Google が管理するすべてのコントロールが完全に実装され、継続的に検証されます。コンプライアンスを維持するには、お客様がユーザー アクションを必要とするコントロールを構成して管理する必要があります。詳細については、STIG の責任の共有をご覧ください。
STIG コンプライアンス マトリックス
次の表に、STIG ID、説明、オペレーターによる適用ステータス、お客様の責任要件、重大度を示します。
| STIG ID | セキュリティ管理の説明 | デフォルトで適用 | お客様の責任 | 重大度 |
|---|---|---|---|---|
| V-214151 | データベース ファイルへのアクセスは、関連するプロセスと、承認された管理者権限を持つユーザーに限定する必要があります。 | ○ | いいえ | 中 |
| V-214127 | 外部実行可能ファイルへのアクセスを無効にするか、制限する必要があります。 | ○ | いいえ | 中 |
| V-214154 | 分類された情報（分類レベルやセキュリティ レベルなど）が削除されたときに、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214150 | データベースの内容は、データ転送ポリシーの適用により、不正な情報転送や意図しない情報転送から保護する必要があります。 | いいえ | いいえ | 中 |
| V-214074 | データベース オブジェクト（テーブル、インデックス、ストレージ、トリガー プロシージャ、関数、PostgreSQL 外部のソフトウェアへのリンクなど）は、所有権が承認されたデータベースおよび DBMS プリンシパルが所有する必要があります。 | ○ | いいえ | 中 |
| V-214076 | PostgreSQL 構成ファイルなどのデータベース ソフトウェアは、ホスト OS や他のアプリケーションとは別の専用ディレクトリに保存する必要があります。 | いいえ | いいえ | 中 |
| V-214078 | 権限昇格を伴うソフトウェア モジュール（関数やトリガー プロシージャを含む）の実行は、必要な場合にのみ制限する必要があります。 | いいえ | いいえ | 中 |
| V-214130 | 認証にパスワードを使用する場合、PostgreSQL はパスワードのハッシュ化されたソルト付き表現のみを保存する必要があります。 | ○ | いいえ | 高 |
| V-214056 | 認証にパスワードを使用する場合、PostgreSQL は暗号化されたパスワードのみを送信する必要があります。 | ○ | いいえ | 高 |
| V-214064 | PostgreSQL と関連アプリケーションは、動的コード実行の使用を、それを必要とする状況に限定する必要があります。 | いいえ | いいえ | 中 |
| V-214065 | PostgreSQL と関連するアプリケーションは、動的コード実行を使用する場合、コード インジェクション攻撃を示す可能性のある無効な値について入力データをスキャンする必要があります。 | いいえ | いいえ | 中 |
| V-214066 | PostgreSQL は、組織が定義した監査レコードのストレージ要件に従って、監査レコードのストレージ容量を割り当てる必要があります。 | いいえ | ○ | 中 |
| V-214071 | PostgreSQL は、情報システム セキュリティ マネージャー（ISSM）または ISSM によって任命された個人またはロールのみが、監査対象のイベントを選択できるようにする必要があります。 | いいえ | ○ | 中 |
| V-214129 | PostgreSQL は、組織定義のセキュリティ ラベル値を持つ組織定義のセキュリティ ラベルのタイプをプロセス内の情報に関連付ける必要があります。 | いいえ | ○ | 中 |
| V-214062 | PostgreSQL は、組織で定義されたセキュリティ ラベル値を持つ組織定義のセキュリティ ラベルの種類を、ストレージ内の情報に関連付ける必要があります。 | いいえ | ○ | 中 |
| V-214058 | PostgreSQL は、組織で定義されたセキュリティ ラベル値を持つ組織で定義されたセキュリティ ラベルのタイプを、送信中の情報に関連付ける必要があります。 | いいえ | ○ | 中 |
| V-214147 | PostgreSQL は、組織で定義された条件またはセッションの切断を必要とするトリガー イベントが発生した後、ユーザー セッションを自動的に終了する必要があります。 | ○ | いいえ | 中 |
| V-214096 | PostgreSQL は、権限と許可が取得されたときに監査レコードを生成できる必要があります。 | ○ | いいえ | 中 |
| V-214101 | PostgreSQL は、セキュリティ オブジェクトへのアクセス時に監査レコードを生成できる必要があります。 | ○ | いいえ | 中 |
| V-214048 | PostgreSQL は、ポート、プロトコル、サービス管理（PPSM）カテゴリ保証リスト（CAL）および脆弱性評価で定義されているように、組織で定義された関数、ポート、プロトコル、サービスの使用を禁止または制限するように構成する必要があります。 | ○ | いいえ | 中 |
| V-214063 | PostgreSQL は、組織によって明示的に識別されたものを除き、すべてのデータ入力の有効性を確認する必要があります。 | いいえ | いいえ | 中 |
| V-214131 | PostgreSQL は、PostgreSQL またはデータベースの構成の変更に関連するアクセス制限を適用する必要があります。 | ○ | いいえ | 中 |
| V-214057 | PostgreSQL は、適用されるアクセス制御ポリシーに従って、情報とシステム リソースへの論理アクセスに対して承認された認可を適用する必要があります。 | いいえ | いいえ | 高 |
| V-214136 | PostgreSQL は、PostgreSQL によって保存および使用されるすべての PKI 秘密鍵への承認済みアクセスを適用する必要があります。 | ○ | いいえ | 高 |
| V-214067 | PostgreSQL は、データオーナーが定義した裁量アクセス制御ポリシーを、定義されたサブジェクトとオブジェクトに適用する必要があります。 | ○ | いいえ | 中 |
