Google が管理するすべてのコントロールは完全に実装され、継続的に検証されます。コンプライアンスを維持するには、お客様がユーザー アクションを必要とするコントロールを構成して管理する必要があります。詳細については、STIG の責任の共有をご覧ください。
STIG コンプライアンス マトリックス
次の表に、STIG ID、説明、オペレーターによる適用ステータス、お客様の責任要件、重大度を示します。
| STIG ID | セキュリティ管理の説明 | デフォルトで適用 | お客様の責任 | 重大度 |
|---|---|---|---|---|
| V-214151 | データベース ファイルへのアクセスは、関連するプロセスと、承認された管理者権限を持つユーザーに限定する必要があります。 | ○ | いいえ | 中 |
| V-214127 | 外部実行可能ファイルへのアクセスを無効にするか、制限する必要があります。 | ○ | いいえ | 中 |
| V-214154 | 分類された情報（分類レベルやセキュリティ レベルなど）が削除されたときに、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214150 | データベースの内容は、データ転送ポリシーの適用により、不正な情報転送や意図しない情報転送から保護する必要があります。 | いいえ | いいえ | 中 |
| V-214074 | テーブル、インデックス、ストレージ、トリガー プロシージャ、関数、PostgreSQL 外部のソフトウェアへのリンクなどのデータベース オブジェクトは、所有権が承認されたデータベース プリンシパルと DBMS プリンシパルが所有している必要があります。 | ○ | いいえ | 中 |
| V-214076 | PostgreSQL 構成ファイルなどのデータベース ソフトウェアは、ホスト OS や他のアプリケーションとは別の専用ディレクトリに保存する必要があります。 | いいえ | いいえ | 中 |
| V-214078 | 権限昇格を伴うソフトウェア モジュール（関数やトリガー プロシージャなど）の実行は、必要な場合にのみ制限する必要があります。 | いいえ | いいえ | 中 |
| V-214130 | 認証にパスワードを使用する場合、PostgreSQL はパスワードのハッシュ化されたソルト表現のみを保存する必要があります。 | ○ | いいえ | 高 |
| V-214056 | 認証にパスワードを使用する場合、PostgreSQL は暗号化されたパスワードのみを送信する必要があります。 | ○ | いいえ | 高 |
| V-214064 | PostgreSQL と関連アプリケーションは、動的コード実行の使用を、それを必要とする状況に限定する必要があります。 | いいえ | いいえ | 中 |
| V-214065 | PostgreSQL と関連するアプリケーションは、動的コード実行を使用する場合、コード インジェクション攻撃を示す可能性のある無効な値について入力データをスキャンする必要があります。 | いいえ | いいえ | 中 |
| V-214066 | PostgreSQL は、組織で定義された監査レコードのストレージ要件に従って、監査レコードのストレージ容量を割り当てる必要があります。 | いいえ | ○ | 中 |
| V-214071 | PostgreSQL では、情報システム セキュリティ マネージャー（ISSM）または ISSM によって任命された個人またはロールのみが、監査対象の監査可能なイベントを選択できるようにする必要があります。 | いいえ | ○ | 中 |
| V-214129 | PostgreSQL は、組織定義のセキュリティ ラベル値を持つ組織定義のセキュリティ ラベルのタイプをプロセス内の情報に関連付ける必要があります。 | いいえ | ○ | 中 |
| V-214062 | PostgreSQL は、組織で定義されたセキュリティ ラベル値を持つ組織定義のセキュリティ ラベルの種類を、ストレージ内の情報に関連付ける必要があります。 | いいえ | ○ | 中 |
| V-214058 | PostgreSQL は、組織で定義されたセキュリティ ラベル値を持つ組織で定義されたセキュリティ ラベルのタイプを、送信中の情報に関連付ける必要があります。 | いいえ | ○ | 中 |
| V-214147 | PostgreSQL は、セッションの切断を必要とする組織定義の条件またはトリガー イベントの後、ユーザー セッションを自動的に終了する必要があります。 | ○ | いいえ | 中 |
| V-214096 | PostgreSQL は、権限と許可が取得されたときに監査レコードを生成できる必要があります。 | ○ | いいえ | 中 |
| V-214101 | PostgreSQL は、セキュリティ オブジェクトがアクセスされたときに監査レコードを生成できる必要があります。 | ○ | いいえ | 中 |
| V-214048 | PostgreSQL は、ポート、プロトコル、サービス管理（PPSM）カテゴリ保証リスト（CAL）および脆弱性評価で定義されているように、組織で定義された関数、ポート、プロトコル、サービスの使用を禁止または制限するように構成する必要があります。 | ○ | いいえ | 中 |
| V-214063 | PostgreSQL は、組織によって明示的に識別されたものを除き、すべてのデータ入力の有効性を確認する必要があります。 | いいえ | いいえ | 中 |
| V-214131 | PostgreSQL は、PostgreSQL またはデータベースの構成の変更に関連するアクセス制限を適用する必要があります。 | ○ | いいえ | 中 |
| V-214057 | PostgreSQL は、適用可能なアクセス制御ポリシーに従って、情報とシステム リソースへの論理アクセスに対して承認された認可を適用する必要があります。 | いいえ | いいえ | 高 |
| V-214136 | PostgreSQL は、PostgreSQL によって保存および使用されるすべての PKI 秘密鍵への承認済みアクセスを適用する必要があります。 | ○ | いいえ | 高 |
| V-214067 | PostgreSQL は、定義されたサブジェクトとオブジェクトに対して、データ所有者が定義した任意アクセス制御ポリシーを適用する必要があります。 | ○ | いいえ | 中 |
