クイックスタートガイド

このセクションでは、Tenable One Cloud Exposure でクラウド環境の保護を開始するにあたり、すぐに実行できる基本的な最初の手順の概要を説明します。これらの手順は、クラウドサイバーエクスポージャー を使用するためのクラウド環境のセットアップと重大な問題の対処に焦点を当てており、将来モニタリングや修正に取り組むための土台を構築するのに役立ちます。これらの手順をすべて完了するには、環境の規模や複雑さに応じて数週間またはそれ以上かかる場合があります。

ステップ 1: 環境のセットアップ

以下の手順に従って クラウドサイバーエクスポージャー 環境をセットアップします。

  1. リージョンに基づいて提供された URL を使用して、クラウドサイバーエクスポージャー にログインします。

    詳しくは、リージョン別の Tenable コンソール URL を参照してください。

    リージョン: URL に反映されるリージョンによって、 Tenable APIにアクセスする際に使用される API エンドポイントが決まります。
  2. クラウドアカウントを クラウドサイバーエクスポージャー に接続します。
  3. アイデンティティプロバイダー (IdP) を クラウドサイバーエクスポージャー と統合します。
  4. SSO 経由での Tenable コンソールへのログインを有効化します。
  5. アカウント階層とフォルダーを クラウドサイバーエクスポージャー で行います。
  6. 必要に応じて、ユーザーとグループを追加設定します。
  7. オプションのインバウンドとアウトバウンドの統合を設定します。
  8. 機密度の高いリソースをマークする。一部のリソースは機密性が高いか、機密データを含んでいる可能性があります。以下を行うためには、これらのリソースを クラウドサイバーエクスポージャー 内で機密としてマークすることが重要です。
    • クラウドサイバーエクスポージャー がそのようなリソースに関連付けられた検出結果のリスクを正確に評価できるようにする。
    • そのような検出結果、またはそのリソースにアクセス権を持つアイデンティティの優先度を上げる。

環境をセットアップし、データの同期と更新の頻度と、コンソールに環境の実際のデータが表示され始めます。あと少しで、クラウドサイバーエクスポージャー コンソールを使用してクラウド環境を保護するための作業を開始できます。

コンソールにもう少し慣れたい場合は、コンソールの操作方法、ダッシュボードを管理する方法、データのフィルタリング方法 (クラウドサイバーエクスポージャー 全体が対象) をご確認ください。

重要: クラウドサイバーエクスポージャー では、選択されたデータオブジェクトグループのデータを指定された期間保持します。詳細については、データ保持期間と学習期間を参照してください。

ステップ 2: 関連するセキュリティ領域の所有者の特定

セキュリティチームを構成するユーザーやロール (IAM 担当者、DevSecOps など) について考えてみましょう。クラウドサイバーエクスポージャー で検出されたさまざまなセキュリティの検出結果に対して、チーム全体でどのように所有権を割り当てますか? たとえば、以下を割り当てることができます。

  • 特定のクラウドアカウントまたはアカウントグループの所有者
  • 特定の検出結果のタイプまたはカテゴリの所有者 (IAM 関連の検出結果すべての所有者など)
  • 特定のプロジェクトに属するリソースすべての所有者。この目的のためにタグキーや、値、パターンに基づいてリソースに自動的にラベルを付けるインベントリ (プロパティとラベル)できます。

責任の分担が決まったら、関連する問題について各所有者に通知する方法を考えます。たとえば、次の方法で所有者に通知できます。

自動化ルールによって検出結果を所有者に割り当てる

自動化ルールを使用して、特定の所有権カテゴリに関連するすべての検出結果を適切なユーザーまたはグループに割り当てることができます。割り当てられたユーザーまたはグループは検出結果を詳しく調査し、必要に応じて修正できます。