| V-214156 | PostgreSQL は、データベースへのすべての直接アクセスに対して監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214099 | PostgreSQL は、すべての特権アクティビティまたはその他のシステムレベルのアクセスについて監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214088 | PostgreSQL は、ユーザーがデータベースにアクセスした開始時刻と終了時刻を示す監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214085 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）にアクセスしたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214108 | 分類された情報（分類レベルやセキュリティ レベルなど）が変更された場合、PostgreSQL は監査レコードを生成する必要があります。 | いいえ | ○ | 中 |
| V-214103 | PostgreSQL は、同じユーザーが異なるワークステーションから同時にログインして接続した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214090 | PostgreSQL は、権限が追加されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214102 | 権限と権限が削除されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214105 | PostgreSQL は、権限が変更されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214093 | セキュリティ オブジェクトが削除されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214107 | セキュリティ オブジェクトが変更されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214155 | オブジェクトへのアクセスが成功した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214092 | PostgreSQL は、ログインまたは接続が成功したときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214098 | オブジェクトへのアクセスが失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214100 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）へのアクセス試行が失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214086 | PostgreSQL は、セキュリティ オブジェクトへのアクセス試行が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214110 | PostgreSQL は、権限の追加に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214091 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）の削除に失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214095 | 権限と権限の削除が失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214104 | セキュリティ オブジェクトの削除が失敗した場合は、PostgreSQL が監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214106 | PostgreSQL は、特権アクティビティやその他のシステムレベルのアクセスを試みて失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214097 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）の変更が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214109 | PostgreSQL は、権限の変更に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214089 | セキュリティ オブジェクトの変更が失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214094 | PostgreSQL は、権限と許可の取得に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214087 | PostgreSQL は、ログインまたは接続の試行が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214115 | PostgreSQL は、監査レコードとアプリケーション データのタイムスタンプを 1 秒以上の粒度で生成する必要があります。 | ○ | いいえ | 中 |
| V-214139 | PostgreSQL は、組織が定義した情報システム コンポーネントに保存されている組織が定義した情報の不正な開示を防ぐ暗号メカニズムを実装する必要があります。 | ○ | いいえ | 中 |
| V-214124 | PostgreSQL は、組織が定義した情報システム コンポーネントで、組織が定義した保存データの不正な変更を防ぐための暗号メカニズムを実装する必要があります。これには、少なくとも PII と機密情報が含まれます。 | ○ | いいえ | 中 |
