検出結果のライフサイクルの概要

Security Command Center と検出サービスは、次のフェーズで検出結果を管理します。

  • 検出: 検出サービスは環境をスキャンして、 脆弱性、構成ミス、 脅威などの潜在的なセキュリティ問題を特定し、検出結果を生成します。
  • トリアージと修復: 根本原因を調査し、根本的な問題に対処します。問題を解決したら、検出結果の状態を手動で INACTIVE に変更できます。また、検出サービスが検出結果の状態を自動的に INACTIVE に設定することもあります。
  • ミュート: 調査中のノイズを減らすために、 必要に応じて 1 つ以上の検出結果のミュート状態を設定して、 デフォルトのダッシュボードと通知ワークフローからフィルタできます。
  • 保持: Security Command Center は、検出結果とスナップショットを データ保持ポリシーに従って保存します。

検出

検出サービス はセキュリティ状態を特定し、Security Command Center で検出結果を作成します。 サービスは、条件に基づいて検出結果クラスを定義します。 検出結果クラス検出サービスがクラスを指定しない場合、検出結果クラスは Finding class unspecified になります。

検出サービスが最初に検出結果を生成するときに、次のプロパティを使用して 検出結果の状態 を ACTIVE に設定します。

  • イベント時間 （event_time）: サービスが検出結果を最初に検出した日時、または検出結果の情報を最後に更新した日時。ノイズの多い通知を最小限に抑えるため、サービスは、検出結果を作成した条件に意味のある変更があった場合（state を INACTIVE に変更した場合など）にのみ event_time を更新することがあります。
  • 作成時間 （create_time）: 検出サービスが Security Command Center に検出結果レコードを作成した日時。

Security Command Center は create_time プロパティを自動的に設定するため、手動で変更することはできません。検出サービスは最初に event_time プロパティを設定し、検出結果に関する情報に意味のある変更があった場合は値を更新することがあります。

トリアージと修復

検出結果を修正したことを示すには、検出結果の state を手動で INACTIVE に設定します。

一部の検出サービスでは、検出結果が 自動的に変更されますstate。サービスが検出結果の状態を ACTIVE または INACTIVE に自動的に設定するかどうかは、検出結果のタイプと 検出サービスの動作によって決まります。

検出結果の state を INACTIVE に手動で変更し、検出サービス が状態を管理している場合、検出結果を作成した条件が解決されたことが特定されるまで、値が ACTIVE にリセットされることがあります。

以降のセクションでは、検出サービスが検出結果のプロパティを自動的に変更する場合について説明します。

脆弱性と構成ミスの検出結果

このセクションでは、脆弱性と構成ミスの検出結果を調査する際に評価する可能性のある検出結果のプロパティについて説明します。

event_time プロパティの更新

event_time は、サービスが条件を最初に検出した日時、または条件に関する情報を最後に更新した日時を示します。

脆弱性または構成ミスの検出結果では、検出サービスが検出結果を作成した条件の変更を検出し、他の検出結果フィールドも更新すると、event_time 値が更新されることがあります。検出サービスは、スキャンごとに event_time を更新しない場合があります。

検出サービスはスキャンごとに event_time を更新しない場合があるため、特定の 有効期間の後に検出サービスが検出結果の state を INACTIVE に変更すると、有効期間が Security Command Center の検出結果の event_time と一致しないことがあります。

検出結果のミュートやセキュリティ マークによる検出結果のアノテーションなど、検出結果に対する一部の変更では、検出結果の event_time プロパティは変更されません。

変更がない場合、Security Command Center は 30 日ごとに event_time 値を自動的に更新し、最近の ACTIVE 検出結果のクエリで検出結果が返されるようにします。

state プロパティの更新

脆弱性と構成ミスは、次のいずれかの方法で修正できます。

  • 検出結果の原因となった条件を修正します。たとえば、開いているファイアウォール ポートを閉じたり、リソースへのアクセスを制限したり、パッチを適用したりします。
  • 影響を受けるリソースを削除します。

サービスが問題が存在しなくなったこと、またはリソースが存在しなくなったことを特定すると、検出結果の状態が ACTIVEからINACTIVEに自動的に変更されます。

サービスが検出結果の状態を更新するまでにかかる時間は、次のようないくつかの要因によって異なります。

特定の検出サービスが検出結果の状態を管理する方法については、そのサービスのドキュメントをご覧ください。

脅威の検出結果

脅威の検出結果 は、環境 Google Cloud 内の不審なアクティビティを特定します。

脅威の検出結果を調査し、状態を修復する適切な方法を特定したら、検出結果の状態を手動で INACTIVE に変更します。 脅威検出サービスは、脅威の検出結果の状態を自動的に INACTIVE に設定しません。詳細については、 脅威の検出結果の修復のアプローチをご覧ください。

有害な組み合わせとチョークポイントの検出結果

Risk Engine は、定期的な攻撃パス シミュレーション中に 有害な組み合わせとチョークポイントの検出結果 を作成します。有害な組み合わせは、高価値リソースへのアクセスにつながる可能性のあるセキュリティ関連の条件のセットを特定します。チョークポイントは、複数の攻撃パスが収束するリソースを特定します。

検出結果を INACTIVE に変更する方法については、 有害な組み合わせとチョークポイントを修復するをご覧ください。

ポスチャ―違反の検出結果

ポスチャ―違反の検出結果 は、組織の セキュリティ ポスチャーに一致しないリソース構成を特定します。

検出結果の状態を変更する方法については、サービス固有のドキュメントをご覧ください。

エラーに関する検出

エラーに関する検出 は、Security Command Center 環境の構成に関する問題を特定します。構成上の問題があると、 検出サービス が検出結果を生成できなくなります。構成上の問題が存在しなくなったことが検出されると、Security Command Center はエラーに関する検出を自動的に INACTIVE に変更します。

問題

Risk Engine は、 Google Cloud 環境内のセキュリティ リスクを特定するための問題を作成します。

次の問題タイプのライフサイクルについては、それぞれのドキュメントをご覧ください。

  • 相関する脅威の問題については、「相関する脅威の概要」の 問題のライフサイクル のセクションをご覧ください。
  • 有害な組み合わせとチョークポイントの問題については、 「問題の概要」の問題のライフサイクルのセクションをご覧ください。

検出結果をミュートする

一部の検出結果をミュートすることで、確認する検出結果の量を減らすことができます。 これにより、検出結果はデフォルトのダッシュボードと デフォルトの検出結果クエリに表示されなくなります。 ミュートされた検出結果は Security Command Center で引き続き使用でき、クエリを実行できます。

検出結果のミュート状態 （MUTED または UNMUTED）は、 検出結果の状態とは無関係です。 ACTIVE 状態の検出結果をミュートすることもできます。

SCC error の検出結果はミュートできません。

ミュートルールの作成の詳細については、 Security Command Center で検出結果をミュートするをご覧ください。

検出結果をミュートすることが有害な組み合わせと チョークポイントに与える影響については、 攻撃の発生可能性スコアを受け取る検出結果をご覧ください。

検出結果の保持

Security Command Center は、検出結果のクラス、状態、サービスティアに基づいて、特定の期間、検出結果とスナップショットを保持します。

リソース全体のデータ保持と削除ポリシーの詳細については、データとインフラストラクチャのセキュリティの概要をご覧ください。