ヘルスチェック

Tenable Identity Exposure のヘルスチェック機能は、ドメインとサービスアカウントの設定を 1 つの統合ビューでリアルタイムで可視化します。そこからドリルダウンして、インフラにおける接続問題やその他の問題につながる設定異常がないか調査することができます。この機能により、すべてが適切に設定され、Tenable Identity Exposure がスムーズに動作することを確認でき、迅速で正確な対応措置を取ることで問題を修正できるようになります。また、Tenable Identity Exposure が効率的に機能するように最適な設定になっているという確信に繋がります。

ヘルスチェックは、管理ロールの場合はデフォルトで、特定のユーザーロールの場合はアクセス許可に応じて表示されます。ヘルスチェックのステータスが変わるたびに、Syslog またはメールアラートを作成することもできます。

ヘルスチェックと DC 同期攻撃の検出

ヘルスチェックは、Tenable Identity Exposure サービスのステータスとユーザビリティに関する貴重な情報を提供してくれます。ヘルスチェックは、サービスアカウントの機能を検証し、特権分析に使用されるパスワードハッシュや DPAPI バックアップキーなどの機密情報を収集します。ヘルスチェックレポートで、Tenable はサービスアカウントに特権分析機能が適切に設定されているかどうかを判断するために、機密データの収集を試みます。特権分析機能が使用されていない場合は何も収集しません。このプロセス中に DCSync 攻撃が検出されるのを防ぐために、Tenable は提供されたサービスアカウントを DCSync の攻撃インジケーターのホワイトリストに自動的に追加します。

ドメインステータス

Tenable Identity Exposure は各ドメインの以下の項目をチェックします。

AD ドメインへの認証 — LDAP 設定とステータス、認証情報、SMB アクセス。
ドメインの到達可能性 — 動的 RPC ポートへの動作中の接続、到達可能な SMB サーバー、到達可能なドメインコントローラーの IP アドレスまたは FQDN、RPC ポートへの動作中の接続、到達可能な LDAP サーバー、到達可能なグローバルカタログ LDAP サーバー。
アクセス許可 — AD ドメインデータにアクセスし、特権データを収集できる。
リレーにリンクされたドメイン — ドメインがリレーサービスに正しく関連付けられている。
攻撃インジケーター: ドメインコントローラーアクティビティ — Tenable Identity Exposure はすべてのドメインコントローラーから Windows イベントログを受信している。
攻撃インジケーター: ドメインのインストール — Tenable IoA GPO 設定が正しいことを確認する。

プラットフォームステータス

Tenable Identity Exposure は、プラットフォーム設定に関して次の項目をチェックします。

リレーサービスの実行 — トラブルシューティングのヒントを使ってリレー設定が正しいかどうか。
リレーバージョンの整合性 — リレーバージョンが Tenable Identity Exposure のバージョンと整合しているかどうか。
AD データコレクターサービスの実行 — データコレクターサービス、ブローカー、コレクターブリッジが動作可能で、データを他のサービスにリレーできるかどうか。

ヘルスチェックにアクセスするには

Tenable Identity Exposure ページの左下隅のアイコンにカーソルを合わせると、インフラのグローバルステータスが表示されます。

このアイコンをクリックすると、[ヘルスチェック] ページが開きます。[ドメインステータス] または [プラットフォームステータス] タブに、次のいずれかが表示されます。

すべてのヘルスチェックに合格したというメッセージ

特定のステータスを示す警告または問題のリスト

	チェックに合格し、正常な結果を示している。
	チェックに不合格となり、問題が特定されている。
	チェックに不合格となったが、この問題は Tenable Identity Exposure の正常な動作を妨げるものではない。たとえば、クライアント側の Active Directory の設定ミスが原因でサービスアカウントが特権データを収集できない場合、データ収集のチェックは不合格になります。ただし、Tenable Identity Exposureのこのドメインで特権分析機能がアクティブ化されていないため、深刻な問題とはなりません。そのため、この警告となっています。しかし、特権分析をアクティブ化すると、チェックは即座に不合格となります。
	依存性チェックで不合格となったため、チェックは不明な結果を示している。たとえば、認証のチェックで不合格になると、ネットワーク到達性のチェックに進めなくなります。