検出結果を割り当てる方法

  1. サードパーティのチケッティング、通知、または SIEM ツールを クラウドサイバーエクスポージャー に統合します。
  2. 自動化を作成して、特定の検出結果が クラウドサイバーエクスポージャー で作成された際、サードパーティツールにプッシュ通知を送信します。
  3. 自動化ルールに加え、メールや Webhook で検出結果をクラウドの検出結果送信することや、Jira 課題や ServiceNow インシデントを作成することもできます。

所有者に送信するために、レポートの作成をスケジュール化する

セキュリティ問題について関連するステークホルダーに連絡するために、スケジュールされたレポートを作成します。たとえば、経営幹部に送信するマネジメントレポートをスケジュールします。このレポートには、アカウントと全体的なセキュリティポスチャーのスナップショットが提示され、クラウド環境の包括的な概要が含まれます。

クラウドサイバーエクスポージャー でのレポート作成に関する詳細については、レポートを参照してください。

スケジュールされたレポートの作成方法

  1. クラウドサイバーエクスポージャー コンソールで、[ポリシー] をクリックします。
  2. アカウント階層とフォルダー を選択します。選択された範囲内でアクセス許可を持つユーザーがレポートにアクセスできるようになります。
  3. [新規レポート] をクリックします。
  4. ドロップダウンからレポートの レポート を選択します。
  5. レポートに名前を付けます。
  6. 配信時間を設定するため [スケジュール] を選択して、特定の日時にレポートを生成するよう、日次、週次、月次といった頻度を定義します。
  7. 任意で その他の配信方法 を選択して、レポートのコピーを特定の受信者にメールまたは Slack チャンネルで送信します。
  8. [生成] をクリックします。

ステップ 3: 重大な検出結果への対処

環境をセットアップし、セキュリティチームのロールや責任を特定したら、クラウドサイバーエクスポージャー が検出した重大な検出結果に対処し、最も重要なセキュリティ問題への取り組みを始めることができます。重大な検出結果には、広範囲のさまざまなセキュリティ違反が存含まれる可能性があります。Tenable では、次の問題の確認から始めることを推奨しています。

注意: これらの問題タイプには、お使いの環境に関連しないものもあります。所属組織のニーズに応じて、どの問題を対処するか、または優先するか調整してください。必要に応じて、クラウドサイバーエクスポージャー Customer Success チームにお問い合わせください。

サードパーティアクセス

組織はさまざまなサードパーティのツールを利用してサービスを運用しており、専用のクラウドアイデンティティを介してそのようなツールにインフラリソースへのアクセスを許可しています。そのため、どのサードパーティが環境にアクセスでき、どのようなアクセス許可を持っているのか、そしてどのようなリスクがあるのかについて可視化することが大切です。

クラウドサイバーエクスポージャー には、サードパーティアクセスに関連する違反を特定してレビューする方法が複数あります。よくある例をいくつか示します。

機密データへのアクセス権を持つサードパーティアイデンティティの検索

  1. [概要] ダッシュボードに移動します ([ダッシュボード] > [概要])。
  2. [危険な組み合わせ] ウィジェットまで下にスクロールします。
  3. [機密データにアクセスできるサードパーティアイデンティティ] のエントリがある場合は、それをクリックします。
  4. 検出結果のレビューを行います。
  5. 検出結果の修正を行います。

The Toxic Combinations widget, with the 3rd party identities with access to sensitive data entry highlighted

詳細については、ダッシュボードを管理すると危険な組み合わせを参照してください。

過剰な権限を持つサードパーティアイデンティティの検索

  1. [検出結果] に移動します。
  2. [深刻度] フィルターで [重大] を選択し、提示されたリスクに対して早急なアクションが必要な検出結果を表示します。
  3. [ポリシー] フィルターで過剰な権限という単語を検索して、[一致を選択] をクリックします。
  4. [ラベル] フィルターで [サードパーティ] を選択し、サードパーティアプリケーションに関連する検出結果をすべて表示します。
  5. 検出結果をクリックして詳細を確認します。
  6. 検出結果のレビューを行います。
  7. 検出結果の修正を行います。

