とランタイム環境 (Kubernetes、EKS、AKS AWS ECS) の両方からインベントリデータを引き出します。
質問: 画像に最終確認日のタイムスタンプはありますか?

回答: はい。 Last Seen / First Seen タイムスタンプは追跡され、コンソールのリソースサイドパネルで表示したり、 Tenable API 経由でエクスポートしたりできます。
質問: アクティブなイメージまたはデプロイ済みのイメージが未使用と表示されるのはなぜですか?

回答: 既知の環境制限により、画像に未使用のフラグが立てられる可能性があります。

• 一時的なワークロード: 有効期間の短い CronJobs、サーバーレス関数、または Tenable の定期されたインベントリスキャンの間に完了して終了したバッチジョブ。
• 未接続の環境: イメージは、クラウドコネクタ経由で Tenable に接続されていないステージングクラスター、リージョン、またはクラウドアカウントにデプロイされます。
• デプロイ前の段階: イメージは、インフラのコード化 (IaC) テンプレートまたは CI/CD パイプラインでビルドおよび参照されますが、まだライブ環境にデプロイされていません。

いいえ。 Tenable によってレジストリリソースが削除されることはありません。イメージのクリーンアップとライフサイクルの有効期限は、コンテナレジストリ内で設定する必要があります。

回答: Tenable は、前回のスキャンから 24 時間が経過するとすぐに各仮想マシンのスキャンを試みます。

いいえ、コンテナレジストリのスキャンには Docker-in-Docker (DinD) は必要ありません。エージェントレススキャンプロセスでは、コンテナイメージを直接取得し、分析のためにそのレイヤーアーカイブを読み取ります。

スキャンプロセスでは、仮想マシン (VM) の下のイメージとリポジトリ内のイメージを区別します。

VM の下で見つかったコンテナイメージ: 最終更新時刻に関係なく、VM 下のすべての コンテナイメージ がスキャンされます。スキャンが完了すると、脆弱性リストは定期的に更新されます。

リポジトリの下にあるコンテナイメージが見つかりました。スキャンでは最近の使用状況に重点を置き、データの同期と更新の頻度ごとに最新の 10 枚のイメージをターゲットにします。ただし、10 枚のイメージの制限に関係なく、現在使用されているイメージがスキャンに含まれます。

Tenable は、amd64 (x86-64) と arm64 アーキテクチャのスキャンをサポートしています。マルチアーキテクチャイメージに両方が含まれている場合は、最初に見つかったサポート対象のアーキテクチャのみがスキャンされます。

回答: Tenable は、コンテナイメージレジストリ (Amazon ECR など) 内のイメージをスキャンすることで、AWS Fargate コンテナの脆弱性を特定します。次に、Tenable はこれらのスキャン結果を、Fargate タスクをデプロイするために使用される Amazon ECS タスク定義と関連付けて、本番環境のリスクを特定します。

回答: AWS Fargate で実行されているリソースは、イメージスキャンを超えたセキュリティの可視性を提供するため Tenable ライセンス数を消費します。イメージがレジストリレベルでスキャンされる場合でも、 Tenable はライブサービスを継続的に監視し、次について確認できます。

• 設定ミス: セキュリティのベストプラクティスの自動チェック
• アイデンティティ (IAM): Fargate タスクに割り当てられたアクセス許可の分析。
• ネットワークアクティビティ: ネットワーク到達可能性の監視。

回答: はい。Tenable は、コンテナレジストリ内の Windows ベースのコンテナイメージスキャンをサポートしています。

2 つのフィルターは使い分けて使用します。

• アカウントが何を使用しているかを確認するには アカウント に対してグローバル範囲フィルター (ページ上部にある [組織] ドロップダウン) を設定します。これにより、他のアカウントが所有する共有イメージも含めて、アカウントで実行するすべてのコンテナイメージの混合ビューが返されます。
• アカウントが所有するイメージのみを表示する方法 [脆弱性]、[ソフトウェア]、[悪意のあるファイル]、または [コンテナイメージ] ページの表内に [アカウント] フィルターを適用します。

このデータは表からエクスポートできます。スケジュールされた脆弱性レポートでは、範囲フィルターは同じように機能します。範囲を選択すると、イメージが別の範囲に属している場合でも、コンテナイメージを使用するその範囲内のワークロードの脆弱性がレポートから返されます。