| V-214117 | PostgreSQL は、NIST FIPS 140-2 または 140-3 で検証された暗号モジュールを実装して、暗号学的ハッシュを生成および検証する必要があります。 | いいえ | いいえ | 高 |
| V-214119 | PostgreSQL は、データ所有者の要件に従って、機密性と暗号化による保護を必要とする未分類情報を保護するために、NIST FIPS 140-2 または 140-3 認証取得済みの暗号モジュールを実装する必要があります。 | いいえ | いいえ | 高 |
| V-214077 | PostgreSQL は、タイプ、場所、またはサブジェクトによって識別される監査イベントの監査レコードに、組織が定義した追加の詳細情報を含める必要があります。 | いいえ | ○ | 中 |
| V-214123 | PostgreSQL は起動時にセッション監査を開始する必要があります。 | ○ | いいえ | 中 |
| V-214052 | PostgreSQL は、すべてのユーザー、グループ、ロール、その他のプリンシパルに対してアカウント管理と自動化を提供する組織レベルの認証とアクセス メカニズムと統合する必要があります。 | いいえ | いいえ | 高 |
| V-214140 | PostgreSQL は、ユーザーのログアウト時やその他のセッション終了時にセッション識別子を無効にする必要があります。 | ○ | いいえ | 中 |
| V-214081 | PostgreSQL は、セキュリティ機能をセキュリティ以外の機能から分離する必要があります。 | ○ | いいえ | 中 |
| V-214055 | PostgreSQL は、関数とトリガーを変更する権限と、PostgreSQL 外部のソフトウェアへのリンクを制限する必要があります。 | ○ | いいえ | 中 |
| V-214059 | PostgreSQL は、すべてのアカウントとアカウント タイプについて、同時セッション数をユーザーごとに組織で定義された数に制限する必要があります。 | いいえ | いいえ | 中 |
| V-214145 | PostgreSQL は、セッション ID 値を推測するオンパス攻撃を防ぐことで、通信セッションの信頼性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214113 | PostgreSQL は、送信の準備中に情報の機密性と完全性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214073 | PostgreSQL は、受信時に情報の機密性と完全性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214149 | PostgreSQL は、PKI 認証された ID を関連付けられたユーザー アカウントにマッピングする必要があります。 | いいえ | いいえ | 中 |
| V-214144 | PostgreSQL は、監査データを別のログ管理機能にオフロードする必要があります。この処理は、ストレージ施設へのネットワーク接続があるシステムでは、継続的かつ準リアルタイムで行う必要があります。スタンドアロン システムの場合、オフロードは毎週またはそれ以上の頻度で行う必要があります。 | いいえ | ○ | 中 |
| V-214137 | PostgreSQL は、すべての暗号化セッションの確立に、PKI または承認された PKI 認証局（CA）によって発行されたエンド エンティティ証明書のみを受け入れる必要があります。 | いいえ | いいえ | 中 |
| V-214148 | PostgreSQL は、特権のないユーザーが特権関数を実行できないようにする必要があります。これには、実装されたセキュリティ保護対策や対策の無効化、回避、変更が含まれます。 | ○ | いいえ | 高 |
| V-214116 | PostgreSQL は、イベントに関連付けられたユーザー、サブジェクト、プロセスの ID を確立するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214049 | PostgreSQL は、イベントの結果（成功または失敗）を確立するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214125 | PostgreSQL は、イベントのソースまたは発生元を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214138 | PostgreSQL は、発生したイベントの種類を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214112 | PostgreSQL は、イベントが発生した場所を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214142 | PostgreSQL は、イベントの発生日時を特定するために、タイムスタンプを含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214082 | PostgreSQL は、PostgreSQL またはデータベースの構成の変更に関連するアクセス制限の適用に関する監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214121 | PostgreSQL は、明示的な特権ステータスなしで、ユーザーがロジック モジュール（関数、トリガー プロシージャ、ビューなど）をインストールすることを禁止する必要があります。 | ○ | いいえ | 中 |
| V-214132 | PostgreSQL は、組織で定義されたアクションを実行したことをユーザーが虚偽に否認することを防止する必要があります。 | ○ | いいえ | 中 |
| V-214152 | PostgreSQL は、監査構成を不正な変更から保護する必要があります。 | ○ | いいえ | 中 |
| V-214141 | PostgreSQL は、監査機能を不正アクセスから保護する必要があります。 | ○ | いいえ | 中 |
