Google が管理するすべてのコントロールが完全に実装され、継続的に検証されます。コンプライアンスを維持するには、お客様が操作を必要とするコントロールを構成して管理する必要があります。詳細については、STIG の責任の共有をご覧ください。
STIG コンプライアンス マトリックス
次の表に、STIG ID、説明、演算子別の適用ステータス、お客様の責任要件、重大度を示します。
| STIG ID | セキュリティ管理の説明 | デフォルトで適用 | お客様の責任 | 重大度 |
|---|---|---|---|---|
| V-214151 | データベース ファイルへのアクセスは、関連するプロセスと、承認された管理者ユーザーに制限する必要があります。 | ○ | いいえ | 中 |
| V-214127 | 外部実行可能ファイルへのアクセスは無効にするか制限する必要があります。 | ○ | いいえ | 中 |
| V-214154 | 分類された情報（分類レベルやセキュリティ レベルなど）が削除された場合は、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214150 | データ転送ポリシーを適用して、データベースの内容を不正な情報転送から保護する必要があります。 | × | いいえ | 中 |
| V-214074 | テーブル、インデックス、ストレージ、トリガー プロシージャ、関数、PostgreSQL 外部のソフトウェアへのリンクなどのデータベース オブジェクトは、所有権が承認されたデータベース プリンシパルと DBMS プリンシパルが所有している必要があります。 | ○ | いいえ | 中 |
| V-214076 | PostgreSQL 構成ファイルなどのデータベース ソフトウェアは、ホスト OS や他のアプリケーションとは別の専用ディレクトリに保存する必要があります。 | × | いいえ | 中 |
| V-214078 | 権限昇格を伴うソフトウェア モジュール（関数やトリガー プロシージャを含む）の実行は、必要な場合にのみ制限する必要があります。 | × | いいえ | 中 |
| V-214130 | 認証にパスワードを使用する場合、PostgreSQL はパスワードのハッシュ化されたソルト付き表現のみを保存する必要があります。 | ○ | × | 高 |
| V-214056 | 認証にパスワードが使用される場合、PostgreSQL はパスワードの暗号化された表現のみを送信する必要があります。 | ○ | × | 高 |
| V-214064 | PostgreSQL と関連するアプリケーションは、動的コード実行の使用を必要とする状況のために予約する必要があります。 | × | いいえ | 中 |
| V-214065 | PostgreSQL と関連するアプリケーションは、動的コード実行を使用する場合、コード挿入攻撃を示す可能性のある無効な値について入力データをスキャンする必要があります。 | × | いいえ | 中 |
| V-214066 | PostgreSQL は、組織が定義した監査レコードのストレージ要件に従って、監査レコードのストレージ容量を割り当てる必要があります。 | × | ○ | 中 |
| V-214071 | PostgreSQL では、情報システム セキュリティ マネージャー（ISSM）または ISSM によって任命された個人またはロールのみが、監査対象の監査可能なイベントを選択できるようにする必要があります。 | × | ○ | 中 |
| V-214129 | PostgreSQL は、組織定義のセキュリティ ラベル値を持つ組織定義のセキュリティ ラベルのタイプをプロセス内の情報に関連付ける必要があります。 | × | ○ | 中 |
| V-214062 | PostgreSQL は、組織定義のセキュリティ ラベル値を持つ組織定義のセキュリティ ラベル タイプをストレージ内の情報に関連付ける必要があります。 | × | ○ | 中 |
| V-214058 | PostgreSQL は、組織定義のセキュリティ ラベル値を持つ組織定義のセキュリティ ラベルのタイプを送信中の情報に関連付ける必要があります。 | × | ○ | 中 |
| V-214147 | PostgreSQL は、セッションの切断を必要とする組織定義の条件またはトリガー イベントの後に、ユーザー セッションを自動的に終了する必要があります。 | ○ | いいえ | 中 |
| V-214096 | 権限と権限が取得されるときに、PostgreSQL が監査レコードを生成できる必要があります。 | ○ | いいえ | 中 |
| V-214101 | PostgreSQL は、セキュリティ オブジェクトがアクセスされたときに監査レコードを生成できる必要があります。 | ○ | いいえ | 中 |
| V-214048 | PostgreSQL は、ポート、プロトコル、サービス管理（PPSM）カテゴリ保証リスト（CAL）と脆弱性評価で定義されているように、組織定義の関数、ポート、プロトコル、サービスの使用を禁止または制限するように構成する必要があります。 | ○ | いいえ | 中 |
| V-214063 | PostgreSQL は、組織によって明示的に識別されたものを除くすべてのデータ入力の有効性を確認する必要があります。 | × | いいえ | 中 |
| V-214131 | PostgreSQL は、PostgreSQL またはデータベースの構成の変更に関連付けられたアクセス制限を適用する必要があります。 | ○ | いいえ | 中 |
| V-214057 | PostgreSQL は、適用可能なアクセス制御ポリシーに従って、情報とシステム リソースへの論理アクセスに対して承認された認可を適用する必要があります。 | × | いいえ | 高 |
| V-214136 | PostgreSQL は、PostgreSQL によって保存および使用されるすべての PKI 秘密鍵への承認済みアクセスを適用する必要があります。 | ○ | × | 高 |
| V-214067 | PostgreSQL は、データオーナーが定義した裁量アクセス制御ポリシーを、定義されたサブジェクトとオブジェクトに適用する必要があります。 | ○ | いいえ | 中 |