探索> Explorer で、次のクエリを作成します。

• 検出: 脆弱性インスタンス
• 各部の説明
  • 解決ステータスはオープンです
  • 以下 を満たすリソース に関連付けられます。
    • のタイプ コンテナ イメージ
    • コンテナリポジトリに含まれている

クラウドサイバーエクスポージャーが知られているレジストリにないコンテナイメージのみ。これには、クラウドベースのレジストリ (Amazon ECR や Azure ACR など) を通じて同期されず、コンテナレジストリ統合 (JFrog や汎用 Docker レジストリなど) を通じて同期されないイメージが含まれます。同期されたレジストリのイメージは、既存のアカウントに関連付けられたままになります。

選択した範囲で使用されたコンテナイメージのすべての脆弱性がレポートに返されます。たとえば、範囲フィルター Org1Account1 の場合、レポートには、Org1Account1 が所有するコンテナイメージと、他のアカウントが所有するが Org1Account1 で使用されているコンテナイメージが含まれます。

[イメージプレースホルダー: Org1Account1 スコープでスケジュールされている脆弱性レポートの例]

返されるコンテナイメージの数は変わりません。同期されていないイメージまたはパブリックイメージに関連付けられているアカウントは、そのようなイメージが コンテナレジストリ アカウントに統合されるため、変更される場合があります。統合でコンテナイメージのアカウントレベルのフィールドが読み取られる場合は、その変更がワークフローに影響するかどうかを確認します。アカウントごとの可視性は、各イメージを実行するワークロードのアカウントから導き出されます。

回答: センサーには、特権アクセス許可 を持つ ClusterRole が必要です。これらのアクセス許可により、センサーは必要なクラスタリソースにアクセスし、Kubernetes 環境全体から包括的なセキュリティデータを収集できるようになります。

Tenable は、1 時間に 1 回、すべてのワークロードのスキャンを試みます。お使いの環境で次に データの同期と更新の頻度 ときに、コンソールがスキャン結果データで更新されます。

はい。エージェントベースの (センサー) スキャンはこのユースケースをサポートします。エフェメラルディスクは、エージェントレススキャンプロセスに必要なスナップショットをサポートしていません。

回答: はい、 Tenable は、OpenShift Container Platform クラスタにデプロイメントするために設計されたオペレーティングシステム Red Hat Enterprise Linux CoreOS (RHCOS) を実行しているワークロードをスキャンします。

回答: Tenable では、最大サイズの 1.5 倍 のディスクストレージを割り当てることをお勧めします。

センサーはコンテナレベルでスキャンを開始します。このプロセスは、コンテナイメージと仮想マシン (VM) を識別します。これには、VM 内に存在するコンテナイメージも含まれます。次に、センサーはファイルシステムを分析して、脆弱性検出用のソフトウェア部品表 (SBOM) を生成します。

回答: はい。 Tenable は、次のシナリオで CMK をサポートしています。

• イメージスナップショットの再暗号化
• アウトポストノードの暗号化 (スキャナーサービス)

回答: はい。 クラウドサイバーエクスポージャー は、次のシナリオで、Amazon Web Services (AWS) および Oracle Cloud Infrastructure (OCI) のカスタマーマネージドイメージをサポートしています。

• Kubernetes ノードの基本イメージとして使用するために選択されたカスタムイメージ

サポートされているシナリオ、必要なアクセス許可、オンボーディングの詳細については、 サポートへの問い合わせ。をご覧ください。

回答: はい。Tenable は、次のシナリオで AWS、GCP、OCI のカスタマーマネージドネットワークをサポートしています。

• カスタム・ネットワーク・アーキテクチャ: 特定の仮想プライベート・クラウド(VPC)または仮想クラウド・ネットワーク(VCN)設定を使用するようにアカウント内スキャンを構成できます。これにより、すべてのスキャントラフィックが、組織の内部ネットワークおよびセキュリティポリシーに準拠していることが保証されます。

サポートされているシナリオ、必要なアクセス許可、オンボーディングの詳細については、 サポートへの問い合わせ。をご覧ください。

回答: Tenable は、仮想マシンがある各リージョンに必要なコンピューティングリソースをプロビジョニングします。詳細については、リージョンごとにプロビジョニングされるリソースとサンプル AWS アーキテクチャを参照してください。

回答: いいえ。アウトポストは、クラウドホスト仮想マシンのスキャンにのみ使用できます。