無視された検出結果からのパターンベースの除外の作成

目的
無視された検出結果は、多くの場合、一度に 1 つずつ抑制されます。手動による各無視は、共有スコープ、記録上の正当性、有効期限のない判断呼び出しです。それらのほとんどが再訪されます。このプレイブックでは、パターンについて累積された決定を監査し、文書化されたビジネスコンテキストを使用して、繰り返される決定を適切な範囲の除外に変換する方法を示します。

注意: プレイブックは、プラットフォーム内でセキュリティワークフローを運用可能にするためのブループリントです。概説されている手順は、個別に無視された検出結果の管理されていないリストを、明確なビジネス上の正当性のある一連の管理された除外に変える、反復可能な方法を示しています。

ステップ 1: 無視された検出結果のパターンを監査する

除外を作成する前に、すでに無視されているものとその理由を理解しておく必要があります。[無視されたもの] タブには、個別の決定が記録されます。ポリシー別にグループ化すると、ノイズパターンが表示されます。

無視した検出結果を監査する方法

  1. [リスク > クラウドの検出結果] に移動します。
  2. [無視] をクリックします。

  3. [ポリシー別>グループ化] をクリックします。

    カウントが多いと教えてくれること: 無視された検出結果が 20 件以上あるポリシーは、既存の除外が機能しているか、検出結果が一度に 1 つずつ手動で抑制されていることを意味します。どちらもレビューする価値があります。
  4. 無視されたカウントが多いポリシーグループごとに、次のフィルターを一度に 1 つずつ適用します。
    a. [アカウント] でフィルタリングして、ノイズが Dev アカウントや QA アカウントなどの 1 つの環境に集中しているかどうかをチェックします
    b.[サブステータス] でフィルタリングすると、 [設計別]、[例外]、[誤検知] の理由の内訳が表示されます
    c. [リソース] でフィルタリングして、名前が lab-、 test-、 qa-、 sprint- で始まるリソースなど、命名パターンを探します。
  5. 表の右上にある [エクスポート] ボタンをクリックして、フィルタリングされたビューを CSV に保存します。

強力な除外候補となる理由: フィルタリングされた結果から次のシグナルを探します。

  • 同じポリシーが複数のリソースにまたがって繰り返し表示されます。
  • リソースは一貫した命名パターンに従うか、 env:dev などのタグを共有します。
  • 検出結果は 1 つのアカウントまたはフォルダーに集中され、本番環境全体に分散されることはありません。

1 つの Dev アカウントで 50 件の無視された検出結果を含むポリシーが、すべて lab-* という名前のリソースに関するものである場合、それは 1 つの除外を構築する価値があります。

ステップ 2: パターンベースの除外を構築する

繰り返しパターンを特定したら、それを [除外] ページから除外に変換します。[除外] ページでは、範囲、リソースパターンの一致、有効期限、およびビジネス上の正当性を完全に制御できます。[検出結果] ページから直接作成された除外は高速になりますが、設定オプションが少なくて 1 回限りの抑制に最適です。

注意: 新しい除外を作成する前に、既存の除外が検出結果をすでにカバーできるかどうかを確認してください。検出結果の表で、検出結果の横にある三点リーダーアイコンをクリックし、[無視] を選択して、[既存の除外に追加] オプションを探します。互換性のある除外が表示された場合、検出結果を追加します。これにより、除外カウントが不必要に増加するのを防ぐことができます。

パターンベースの除外を作成する方法

  1. [ポリシー] > [除外] に移動します。
  2. [組織] ドロップダウンボックスで、パターンが発生する特定のアカウントまたはフォルダーを選択します。パターンが本当にあらゆる場所に当てはまる場合を除き、組織全体に範囲を限定しないでください。
  3. [除外の追加] をクリックします。アカウントの範囲は、開始後は変更できません。
  4. [名前] ボックスに、検出結果のタイプではなく、ビジネスの文脈を説明する名前を入力します。例: Dev1 のパブリックにアクセス可能な EC2 インスタンス — QA テスト
  5. [説明] ボックスに、理由を入力します。例: 開発アカウントがロードテスト用に EC2 インスタンスを意図的に公開しています。レビューの結果、実稼働には適用できないことを確認しました。オーナー: QA チーム。

  6. [アクション] で、[検出結果を無視] を選択し、[理由] を選択します。

    • 設計上: 構成は意図的なものであり、機能のために必要です。
    • 例外: 修正の進行中は、検出結果が一時的に受け入れられます。
    • 誤検出: 検出結果が不正確または無関係であることが確認されました。

    理由は、この除外がカバーする各検出結果に表示されるサブステータスになります。

  7. [ターゲットの検出結果] で、[タイプ] を [クラウド] に設定します。

  8. [ポリシー] で、[特定のポリシー] を選択し、関連するポリシーを選択します。

    注意: 各除外のスコープを 1 つのポリシーに設定してください。無関係のポリシーを1つの除外に混在させると、対象範囲の重複が生じ、監査が難しく、ステークホルダーに正当化することが難しくなります。

  9. [ターゲット リソース] で、[特定のリソース] を選択し、ワイルドカードを使用して 名前 のパターンを入力します。

    • アスタリスク * は、0 文字以上と一致します。
    • クエスチョンマーク ? 1 文字に一致します。

    たとえば、 lab-* は、名前が lab- で始まるすべてのリソースを対象とします。規則に従わない手動で名前が付けられたインスタンスもキャッチするには、2 番目の条件 OR リソース名が JohnD と等しい。

    重要: 保存する前に、[検出結果のプレビュー] パネルでパターンをテストします。広範囲の除外の prod-* のようなパターンでは、同じ名前プレフィックスを共有する新しく作成された本番リソースが自動的に除外されます。プレビューパネルには、現在ターゲットになっている未解決の検出結果がすべて表示されます。
  10. [有効期限] で、恒久的な設定の場合は [なし] を選択し、既知の終了日がある許容リスクの場合は [有効期限] を選択します。
  11. [検出結果のプレビュー] パネルを確認して、範囲が意図と一致していることを確認します。
  12. [Save] (保存) をクリックします。

保存後、除外は次のスキャンサイクルに有効になります。対象となる検出結果は、サブステータスとして選択した理由とともに、オープンから無視に移動します。