| V-214143 | PostgreSQL は、監査機能を不正な削除から保護する必要があります。 | ○ | いいえ | 中 |
| V-214120 | PostgreSQL は、保存されているすべての情報の機密性と完全性を保護する必要があります。 | ○ | いいえ | 高 |
| V-214072 | PostgreSQL は、すべての監査ログの失敗について、適切なサポート スタッフに即時のリアルタイム アラートを提供する必要があります。 | いいえ | ○ | 中 |
| V-214114 | PostgreSQL は、すべての DBMS とデータベース コンポーネントで、組織が定義した監査可能なイベントの監査レコード生成機能を提供する必要があります。 | いいえ | いいえ | 中 |
| V-214053 | PostgreSQL は、権限のないユーザーに対して、敵対者が悪用する可能性のある情報を開示することなく、是正措置に必要な情報を提供するエラー メッセージを提供する必要があります。 | ○ | いいえ | 中 |
| V-214069 | PostgreSQL は、協定世界時（UTC、旧 GMT）にマッピングできるタイムスタンプを監査レコードとアプリケーション データに記録する必要があります。 | ○ | いいえ | 中 |
| V-214135 | PostgreSQL は、組織で定義された状況または状況で再認証が必要な場合に、ユーザーに再認証を要求する必要があります。 | ○ | いいえ | 中 |
| V-214070 | PostgreSQL は、ISSO、ISSM、SA、DBA にのみ詳細なエラー メッセージを表示する必要があります。 | ○ | いいえ | 中 |
| V-214122 | PostgreSQL は、ユーザー インターフェース サービスを含むユーザー機能をデータベース管理機能から分離する必要があります。 | ○ | いいえ | 中 |
| V-214061 | PostgreSQL は、組織外のユーザー、または組織外のユーザーに代わって動作するプロセスを一意に識別し、認証する必要があります。 | ○ | いいえ | 中 |
| V-214146 | PostgreSQL は、組織ユーザーまたは組織ユーザーに代わって動作するプロセスを一意に識別して認証する必要があります。 | ○ | いいえ | 中 |
| V-214153 | PostgreSQL は、暗号オペレーションに NIST FIPS 140-2 または 140-3 認定済みの暗号モジュールを使用する必要があります。 | いいえ | いいえ | 高 |
| V-220321 | PostgreSQL は、データ所有者の要件に従って、NSA 承認の暗号を使用して機密情報を保護する必要があります。 | いいえ | いいえ | 中 |
| V-214080 | PostgreSQL は、PostgreSQL のすべてのコンポーネントによって生成された監査レコードでキャプチャされたコンテンツの一元管理を使用する必要があります。 | いいえ | いいえ | 中 |
| V-214111 | PostgreSQL は、PKI ベースの認証を使用する場合、RFC 5280 準拠の認証パス検証を実行して証明書を検証する必要があります。 | いいえ | いいえ | 中 |
| V-214054 | PostgreSQL ソフトウェア モジュールを変更する権限は制限する必要があります。 | ○ | いいえ | 中 |
| V-214050 | PostgreSQL のセキュリティ関連のソフトウェア アップデートは、信頼できるソース（IAVM、CTO、DTM、STIG など）が指示する期間内にインストールする必要があります。 | ○ | いいえ | 高 |
| V-214068 | PostgreSQL によって生成された監査情報は、不正な削除から保護する必要があります。 | ○ | いいえ | 中 |
| V-214051 | PostgreSQL によって生成された監査情報は、不正な変更から保護する必要があります。 | ○ | いいえ | 中 |
| V-214083 | PostgreSQL によって生成された監査情報は、不正な読み取りアクセスから保護する必要があります。 | ○ | いいえ | 中 |
| V-214157 | DBMS は、NIST 認定の FIPS 140-2 または 140-3 の OpenSSL がインストールされているプラットフォームで構成する必要があります。 | いいえ | いいえ | 高 |
| V-214075 | PostgreSQL ソフトウェアのインストール アカウントは、承認されたユーザーに制限する必要があります。 | いいえ | いいえ | 高 |
| V-214060 | データベース構造（テーブル、インデックス、ストレージなど）とロジック モジュール（関数、トリガー プロシージャ、PostgreSQL 外部のソフトウェアへのリンクなど）の変更に使用されるロールとグループは、承認されたユーザーに制限する必要があります。 | ○ | いいえ | 中 |
| V-214133 | 割り当てられた監査レコードのストレージ容量が、監査レコードの最大ストレージ容量の 75% に達したときに、適切なサポート スタッフに警告を送信する必要があります。 | いいえ | ○ | 中 |
| V-214128 | PostgreSQL に統合されていてアンインストールできない未使用のデータベース コンポーネントは、無効にする必要があります。 | いいえ | いいえ | 中 |
| V-214126 | 未使用のデータベース コンポーネント、PostgreSQL ソフトウェア、データベース オブジェクトを削除する必要があります。 | ○ | いいえ | 中 |
| V-214079 | 無効な入力が受信された場合、PostgreSQL は、組織とシステムの目標を反映した、予測可能で文書化された方法で動作する必要があります。 | ○ | いいえ | 中 |
| V-214084 | PostgreSQL ソフトウェアに更新が適用されると、置き換えられたソフトウェア コンポーネントや不要になったソフトウェア コンポーネントは削除する必要があります。 | いいえ | いいえ | 中 |
次のステップ
- STIG の責任の共有について確認する。