検出結果の使用方法の詳細については、 検出結果の詳細の表示を参照してください。

MFA を使用しないルートアカウント

ルートアカウントはクラウドアカウントで最高の特権ユーザーです。MFA により攻撃者は機密リソースにアクセスすることが困難になるため、ルートアカウントユーザーの MFA を有効にすることは非常に重要です。

クラウドサイバーエクスポージャー で MFA を使用しない AWS ルートアカウントを見つける方法は複数ありますが、ここでは一般的な例を 1 つ示します。

[検出結果] ページを使用して、MFA を使用しないルートアカウントを特定する

  1. [検出結果] に移動します。
  2. [ポリシー] フィルターで、ルートユーザーの MFA が有効になっていないというポリシーを検索して選択します。
  3. 検出結果をクリックして詳細を確認します。
  4. 検出結果のレビューを行います。
  5. 検出結果の修正を行います。

検出結果の使用方法の詳細については、 検出結果の詳細の表示を参照してください。

一般に公開されているリソース

一般に公開されているリソースは、直ちに攻撃のターゲットになります。クラウドサイバーエクスポージャー を使用して、ネットワークまたは IAM 設定を経由して公開されているリソースを特定します。

クラウドサイバーエクスポージャー で一般に公開されているコンピューティングインスタンスを見つける方法は複数ありますが、ここでは 1 つの一般的な例を示します。

ダッシュボードの [パブリックリソース] ウィジェットを使用してパブリックリソースを素早く表示する

  1. [ダッシュボード] に移動します。
  2. コンソールの上部にある範囲フィルターを使用して、本番アカウントでフィルタリングします。
  3. [パブリックリソース] ウィジェットまで下にスクロールします。
  4. 次のいずれかを行います。
    • ウィジェットの右上にある [さらに表示] をクリックして、パブリックリソースに関連付けられた検出結果をすべて表示する。
    • 関連するリソースタイプのタイルを選択して、そのリソースに関連付けられた検出結果のリストを表示する。
  5. [深刻度] フィルターで [重大] を選択し、提示されたリスクに対して早急なアクションが必要な検出結果を表示します。
  6. 検出結果をクリックして詳細を確認します。以下に例を挙げます。
    • リソースを一般に公開するリソース ACL や ポリシー を表示する。
    • S3 バケットによって公開されている特定のアクセス許可 ( DeleteBucket アクセス許可など) など、関連するコンテキスト情報を表示する。
  7. 検出結果のレビューを行います。
  8. 検出結果の修正を行います。

ダッシュボードとそのウィジェットの詳細については、ダッシュボードを管理するを参照してください。

本番環境で露出しているシークレット

本番環境のリソースでは、パスワードやアクセストークンのような機密データを AWS Secrets Manager や Azure Key Vault などのツールに保存する必要があります。

  1. [ダッシュボード] に移動します。
  2. コンソールの上部にある範囲フィルターを使用して、本番アカウントでフィルタリングします。
  3. [シークレットを露出するリソース] ウィジェットまで下にスクロールします。
  4. 次のいずれかを行います。
    • ウィジェットの右上にある [さらに表示] をクリックして、シークレットを露出しているリソースに関連する検出結果をすべて表示する。
    • ウィジェット内の特定のエントリをクリックして、シークレットを公開している特定のリソースタイプに関連する検出結果を表示する。
  5. 検出結果のレビューを行います。
  6. 検出結果の修正を行います。

本番環境で「高」と「重大」の検出結果

組織の本番環境に持ち込まれる「高」または「重大」のセキュリティ問題の数が増え続けています。上記以外の重大な検出結果や問題に対処したら、Tenable では、本番環境に高深刻度または重大深刻度の検出結果がないか一般的な検索を実行することを推奨しています。重大深刻度の検出結果は、通常、問題に対して早急のアクションが必要であることを示しています。一方、高深刻度の検出結果は、通常、重大ではないものの、できるだけ早く対処する必要がある問題を表しています。

