除外を監査して維持する

目的
除外が低下します。リソースの名前が変更され、環境が廃止され、かつて有効な例外だったものが、実際の検出結果を隠して静かにデッドカバレッジになります。このプレイブックでは、アクティブな除外の正確性を確認し、スコープのドリフトが複合化する前にキャッチし、有効なビジネスケースを反映していないカバレッジを削除する方法を示します。

ステップ 1: 警告サインがないか各除外を確認する

アクティブな除外を確認する方法

1. [ポリシー] > [除外] に移動します。
2. 表内の除外ごとに、次の 4 つをすべてチェックします。
   1. 検出結果カウントはゼロです。 検出結果をカバーしない除外は、ターゲットとなるリソースがもはや存在しないか、名前のパターンがずれていることを意味する可能性があります。すぐには削除しないでください。最初に除外を無効にし、1 つのスキャンサイクル待機します。検出結果が再オープンされない場合、除外は安全に削除できます。
   2. 有効期限が過ぎているか、7日以内です。 新しい正当な理由で更新するか、有効期限を切れさせて、検出結果が再オープンされるかどうかを確認します。現在の検出結果カウントを最初に確認せずに更新しないでください。
   3. 範囲が元のビジネスケースよりも広い抑止するつもりはなかったアカウントまたはリソース全体の検出結果が除外に含まれるようになった場合は、範囲を絞り込むか、別々の除外に分割します。
   4. 検出結果の数は、作成以来大幅に増加しています。 大幅に増加すると、環境が拡張され、除外が元の正当理由でサポートされる範囲を超える範囲をカバーすることを意味します。同じ範囲で更新する前に、追加の検出結果の範囲とリスクが同等であるかどうかを確認してください。

ステップ 2: 削除する前に無効にする

除外を削除する前に、除外がカバーする検出結果が実際の問題であり、有効な抑制ではないことを確認してください。

除外を安全に削除する方法

1. 除外の横にある三点リーダーアイコンをクリックし、[無効化] を選択します。除外は無効になりますが、表には残ります。
2. 次のスキャンサイクルを待ちます。以前は非表示だった検出結果は、オープンに戻ります。
3. 再オープンされた検出結果を確認します。次のいずれかを行います。
   • 再オープンされた検出結果が修正が必要な実際の問題である場合は、除外を削除します。ライブリスクを隠していたのです。
   • 再オープンされた検出結果が確認された誤検出または許容リスクである場合は、除外を復元するか、より狭い範囲で再構築します。

ステップ 3: 除外の所有権を確認する

自分で作成していない除外の場合は、更新または変更する前に正当性を検証してください。

除外の所有権を確認する方法

1. [除外] テーブルで、各除外の [作成者] 列と [作成時刻] 列を確認します。
2. 明確な説明がない除外については、[説明] フィールドを確認します。正当な理由がないか曖昧な場合は、除外を更新する前に作成者に連絡してください。

3. 除外を作成または変更したユーザーの完全な履歴を表示するには、[Settings > Audit] に移動し、関連する除外アクションでフィルタリングします。たとえば、「Create risk exclusion」と入力します。

   注意: 監査ログには、ユーザー、アクション、タイムスタンプが表示されます。作成者がチームを去ったとき、または除外のビジネス上の文脈が不明確な場合に、所有権を追跡するために使用します。