| V-214156 | PostgreSQL は、データベースへのすべての直接アクセスについて監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214099 | PostgreSQL は、すべての特権アクティビティまたはその他のシステムレベルのアクセスについて監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214088 | PostgreSQL は、データベースへのユーザー アクセスの開始時刻と終了時刻を示す監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214085 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）にアクセスされたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214108 | 分類された情報（分類レベルやセキュリティ レベルなど）が変更された場合、PostgreSQL は監査レコードを生成する必要があります。 | いいえ | ○ | 中 |
| V-214103 | PostgreSQL は、同じユーザーが異なるワークステーションから同時にログインして接続した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214090 | 権限と権限が追加されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214102 | PostgreSQL は、権限が削除されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214105 | PostgreSQL は、権限が変更されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214093 | PostgreSQL は、セキュリティ オブジェクトが削除されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214107 | PostgreSQL は、セキュリティ オブジェクトが変更されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214155 | オブジェクトへのアクセスが成功した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214092 | PostgreSQL は、ログインまたは接続が成功した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214098 | オブジェクトへのアクセスが失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214100 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）へのアクセスが失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214086 | PostgreSQL は、セキュリティ オブジェクトへのアクセス試行が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214110 | PostgreSQL は、権限の追加に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214091 | 分類された情報（分類レベルやセキュリティ レベルなど）の削除が失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214095 | PostgreSQL は、権限と許可の削除に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214104 | PostgreSQL は、セキュリティ オブジェクトの削除に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214106 | PostgreSQL は、特権アクティビティやその他のシステムレベルのアクセスを試みて失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214097 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）の変更が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214109 | PostgreSQL は、権限の変更に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214089 | セキュリティ オブジェクトの変更が失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214094 | PostgreSQL は、権限と許可の取得に失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214087 | PostgreSQL は、ログインまたは接続の試行が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214115 | PostgreSQL は、監査レコードとアプリケーション データのタイムスタンプを 1 秒以上の粒度で生成する必要があります。 | ○ | いいえ | 中 |
| V-214139 | PostgreSQL は、組織が定義した情報システム コンポーネントに保存されている組織が定義した情報の不正な開示を防ぐ暗号メカニズムを実装する必要があります。 | ○ | いいえ | 中 |
| V-214124 | PostgreSQL は、組織が定義した情報システム コンポーネントで、組織が定義した保存データの不正な変更を防ぐための暗号メカニズムを実装する必要があります。これには、少なくとも PII と機密情報が含まれます。 | ○ | いいえ | 中 |