  1. [検出結果] に移動します。
  2. [アカウント] フィルターで関連する各クラウドの本番アカウントを選択します。
  3. [深刻度] フィルターで [高] と [重大] を選択します。
  4. 検出結果のレビューを行います。
  5. 検出結果の修正を行います。

ステップ 4:「容易に解決できる問題」への対処

環境内で最も重大な検出結果に対処したら、次は「容易に解決できる問題」に対処することを Tenable は推奨しています。この文脈で「容易に解決できる問題」とは、容易に修正ができ、不要なリソースを排除して環境をクリーンに保つことができ、解決すれば、組織にとって価値のある成果を迅速にもたらす問題のことを指します。Tenable では、次の問題の確認から始めることを推奨しています。

非アクティブなアイデンティティ

長期間非アクティブになっているユーザー、Microsoft Entra ID アプリケーション、およびサービスアカウントをモニタリングし、修正します。

  1. [検出結果] に移動します。

    注意: 以下の各クエリについて、表示される検出結果の数は環境の仕様が大きく影響します。結果の数やチームが持っているリソースによっては、深刻度フィルター (例: [高] または [重大] の検出結果) を使用してクエリをさらに制限する必要がある場合があります。
  2. MFA が設定されていない非アクティブな IAM ユーザーに関連する検出結果を特定します。
    1. [ポリシー] フィルターで非アクティブな IAM ユーザーのポリシーを検索して選択します。
    2. [ラベル] フィルターで [MFA なし] フィルターを選択します。
  3. アクティブなアクセスキーを持つ非アクティブな IAM ユーザーに関連する検出結果を特定します。
    1. [ポリシー] フィルターで非アクティブな IAM ユーザーのポリシーを検索して選択します。
    2. [ラベル] フィルターで [アクセスキー] フィルターを選択します。
  4. 管理者権限を持つ非アクティブな Azure AD アプリケーションに関連する検出結果を特定します。
    1. [ポリシー] フィルターで、非アクティブな Microsoft Entra ID アプリケーションというポリシーを検索して選択します。
    2. [ラベル] フィルターで [管理者] フィルターを選択します。
  5. アクティブなアクセスキーを持つ非アクティブなサービスアカウントに関連する検出結果を特定します。
    1. [ポリシー] フィルターで、非アクティブなサービスアカウントというポリシーを検索して選択します。
    2. [ラベル] フィルターで [アクセスキー] フィルターを選択します。
  6. 前の手順で検出された各検出結果について、次を実行します。
    1. 検出結果のレビューを行います。
    2. 検出結果の修正を行います。

未使用の認証情報

45 日以上使用されていない認証情報はすべて削除または無効化することが推奨されます。不要な認証情報を無効化または削除すると、攻撃者や内部関係者の脅威アクターが機密リソースにアクセスできる機会を減らします。

  1. [検出結果] に移動します。
  2. [ポリシー] フィルターで IAM ユーザーの未使用パスワードや IAM ユーザーの未使用アクセスキーというポリシーを検索して選択します。
  3. 必要に応じて、テーブルを [高] または [重大] 深刻度でフィルタリングします。
  4. 検出結果のレビューを行います。
  5. 検出結果の修正を行います。

未使用のセキュリティグループ

使用されていないセキュリティグループは削除する必要があります。これは、リソースが誤ってグループにアタッチされ、意図しないネットワークエクスポージャーにつながる可能性があるためです。

  1. [検出結果] に移動します。
  2. [ポリシー] フィルターで未使用のセキュリティグループというポリシーを検索して選択します。
  3. 必要に応じて、テーブルを [高] または [重大] 深刻度でフィルタリングします。
  4. 検出結果のレビューを行います。
  5. 検出結果の修正を行います。

ステップ 5: 検出結果のレビュー

検出結果の修正に進む前に検出結果をしっかりとレビューして、特定のクラウド環境内での検出結果の全体の文脈を理解することが重要です。ほとんどの場合、クラウドサイバーエクスポージャー によって提案された修正手順は、ユーザー側で調整することなくそのまま実装可能であり、一部の検出結果で調整が必要な場合もわずかな調整で済みます。また場合によっては、特定のビジネス面の文脈により、特定のリソースが クラウドサイバーエクスポージャー によって潜在的なリスクとしてフラグを立てられていても、修正する必要がないと判断されることがあります。修正したくない状況の例については、クラウドの検出結果を参照してください。