| V-214156 | PostgreSQL は、データベースへのすべての直接アクセスに対して監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214099 | PostgreSQL は、すべての特権アクティビティまたはその他のシステムレベルのアクセスについて監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214088 | PostgreSQL は、データベースへのユーザー アクセスの開始時刻と終了時刻を示す監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214085 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）にアクセスしたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214108 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）が変更されたときに監査レコードを生成する必要があります。 | × | ○ | 中 |
| V-214103 | PostgreSQL は、同じユーザーが異なるワークステーションから同時にログインして接続した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214090 | 権限と権限が追加されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214102 | 権限と権限が削除されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214105 | 権限と権限が変更されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214093 | PostgreSQL は、セキュリティ オブジェクトが削除されたときに監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214107 | セキュリティ オブジェクトが変更されたときに、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214155 | オブジェクトへのアクセスが成功した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214092 | PostgreSQL は、ログインまたは接続が成功した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214098 | オブジェクトへのアクセスが失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214100 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）へのアクセスが失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214086 | セキュリティ オブジェクトへのアクセスが失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214110 | 権限と権限の追加に失敗した場合は、PostgreSQL で監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214091 | PostgreSQL は、分類された情報（分類レベルやセキュリティ レベルなど）の削除が失敗した場合に、監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214095 | 権限と権限の削除が失敗した場合は、PostgreSQL が監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214104 | セキュリティ オブジェクトの削除に失敗した場合は、PostgreSQL が監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214106 | 特権アクティビティやその他のシステムレベルのアクセスを実行しようとして失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214097 | 分類された情報（分類レベルやセキュリティ レベルなど）の変更が失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214109 | 権限と権限の変更が失敗した場合は、PostgreSQL で監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214089 | セキュリティ オブジェクトの変更が失敗した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214094 | 権限と権限の取得に失敗した試行が発生した場合、PostgreSQL は監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214087 | PostgreSQL は、ログインまたは接続の試行が失敗した場合に監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214115 | PostgreSQL は、監査レコードとアプリケーション データのタイムスタンプを 1 秒以上の粒度で生成する必要があります。 | ○ | いいえ | 中 |
| V-214139 | PostgreSQL は、組織が定義した情報システム コンポーネントに保存されている組織が定義した情報の不正な開示を防ぐ暗号メカニズムを実装する必要があります。 | ○ | いいえ | 中 |
| V-214124 | PostgreSQL は、組織が定義した情報システム コンポーネントで、組織が定義した保存データの不正な変更を防ぐための暗号メカニズムを実装する必要があります。これには、少なくとも PII と機密情報が含まれます。 | ○ | いいえ | 中 |