| V-214117 | PostgreSQL は、暗号学的ハッシュを生成して検証するために、NIST FIPS 140-2 または 140-3 認定の暗号モジュールを実装する必要があります。 | いいえ | いいえ | 高 |
| V-214119 | PostgreSQL は、データ所有者の要件に従って、機密性と暗号保護を必要とする未分類の情報を保護するために、NIST FIPS 140-2 または 140-3 認証取得済みの暗号モジュールを実装する必要があります。 | いいえ | いいえ | 高 |
| V-214077 | PostgreSQL は、タイプ、場所、またはサブジェクトによって識別される監査イベントの監査レコードに、組織が定義した追加の詳細情報を含める必要があります。 | いいえ | ○ | 中 |
| V-214123 | PostgreSQL は、起動時にセッション監査を開始する必要があります。 | ○ | いいえ | 中 |
| V-214052 | PostgreSQL は、すべてのユーザー、グループ、ロール、その他のプリンシパルにアカウント管理と自動化を提供する組織レベルの認証およびアクセス メカニズムと統合する必要があります。 | いいえ | いいえ | 高 |
| V-214140 | PostgreSQL は、ユーザーのログアウトまたはその他のセッション終了時にセッション識別子を無効にする必要があります。 | ○ | いいえ | 中 |
| V-214081 | PostgreSQL は、セキュリティ関数を非セキュリティ関数から分離する必要があります。 | ○ | いいえ | 中 |
| V-214055 | PostgreSQL は、関数とトリガーの変更、および PostgreSQL 外部のソフトウェアへのリンクに対する権限を制限する必要があります。 | ○ | いいえ | 中 |
| V-214059 | PostgreSQL は、すべてのアカウントとアカウント タイプについて、同時セッション数をユーザーごとに組織で定義された数に制限する必要があります。 | いいえ | いいえ | 中 |
| V-214145 | PostgreSQL は、セッション ID 値を推測するオンパス攻撃から保護することで、通信セッションの真正性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214113 | PostgreSQL は、送信の準備中に情報の機密性と完全性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214073 | PostgreSQL は、受信時に情報の機密性と完全性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214149 | PostgreSQL は、PKI 認証された ID を関連付けられたユーザー アカウントにマッピングする必要があります。 | いいえ | いいえ | 中 |
| V-214144 | PostgreSQL は、監査データを別のログ管理機能にオフロードする必要があります。この処理は、ストレージ施設へのネットワーク接続があるシステムでは、継続的かつ準リアルタイムで行う必要があります。スタンドアロン システムの場合、オフロードは週に 1 回以上行う必要があります。 | いいえ | ○ | 中 |
| V-214137 | PostgreSQL は、すべての暗号化セッションの確立について、PKI または承認済みの PKI 認証局（CA）によって発行されたエンド エンティティ証明書のみを受け入れる必要があります。 | いいえ | いいえ | 中 |
| V-214148 | PostgreSQL は、特権のないユーザーが特権関数を実行できないようにする必要があります。これには、実装されたセキュリティ保護対策や対策の無効化、回避、変更が含まれます。 | ○ | いいえ | 高 |
| V-214116 | PostgreSQL は、イベントに関連付けられたユーザー、サブジェクト、プロセスの ID を確立するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214049 | PostgreSQL は、イベントの結果（成功または失敗）を確立するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214125 | PostgreSQL は、イベントのソースまたは発生元を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214138 | PostgreSQL は、発生したイベントの種類を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214112 | PostgreSQL は、イベントが発生した場所を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214142 | PostgreSQL は、イベントの発生日時を特定するために、タイムスタンプを含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214082 | PostgreSQL は、PostgreSQL またはデータベースの構成変更に関連するアクセス制限の適用に関する監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214121 | PostgreSQL は、明示的な特権ステータスなしで、ユーザーがロジック モジュール（関数、トリガー プロシージャ、ビューなど）をインストールすることを禁止する必要があります。 | ○ | いいえ | 中 |
| V-214132 | PostgreSQL は、組織で定義されたアクションを実行したことをユーザーが虚偽に否認することを防止する必要があります。 | ○ | いいえ | 中 |
| V-214152 | PostgreSQL は、監査構成を不正な変更から保護する必要があります。 | ○ | いいえ | 中 |
| V-214141 | PostgreSQL は、監査機能を不正アクセスから保護する必要があります。 | ○ | いいえ | 中 |
