Security Center:チェックポリシーの設定と実行

仕組み

以下の図は、カスタムチェック項目の設定と使用に関するワークフローを示しています。

カスタムチェック項目の作成と公開

1. 作成ページに移動します。 セキュリティセンターコンソール - リスクガバナンス - CSPM にログインします。 左上隅で、資産が配置されているリージョンとして中国本土または中国本土以外を選択します。 設定のチェック タブで、カスタムチェック項目の作成 をクリックします。

2. 基本情報を設定します。基本情報の設定 タブで、次のパラメーターを設定し、次へ をクリックします。

   パラメーター	説明
   [チェック項目分類の設定項目]	レポートでのフィルタリングを容易にするために、カテゴリを 1 つ以上割り当てます。複数のカテゴリを割り当てるには、追加 をクリックします。
   Use case	検知シナリオのカテゴリ。コンプライアンスリスク、 AISPM、またはセキュリティリスクから選択します。
   [AI 構成管理]	事前定義されたオプションを選択するか、カスタム値を入力します。
   [チェック項目について]	チェック項目について、サービスプロバイダー、対象のクラウドサービス、簡単なルールの説明などを記述します。
   [処分プラン]	チェックによってリスクが検出された場合にユーザーが行う手動の修復手順を記述します。
   [ヘルプリソース]	関連するヘルプドキュメントの URL を記述します。利用できない場合は None と入力します。
   [脅威レベル]	リスクレベル ( [High] 、 Medium 、または Low ) を設定します。リスクレベルの決定方法については、「リスクレベルの評価」をご参照ください。

3. チェック項目ルールを定義します。チェック項目ルールの設定項目 タブで、次の項目を設定し、次へ をクリックします。

   • チェック項目のターゲット： 指定されたサービスプロバイダーにおいてチェックするクラウドサービスのタイプ ( ECS-Instance や OSS-Bucket など) を選択します。

   • 関連資産の設定 (オプション): チェックロジックに関連資産が含まれる場合、関連アセットの追加 をクリックして、資産タイプ (VPC など) をインスタンスオブジェクトのチェック に関連付けます。

     説明

     プロバイダー リストが空の場合、選択した [チェック項目ターゲット] はアセットの関連付けをサポートしていません。利用可能なオプションは、コンソールに表示される内容によって異なります。

     関連アセットを追加する際は、以下のフィールドを設定します。

     フィールド	説明
     [アセットの関連付け]	別のアセットにリンクするために使用される、チェック項目ターゲットのプロパティです。
     [関連パラメーター]	リンクするアセットタイプ。
     Associated Asset Property	関連付け可能な属性にマッピングされる、関連アセットのプロパティです。

   • チェック項目の設定： 条件を使用して検出ロジックを定義します。

     条件は AND/OR ロジックに従います。

     範囲	ルール
     グループ内	条件を AND または OR で接続します。各グループは最大 10 個の条件をサポートします。
     グループ間	グループを AND または OR で接続します。各チェック項目は最大 5 つのグループをサポートします。

     例： 3 つのグループと関係「 group1 AND group2 OR group3 」があり、group1 は内部で AND、group2 は OR、group3 は AND を使用します。

     サポートされている演算子：

     演算子	説明
     In / NotIn	指定されたセットに値が存在するかどうかをチェックします。
     Equals / NotEquals	2 つの値が等しいかどうかをチェックします。

     [ご参考：] パラメーターの横にある アイコンをクリックすると、そのデータ型、例、説明が表示されます。

     「条件設定」エリアで、条件の追加 をクリックし、多階層選択パネルを使用してパラメーターパスをたどります。まず、リソースタイプ (ACS_ECS_Instance など) を選択し、次に属性 (PublicIpAddress など) を選択して展開し、サブ属性 (IpAddress など) の下のターゲットフィールドを選択します。論理演算子を AND に、比較方法を Contains に設定します。

     1. 条件の追加 をクリックして、設定エリアを展開します。

     2. ルールを作成するには、条件の追加 または [グループを追加] をクリックします。

4. ルールをテスト：

   1. チェック項目ルールの設定項目 タブで さらに表示 をクリックします。

   2. さらに表示 エリアで、お使いのアカウントから一致するインスタンス (OSS バケット、ECS インスタンス、Log Service プロジェクトなど) を選択し、さらに表示 をクリックします。

   3. 「[チェック項目は合格しました。]」というメッセージが表示された場合、設定はデータを正しく解析しています。結果が予期しないものである場合は、条件を見直して再度テストしてください。

   4. 結果が期待どおりになったら、保存 をクリックします。

   説明

   保存済みでまだ公開されていないチェック項目は、編集、公開、または削除できます。

5. チェック項目を公開します。チェック項目ルールの設定項目 タブで 公開 をクリックします。 または、カスタムチェック項目リストに移動し、操作する 列の 公開 をクリックします。

   重要

   公開されたチェック項目のみがチェック項目リストに表示され、スキャンで利用できるようになります。公開されたチェック項目は変更できません。公開された項目を編集するには、まず無効化する必要があります。

カスタムチェック項目の管理

クラウドプラットフォーム構成チェックの脅威 ページの右上隅にある カスタムチェック項目の管理 セクションで、カスタムチェック項目を表示、編集、公開、非公開化、または削除します。

ホワイトリストルールの作成

1. リスクガバナンス > 設定のチェック ページで、右上隅の ポリシー管理 をクリックします。

2. [ホワイトリストポリシー] > チェック項目の適用除外 タブで、ホワイトリストポリシーの追加 をクリックします。

3. パネルで、以下を設定し、OK をクリックします。

   重要

   すべてのインスタンスを免除するのはリスクの高い操作です。将来のインスタンスで発生した新しいセキュリティリスクが検出されない可能性があります。正確なホワイトリスト登録には [Specific Instances] を使用し、ホワイトリストルールが引き続き必要であることを確認するために定期的に監査してください。

   パラメーター	説明
   [チェック項目]	スキャンから除外するチェック項目。「チェックルール」をご参照ください。
   [ポリシーの適用範囲]	免除の範囲。

   オプション	動作
   All Instances	このクラウドサービスの既存および将来のすべてのインスタンスをチェックから免除します。関連するリスクはリスクリストに表示されません。
   Specific Instances	選択したインスタンスにのみ免除を適用します。新しいインスタンスは引き続きスキャンされます。

ホワイトリストルールの管理

• ルールの編集または削除： 作成したホワイトリストルールは、 [Cloud Service Check Item Whitelist] リストに表示されます。 [Edit] をクリックして範囲を修正するか、 [Delete] をクリックして免除を削除します。

• 自動同期： リスクの対処中に不合格のチェック項目を手動で対処済みまたはホワイトリストに登録すると、システムは対応するルールをこのリストに自動的に追加します。詳細については、「チェック項目に不合格のクラウドサービスへの対処」をご参照ください。