エンドツーエンドの検出結果ワークフローのサンプル

以下のサンプルワークフローは、環境内の検出結果を分析して修正するために実行できるアプローチの一例を示しています。この例を使い、検出結果のライフサイクルを順番に説明します。このケースでは、 AWS 本番 環境で深刻度が「重大」である 権限昇格 IAMDemoMaker の 検出結果に焦点を当てます。これらの手順は調整され、他の検出結果タイプ / シナリオに拡張される可能性があります。

  1. Tenable One Cloud Exposure コンソールで、 [リスク] > [クラウドの検出結果] をクリックして、環境内のすべてのクラウド検出結果のリストを表示します。デフォルトのビューでは、検出結果が深刻度レベル順に並べられています。
  2. AWS 本番環境でリソースを探しているため、アカウント別に検出結果の内訳を確認できるように検出結果を表示できます。 [グループ 化] ドロップダウンをクリックし、 [アカウント] をクリックします。

  3. このビューから、[AWS 本番] アカウントを簡単に見つけることができます。ただし、このアカウントに関連付けられている検出結果は 200 件を超えており、実際に探している検出結果を特定するのは簡単ではありません。

    Findings grouped by account, with the Production account highlighted

  4. 深刻度が「重大」の検出結果を検索するので、テーブルの上部にある [深刻度] フィルターを使用して結果を [重大] のみに絞り込むことができます。これにより、検出結果の数が大幅に減少します。

    The Severity filter, with Critical selected

  5. その後、 ポリシー フィルターを使用して、探している検出結果のタイプに従って結果をさらに絞り込むことができます (権限過剰な IAM ユーザー)。これを行うと、数件の結果のみが確認されます。そのうちの 1 つは、探している DemoMaker ユーザーです。

    Filtered findings, with the DemoMaker user's finding highlighted

  6. 検出結果をクリックすると、専用の検出結果ビューにその詳細情報が表示されます。

    The Overprivileged IAM user finding for DemoMaker, with its details

    • この IAM ID は、ポリシーがアクセス許可を付与する 27 サービスのうち 3 つだけを使用していることが判明します。これらのサービス (使用済みと未使用の両方) またはポリシーをクリックすると完全なリストが表示され、過剰となっている特定の権限を詳しく把握することができます。
    • [詳細] セクションで、IAM ID の MFA が有効化されていないことが (および [No MFA] ラベル経由で) 確認でき、検出結果にさらにリスクのレイヤーが追加されます。
  7. [アクセス許可と使用] セクションで、この IAM ID のアクセス許可マッピングを視覚化し、アイデンティティが環境内のロールを引き受けて他のリソースにアクセスする方法をより詳しく把握できます。たとえば、マップをフィルタリングして、重大の深刻度を持つ過剰なアクセス許可を表示することができます。この機能の詳細については、 アクセス許可マッピングの視覚化 参照してください。

  8. 次に、 [修正手順] セクションに移動し、推奨されるアクション項目を確認します。

    A finding's remediation steps, which create a managed policy and remove the user's existing policies

    • クラウドサイバーエクスポージャー では、単一の管理ポリシーを作成して、現在添付されている 10 個のポリシーを置き換えることを推奨していることがわかりました。
    • クラウドサイバーエクスポージャー が過剰なポリシーを削除またはデタッチすることを推奨していることが判明しました。インラインポリシーは簡単に削除できますが、他のアイデンティティに適用されている可能性がある管理ポリシーはデタッチする必要があるでしょう。管理ポリシーが他の場所で使用されていない場合、 Tenable はそれを削除するよう提案しますが、関連する手順詳細ページの [デタッチのみ] ラジオボタンを選択することで、これをオーバーライドできます。

  9. 最初の修正手順の横にある [Diff Diff icon] ボタンをクリックすると、古いポリシーと新しいポリシーの並べ替えが表示されます。[古いポリシー] 領域で、ドロップダウンをクリックして表示する特定のポリシーを選択します。

    The old and new policies side by side, with removed and added permissions highlighted

    クラウドサイバーエクスポージャー 、標準の手順に従って新しいポリシーを構築し、ユーザーが実際に必要とするすべてのアクセス許可を収集して、それらを 1 つのポリシーにまとめます。

  10. 手順を慎重に確認した後、この発見事項を 検出結果の自動修正 意味があると判断しました。手動修正もオプションとしてあり、状況によっては手動の方が妥当ですが、この特定の検出結果タイプのプロセスを自動化すると、軽減プロセスが大幅に簡素化され、関連するクラウドプロバイダーコンソールで多様な (そして多くの場合、複雑な) アクションを実行する必要がなくなります。

  11. 是正措置 Remediate button ボタンをクリックして、自動修正プロセスを開始します。

    The Automatic Remediation window for the DemoMaker user, with the new managed policy

    注意: アカウントのオンボーディング中に Tenable 読み取り専用アクセス許可のみを付与した場合は、修正を完了するために ワンタイム認証情報による修正 ように求められることを示す注意がページの下部に表示されます。
  12. ページ左側にあるさまざまな手順をクリックすると、対象のリソースに関する詳細情報が表示されます。
  13. 新しい管理ポリシーを作成する最初のステップでは、ポリシーを確認し、必要に応じて編集できます ( [編集] をクリックし、関連する変更を行ってから [保存] をクリックします)。たとえば、順序を変更したり、特定のアクセス許可を削除したりすることができます。
  14. 手順を確認したら、 [次へ] をクリックします。
  15. [アクションの概要] ページで、もう一度アクションを確認し、準備ができたら [応募する] をクリックします。