各ヘルスチェックの詳細情報をドリルダウンするには

ヘルスチェックのリストで、ヘルスチェック名または行末の青い矢印 () をクリックします。

[詳細] ペインが開き、チェックの説明と関連する詳細のリストが表示されます。

ヘルスチェック名	タイプ	チェックの説明	詳細
ドメイン到達可能性	ドメイン	AD ドメインとの接続を確立できるか	到達可能なドメインコントローラーの IP アドレスまたは FQDN 到達可能なグローバルカタログ LDAP サーバー到達可能な LDAP サーバー到達可能な SMB サーバーダイナミック RPC ポートへの接続状況 RPC ポートへの接続状況
AD ドメインへの認証	ドメイン	AD ドメインに認証できるか	有効な認証情報アイドル LDAP サーバー利用可能な LDAP サーバー LDAP アクセスが付与されている SMB アクセスが付与されている
AD ドメインデータを収集するためのアクセス許可	ドメイン	AD ドメインデータを収集できるか	特権データを収集するアクセス許可が付与されている
AD コンテナへのアクセス許可	ドメイン	AD コンテナにアクセスできるか	削除されたオブジェクトコンテナへのアクセス許可が付与されているパスワード設定コンテナへのアクセス許可が付与されている
リレーにリンクされたドメイン	ドメイン	ドメインがリレーにリンクされている	ドメインがリレーにリンクされている
IoA - ドメインコントローラーアクティビティ	ドメイン	Tenable Identity Exposure がすべてのドメインコントローラーから Windows イベントログを受信する	非アクティブなドメインコントローラー
IoA - ドメインのインストール	ドメイン	Tenable IoA GPO 設定が正しいことを確認	Tenable IoA GPO が LDAP にある Tenable IoA GPO フォルダーが SYSVOL にある Tenable IoA GPO IoA フォルダーが SYSVOL にある Tenable IoA GPO EVT Subscribe リスナーファイルが SYSVOL にある Tenable IoA GPO 設定ファイルが SYSVOL にある Tenable IoA GPO audit.csv ファイルが SYSVOL にある
リレーサービスの稼働状況	プラットフォーム	リレーが想定通りに動作している	リレーサービス実行中
リレーサービスバージョン	プラットフォーム	リレーバージョンが製品と一致している	リレーバージョンの一貫性
AD データコレクター稼働中	プラットフォーム	AD データコレクターが想定通りに動作している	AD データコレクターブリッジ実行中 AD データコレクターサービス実行中ブローカー実行中
Tenable クラウドと Tenable Identity Exposure サービス間の同期	プラットフォーム	Tenable クラウドの作成されたグループ、アクセス許可、ユーザーが、Tenable Identity Exposure データベースと同期されている	Tenable クラウドの可用性

詳細行の末尾にある矢印をクリックして展開すると、結果に関する情報がさらに表示されます。

ヘルスチェックステータス変更のアラートを設定するには

Tenable Identity Exposure で、左側のナビゲーションバーの [システム] に移動し、[設定] タブを選択します。

または、ヘルスチェックページの右上隅のをクリックし、[アラート] を選択することもできます。
[アラートエンジン] の下にある、[Syslog] または [メール] を選択します。
[Syslog アラートの追加] または [メールアラートの追加] をクリックします。

新しいペインが開きます。完全な手順については、アラートを参照してください。
[アラートパラメーター] の下にある [アラートのトリガー] ボックスで、ドロップダウンメニューから [ヘルスチェックのステータス変更時] を選択します。
[ヘルスチェック] ボックスの矢印をクリックして、アラートをトリガーするヘルスチェックのタイプを選択し、[選択内容でフィルター] をクリックします。
[追加] をクリックします。