検出結果のレビュー方法

  1. 関連する検出結果をクリックしてドリルダウンし、検出結果のすべての分析を表示します。
  2. 検出結果の詳細とその他の関連情報を確認して、次の点について理解を深めます。
    • 検出結果の根本的な原因
    • 検出結果の範囲
    • 環境にもたらされる潜在的なリスク
    • 検出結果の深刻度の説明
  3. [修正ステップ] エリアに移動して、記載されている手順をよく確認します。
  4. 検出結果を今すぐ修正しない正当な理由がある場合、以下を行うことができます。

ステップ 6: 検出結果の修正

先行的に軽減手順を適用して、組織のセキュリティリスクを修正します。クラウドサイバーエクスポージャー の修正に関する推奨事項は、実際のサイバーエクスポージャー、設定ミス、過剰でリスクの高い権限、流出した秘密情報、脆弱性などのリスク要因を考慮した、マルチクラウド環境全体の継続的な分析に基づいています。

関連要件を含め、クラウドサイバーエクスポージャー による修正に関する詳細については、検出結果の修正を参照してください。

検出結果の手動修正

検出結果によっては、関連する問題を クラウドサイバーエクスポージャー 以外で修正する方が、検出結果を Tenable で自動的に修正するよりも適切な場合があります。これは特に、Tenable によって自動的に実行された修正が開発者のコードで上書きされる可能性がある、インフラのコード化 (IaC) ワークフローで役立ちます。修正されたポリシーの提案をアタッチすることで、Tenable の推奨事項をコーディング環境に合わせて直接実装できるようになります。

  1. 関連する検出結果をクリックしてドリルダウンします。
  2. 検出結果の詳細ビューで [修正ステップ] エリアに移動し、手順に従って 1 つずつ実行します。

  3. 修正ステップにポリシー変更の提案が含まれている場合、ステップの横に以下のボタンの一部またはすべてが表示され、修正されたポリシーをさまざまな形式で表示およびダウンロードしたり、古いポリシーと新しいポリシーを並べて差分表示したりできます。

    JSON, Diff, Terraform, and CloudFormation icons

    • JSON
    • Diff
    • Terraform
    • CloudFormation

    開発者が手動でコードに適用できるように、これらの提案のコピーを開発者に送信することができます。

  4. 検出結果を修正した後、そのクラウドの検出結果して、[検出結果] ページから削除します。

検出結果の自動修正

クラウドサイバーエクスポージャー では、検出結果を自動的に修正してワンクリック修正が可能になり、リスク緩和のプロセスを効率化できます。 Tenable クラウド環境内で関連する修正手順をプロアクティブに実行することで、時間と労力を節約できます。

関連要件を含め、自動修正に関する詳細については、検出結果の自動修正を参照してください。

検出結果を自動修正する方法

  1. 関連する検出結果をクリックしてドリルダウンします。
  2. 検出結果の [修正] タブで、[修正] ボタンをクリックします。
  3. さまざまなステップをクリックして以下を行います。
    • 問題のリソースに関する詳細情報を表示する。
    • 提案されたポリシー変更の表示と編集を行う。
    • 提案されたポリシー変更を編集する場合は、[編集] をクリックし、関連する変更を加えてから [保存] をクリックする。
    • アクセスキーを無効にするか削除するかを選択する ( IAM ユーザーの未使用の認証情報 ポリシーによってトリガーされる検出結果の場合など)。
  4. [次へ] をクリックします。
  5. アカウントのオンボーディング中に Tenable に読み取り専用のアクセス許可のみを付与した場合、ワンタイム認証情報を Tenable に付与する必要があります。
  6. 適用される手順を確認して、[適用] をクリックします。