Security Center:クラウドセキュリティ態勢管理 (CSPM) の概要

クラウド資産に対するセキュリティチェックの実行

• シナリオ：すべてのクラウドリソースに対してセキュリティチェックを実行するには、クラウド製品構成リスクチェックとベースラインリスクチェックを組み合わせて使用できます。

• 手順：

  • 初期評価：100 以上の無料チェック項目を使用して、クラウド製品とサーバーの初期リスクスキャンを実行します。

  • 詳細スキャンと修復：有料版 (従量課金またはサブスクリプション) を有効にすると、すべてのチェック項目を使用して詳細なスキャンを実行し、検出されたリスクを修復できます。

コンプライアンスまたは内部基準への準拠

• シナリオ：MLPS 2.0 などの特定のセキュリティ基準や、組織の内部セキュリティベースライン要件を満たすために、ベースラインリスクチェック機能を使用して、自動化されたコンプライアンス監査と継続的なモニタリングを行うことができます。

• 手順：この機能には、MLPS 2.0 や CIS などの主要な基準に対応した組み込みのコンプライアンスチェックパッケージが含まれており、カスタムポリシーもサポートしているため、自動化されたコンプライアンス監査に最適なオプションです。

内部攻撃パスの分析とブロック

• シナリオ：攻撃パス分析機能を使用して、攻撃者が侵害されたリソースから他の重要な資産へ侵入するために利用できるパスを分析し、ブロックします。

• 手順：この機能は、散在する構成リスクをインテリジェントに結びつけ、完全な攻撃パスを可視化します。例： パブリックアクセス可能な ECS → 高権限の RAM ロールにバインド → すべてのコア OSS バケットを制御可能。

リージョンの制限

製品バージョンの制限

課金の概念

• 課金インスタンス：有料の Agentic CSPM 機能の課金単位です。課金は、課金サイクルごとにスキャン、検証、修復された課金対象のクラウドサービスインスタンスの数に基づきます。1 つの課金サイクル内で複数回のスキャン、検証、修復を行っても、追加料金は発生しません。

  インスタンスとは、Object Storage Service (OSS) のバケット、ECS インスタンス、ECS セキュリティグループなど、特定のネットワークデバイスまたはアプリケーションインスタンスを指します。

  インスタンスは課金対象インスタンスと非課金対象インスタンスに分類されます：

  • 課金対象インスタンス：例として、OSS のバケットや ECS インスタンスなどがあります。

  • 非課金対象インスタンス：例として、ECS セキュリティグループなどがあります。

  例えば、100 個の課金対象インスタンスがあり、1 つの課金サイクル内で 5 回のスキャンを実行した場合、500 インスタンスではなく 100 インスタンスに対して課金されます。

• チェック項目：チェック項目は無料と有料に分類されます。

  • 無料チェック項目：設定のチェック機能は、基本的なリスク認識のためにいくつかの無料チェック項目を提供します。スキャンと検証は無制限に実行できます。課金は、有料チェック項目を使用した修復にのみ適用されます。

    重要

    2023 年 7 月 7 日より前に CSPM (旧クラウド製品構成チェック) の権限を付与したユーザーは、現在のエディションの有効期限が切れるまで、Security Center のエディション (Anti-virus: 80+、Advanced: 90+、Enterprise/Ultimate: 250+) に対応する数の無料チェック項目を引き続き利用できます。

  • 有料チェック項目：対応するエディションを購入するか、別途 Cloud Security Posture Management サービスを有効にする必要があります。料金はエディションのサービスに含まれるか、課金対象インスタンスの数に基づいて請求されます。

課金の詳細については、「課金」をご参照ください。

課金の詳細

Security Center は、サブスクリプションと従量課金の 2 つの課金モデルを提供しています。これらのモデルは、クラウド製品構成リスクチェック、システムベースラインリスクチェック、攻撃パス分析の各機能をカバーしています。以下の表は、各モデルの機能サポートと課金の詳細を説明しています。

課金と権限

• サブスクリプションモデルから従量課金モデルに切り替えることはできますか？

  直接切り替えることはできません。サブスクリプションインスタンスの有効期限が切れるのを待つか、登録を解除してから、従量課金サービスを有効にする必要があります。

  重要

  登録を解除するか、サブスクリプションの有効期限が切れた後、未使用の権限はゼロにリセットされ、移行することはできません。

• スキャンされたインスタンス数がサブスクリプションクォータを超えた場合はどうなりますか？

  • サブスクリプションモデル：

    • 超過分保護が有効な場合 (新規加入者にはデフォルトで有効)：実際にスキャンされたインスタンス数がサブスクリプションクォータを超えると、超過分は自動的に従量課金で請求されます。価格は0.0732 USD/インスタンス/日です。セキュリティチェックは中断されません。

    • 超過分保護がない場合：サブスクリプションクォータが使い果たされると、スキャンタスクは途中で停止します。中断を避けるには、超過分保護を有効にするか、追加のサブスクリプションクォータを購入してください。エディションをアップグレードするか、クォータを追加購入するには、「アップグレード」をご参照ください。

  • 従量課金モデル：インスタンスクォータの制限はありません。システムは、毎日スキャン、検証、または修復された実際の課金対象インスタンス数に基づいて継続的に請求します。

機能の使用方法

• セキュリティ強化のために CSPM を使い始めるにはどうすればよいですか？

  1. 有効化と権限付与：CSPM サービスを有効にし、プロンプトに従ってクラウド製品の管理権限を付与します。

  2. チェック対象資産の追加：ECS や RDS など、チェックしたいクラウド製品インスタンスを Security Center に追加します。

  3. スキャンと修復：チェックポリシーを設定してスキャンを実行します。スキャン完了後、リスクレポートと修復提案に基づいてセキュリティ強化を実施します。

• Security Center を使用してデータベースの構成セキュリティを向上させるにはどうすればよいですか？

  Security Center は、2 つの方法でデータベースのセキュリティを強化します：

  • クラウドセキュリティ態勢管理 (CSPM)：

    • 検出範囲：外部の構成リスクをチェックします。

    • チェック例：アクセス制御ホワイトリストが過度に寛容でないか、自動バックアップとログ監査が有効になっているかなどをチェックします。

  • ベースラインリスクチェック：

    • 検出範囲：データベースのホストサーバーにおける内部のセキュリティ不備をチェックします。

    • チェック例：データベースのログインアカウントが弱いパスワードを使用していないか、サーバー構成がセキュリティのベストプラクティスに従っているかなどをチェックします。

登録解除と無効化

クラウドセキュリティ態勢管理 (CSPM) 機能を無効にするにはどうすればよいですか？

• 無料版：操作は不要です。無料版は限定的な検出機能のみを提供し、料金や権限の消費は発生しません。

• サブスクリプションエディション：注文管理センターで、「エディションのアップグレードまたはダウングレード」の指示に従い、Security Center のエディションを CSPM 機能を含まないものにダウングレードします。

• 従量課金エディション：概要 ページの 従量課金サービスの有効化 エリアで、Cloud Security Posture Management のスイッチをオフにします。