| V-214117 | PostgreSQL は、NIST FIPS 140-2 または 140-3 認定の暗号モジュールを実装して、暗号ハッシュを生成し、検証する必要があります。 | × | いいえ | 高 |
| V-214119 | PostgreSQL は、データ所有者の要件に従って、機密性と暗号保護を必要とする未分類情報を保護するために、NIST FIPS 140-2 または 140-3 の検証済み暗号モジュールを実装する必要があります。 | × | いいえ | 高 |
| V-214077 | PostgreSQL は、タイプ、場所、またはサブジェクトで識別される監査イベントの監査レコードに、組織が定義した詳細情報を追加する必要があります。 | × | ○ | 中 |
| V-214123 | PostgreSQL は、起動時にセッション監査を開始する必要があります。 | ○ | いいえ | 中 |
| V-214052 | PostgreSQL は、すべてのユーザー、グループ、ロール、その他のプリンシパルのアカウント管理と自動化を提供する組織レベルの認証とアクセス メカニズムと統合する必要があります。 | × | いいえ | 高 |
| V-214140 | PostgreSQL は、ユーザーのログアウト時やその他のセッション終了時にセッション識別子を無効にする必要があります。 | ○ | いいえ | 中 |
| V-214081 | PostgreSQL は、セキュリティ関数を非セキュリティ関数から分離する必要があります。 | ○ | いいえ | 中 |
| V-214055 | PostgreSQL は、関数とトリガーの変更、および PostgreSQL 外部のソフトウェアへのリンクに対する権限を制限する必要があります。 | ○ | いいえ | 中 |
| V-214059 | PostgreSQL は、すべてのアカウントとアカウント タイプについて、同時セッションの数をユーザーごとに組織が定義した数に制限する必要があります。 | × | いいえ | 中 |
| V-214145 | PostgreSQL は、セッション ID 値を推測するオンパス攻撃を防ぐことで、通信セッションの信頼性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214113 | PostgreSQL は、送信の準備中に情報の機密性と完全性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214073 | PostgreSQL は、受信時に情報の機密性と完全性を維持する必要があります。 | ○ | いいえ | 中 |
| V-214149 | PostgreSQL は、PKI 認証された ID を関連付けられたユーザー アカウントにマッピングする必要があります。 | × | いいえ | 中 |
| V-214144 | PostgreSQL は、監査データを別のログ管理機能にオフロードする必要があります。ネットワーク接続がストレージ施設に接続されているシステムでは、継続的かつほぼリアルタイムで行う必要があります。スタンドアロン システムの場合、オフロードは毎週またはそれ以上の頻度で行う必要があります。 | × | ○ | 中 |
| V-214137 | PostgreSQL は、すべての暗号化セッションの確立に、PKI または承認済みの PKI 認証局（CA）によって発行されたエンド エンティティ証明書のみを受け入れる必要があります。 | × | いいえ | 中 |
| V-214148 | PostgreSQL は、権限のないユーザーが権限のある関数を実行できないようにする必要があります。これには、実装されたセキュリティ保護対策と対策の無効化、回避、変更が含まれます。 | ○ | × | 高 |
| V-214116 | PostgreSQL は、イベントに関連付けられたユーザー、サブジェクト、プロセスの ID を確立するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214049 | PostgreSQL は、イベントの結果（成功または失敗）を確立するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214125 | PostgreSQL は、イベントのソースまたは発生元を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214138 | PostgreSQL は、どのようなタイプのイベントが発生したかを特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214112 | PostgreSQL は、イベントが発生した場所を特定するのに十分な情報を含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214142 | PostgreSQL は、イベントが発生した日時を特定するためのタイムスタンプを含む監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214082 | PostgreSQL は、PostgreSQL またはデータベースの構成の変更に関連するアクセス制限の適用に関する監査レコードを生成する必要があります。 | ○ | いいえ | 中 |
| V-214121 | PostgreSQL では、明示的な権限ステータスがない場合、ユーザーがロジック モジュール（関数、トリガー プロシージャ、ビューなど）をインストールすることを禁止する必要があります。 | ○ | いいえ | 中 |
| V-214132 | PostgreSQL は、ユーザーが組織定義のアクションを実行したことを誤って否認しないように保護する必要があります。 | ○ | いいえ | 中 |
| V-214152 | PostgreSQL は、監査構成を不正な変更から保護する必要があります。 | ○ | いいえ | 中 |
| V-214141 | PostgreSQL は、監査機能を不正アクセスから保護する必要があります。 | ○ | いいえ | 中 |