| V-214143 | PostgreSQL は、監査機能を不正な削除から保護する必要があります。 | ○ | いいえ | 中 |
| V-214120 | PostgreSQL は、すべての保存情報の機密性と完全性を保護する必要があります。 | ○ | いいえ | 高 |
| V-214072 | PostgreSQL は、すべての監査ログの失敗について、適切なサポート スタッフに即時のリアルタイム アラートを提供する必要があります。 | いいえ | ○ | 中 |
| V-214114 | PostgreSQL は、すべての DBMS およびデータベース コンポーネントで、組織が定義した監査可能なイベントの監査レコード生成機能を提供する必要があります。 | いいえ | いいえ | 中 |
| V-214053 | PostgreSQL は、非特権ユーザーに対して、是正措置に必要な情報を提供するエラー メッセージを提供する必要があります。ただし、攻撃者に悪用される可能性のある情報は開示しません。 | ○ | いいえ | 中 |
| V-214069 | PostgreSQL は、監査レコードとアプリケーション データに、協定世界時（UTC、以前の GMT）にマッピングできるタイムスタンプを記録する必要があります。 | ○ | いいえ | 中 |
| V-214135 | PostgreSQL は、組織で定義された状況または状況で再認証が必要な場合に、ユーザーに再認証を要求する必要があります。 | ○ | いいえ | 中 |
| V-214070 | PostgreSQL は、ISSO、ISSM、SA、DBA にのみ詳細なエラー メッセージを表示する必要があります。 | ○ | いいえ | 中 |
| V-214122 | PostgreSQL は、ユーザー インターフェース サービスなどのユーザー機能をデータベース管理機能から分離する必要があります。 | ○ | いいえ | 中 |
| V-214061 | PostgreSQL は、組織外のユーザーまたは組織外のユーザーに代わって動作するプロセスを一意に識別して認証する必要があります。 | ○ | いいえ | 中 |
| V-214146 | PostgreSQL は、組織ユーザーまたは組織ユーザーに代わって動作するプロセスを一意に識別して認証する必要があります。 | ○ | いいえ | 中 |
| V-214153 | PostgreSQL は、暗号オペレーションに NIST FIPS 140-2 または 140-3 認定済みの暗号モジュールを使用する必要があります。 | いいえ | いいえ | 高 |
| V-220321 | PostgreSQL は、データ所有者の要件に従って、NSA 承認の暗号を使用して機密情報を保護する必要があります。 | いいえ | いいえ | 中 |
| V-214080 | PostgreSQL は、PostgreSQL のすべてのコンポーネントによって生成された監査レコードにキャプチャされたコンテンツの一元管理を使用する必要があります。 | いいえ | いいえ | 中 |
| V-214111 | PostgreSQL は、PKI ベースの認証を使用する場合、RFC 5280 準拠の証明書パス検証を実行して証明書を検証する必要があります。 | いいえ | いいえ | 中 |
| V-214054 | PostgreSQL ソフトウェア モジュールを変更する権限は制限する必要があります。 | ○ | いいえ | 中 |
| V-214050 | PostgreSQL のセキュリティ関連のソフトウェア アップデートは、権限のあるソース（IAVM、CTO、DTM、STIG など）で指定された期間内にインストールする必要があります。 | ○ | いいえ | 高 |
| V-214068 | PostgreSQL によって生成された監査情報は、不正な削除から保護する必要があります。 | ○ | いいえ | 中 |
| V-214051 | PostgreSQL によって生成された監査情報は、不正な変更から保護する必要があります。 | ○ | いいえ | 中 |
| V-214083 | PostgreSQL によって生成された監査情報は、不正な読み取りアクセスから保護する必要があります。 | ○ | いいえ | 中 |
| V-214157 | DBMS は、NIST 認定の FIPS 140-2 または 140-3 の OpenSSL がインストールされているプラットフォームで構成する必要があります。 | いいえ | いいえ | 高 |
| V-214075 | PostgreSQL ソフトウェアのインストール アカウントは、承認されたユーザーに制限する必要があります。 | いいえ | いいえ | 高 |
| V-214060 | データベース構造（テーブル、インデックス、ストレージなど）とロジック モジュール（関数、トリガー プロシージャ、PostgreSQL 外部のソフトウェアへのリンクなど）の変更に使用されるロールとグループは、承認されたユーザーに制限する必要があります。 | ○ | いいえ | 中 |
| V-214133 | 割り当てられた監査レコード ストレージ容量が最大監査レコード ストレージ容量の 75% に達した場合、システムは適切なサポート スタッフに警告を提供しなければなりません。 | いいえ | ○ | 中 |
| V-214128 | PostgreSQL に統合されていてアンインストールできない未使用のデータベース コンポーネントは無効にする必要があります。 | いいえ | いいえ | 中 |
| V-214126 | 未使用のデータベース コンポーネント、PostgreSQL ソフトウェア、データベース オブジェクトは削除する必要があります。 | ○ | いいえ | 中 |
| V-214079 | 無効な入力が受信された場合、PostgreSQL は、組織とシステムの目標を反映した、予測可能で文書化された方法で動作する必要があります。 | ○ | いいえ | 中 |
| V-214084 | PostgreSQL ソフトウェアに更新が適用されると、置き換えられたソフトウェア コンポーネントや不要になったソフトウェア コンポーネントは削除する必要があります。 | いいえ | いいえ | 中 |
次のステップ
- STIG の責任の共有について確認する。