| V-214143 | PostgreSQL は、監査機能を不正な削除から保護する必要があります。 | ○ | いいえ | 中 |
| V-214120 | PostgreSQL は、すべての保存情報の機密性と完全性を保護する必要があります。 | ○ | × | 高 |
| V-214072 | PostgreSQL は、すべての監査ログの失敗について、適切なサポート スタッフに即時のリアルタイム アラートを提供する必要があります。 | × | ○ | 中 |
| V-214114 | PostgreSQL は、すべての DBMS とデータベース コンポーネントで、組織が定義した監査可能なイベントの監査レコード生成機能を提供する必要があります。 | × | いいえ | 中 |
| V-214053 | PostgreSQL は、権限のないユーザーに対して、敵対者が悪用する可能性のある情報を開示することなく、修正措置に必要な情報を提供するエラー メッセージを提供する必要があります。 | ○ | いいえ | 中 |
| V-214069 | PostgreSQL は、監査レコードとアプリケーション データで、協定世界時（UTC、以前の GMT）にマッピングできるタイムスタンプを記録する必要があります。 | ○ | いいえ | 中 |
| V-214135 | PostgreSQL は、組織で定義された状況または状況で再認証が必要な場合に、ユーザーに再認証を要求する必要があります。 | ○ | いいえ | 中 |
| V-214070 | PostgreSQL は、ISSO、ISSM、SA、DBA にのみ詳細なエラー メッセージを表示する必要があります。 | ○ | いいえ | 中 |
| V-214122 | PostgreSQL は、ユーザー インターフェース サービスなどのユーザー機能をデータベース管理機能から分離する必要があります。 | ○ | いいえ | 中 |
| V-214061 | PostgreSQL は、組織外のユーザー、または組織外のユーザーに代わって動作するプロセスを一意に識別して認証する必要があります。 | ○ | いいえ | 中 |
| V-214146 | PostgreSQL は、組織ユーザーまたは組織ユーザーに代わって動作するプロセスを一意に識別して認証する必要があります。 | ○ | いいえ | 中 |
| V-214153 | PostgreSQL は、暗号オペレーションに NIST FIPS 140-2 または 140-3 認定の暗号モジュールを使用する必要があります。 | × | いいえ | 高 |
| V-220321 | PostgreSQL は、データ所有者の要件に従って、機密情報を保護するために NSA 承認の暗号を使用する必要があります。 | × | いいえ | 中 |
| V-214080 | PostgreSQL は、PostgreSQL のすべてのコンポーネントによって生成された監査レコードでキャプチャされたコンテンツの一元管理を使用する必要があります。 | × | いいえ | 中 |
| V-214111 | PostgreSQL は、PKI ベースの認証を使用する場合、RFC 5280 準拠の認証パス検証を実行して証明書を検証する必要があります。 | × | いいえ | 中 |
| V-214054 | PostgreSQL ソフトウェア モジュールを変更する権限は制限する必要があります。 | ○ | いいえ | 中 |
| V-214050 | PostgreSQL のセキュリティ関連のソフトウェア アップデートは、IAVM、CTO、DTM、STIG などの信頼できるソースで指定された期間内にインストールする必要があります。 | ○ | × | 高 |
| V-214068 | PostgreSQL によって生成された監査情報は、不正な削除から保護する必要があります。 | ○ | いいえ | 中 |
| V-214051 | PostgreSQL によって生成された監査情報は、不正な変更から保護する必要があります。 | ○ | いいえ | 中 |
| V-214083 | PostgreSQL によって生成された監査情報は、不正な読み取りアクセスから保護する必要があります。 | ○ | いいえ | 中 |
| V-214157 | DBMS は、NIST 認定の FIPS 140-2 または 140-3 の OpenSSL インストールがあるプラットフォームで構成する必要があります。 | × | いいえ | 高 |
| V-214075 | PostgreSQL ソフトウェアのインストール アカウントは、承認されたユーザーに制限する必要があります。 | × | いいえ | 高 |
| V-214060 | データベース構造（テーブル、インデックス、ストレージなど）とロジック モジュール（関数、トリガー プロシージャ、PostgreSQL 外部のソフトウェアへのリンクなど）の変更に使用されるロールとグループは、承認されたユーザーに制限する必要があります。 | ○ | いいえ | 中 |
| V-214133 | 割り当てられた監査レコード ストレージ容量が最大監査レコード ストレージ容量の 75% に達した場合、システムは適切なサポート スタッフに警告を提供しなければなりません。 | × | ○ | 中 |
| V-214128 | PostgreSQL に統合されていてアンインストールできない未使用のデータベース コンポーネントは無効にする必要があります。 | × | いいえ | 中 |
| V-214126 | 使用されていないデータベース コンポーネント、PostgreSQL ソフトウェア、データベース オブジェクトは削除する必要があります。 | ○ | いいえ | 中 |
| V-214079 | 無効な入力が受信された場合、PostgreSQL は、組織とシステムの目標を反映した、予測可能で文書化された方法で動作する必要があります。 | ○ | いいえ | 中 |
| V-214084 | PostgreSQL ソフトウェアに更新が適用されると、置き換えられたソフトウェア コンポーネントや不要になったソフトウェア コンポーネントは削除する必要があります。 | × | いいえ | 中 |
次のステップ
- STIG の共有責任について学習する。