脆弱性スキャンの保護

脆弱性スキャンを安全に使用するには、セキュリティおよびコンプライアンスの責任について学習します。

通常、Oracleは、クラウド・オペレータ・アクセス制御やインフラストラクチャ・セキュリティ・パッチ適用などのクラウド・インフラストラクチャおよび操作のセキュリティを提供します。クラウド・リソースを安全に構成する責任はユーザーにあります。クラウドのセキュリティは、ユーザーとOracleの共同責任です。

Oracleは次のセキュリティ要件を担当します。

• 物理セキュリティ: Oracle Cloud Infrastructureで提供するすべてのサービスを実行するグローバル・インフラストラクチャの保護はOracleが担当します。このインフラストラクチャは、Oracle Cloud Infrastructureサービスを実行するハードウェア、ソフトウェア、ネットワーキングおよび設備で構成されます。
• データベース・セキュリティ: Oracleは、スキャン・レシピ、スキャン・ターゲット、スキャン結果など、脆弱性スキャン・リソースの格納に使用されるデータベースの保護およびパッチ適用を担当します。

セキュリティの責任については、このページで説明します。このページには、次の領域が含まれています。

• アクセス制御:権限はできるかぎり制限します。ユーザーが作業を行うために必要なアクセス権のみを付与する必要があります。

Use this checklist to identify the tasks you perform to secure Vulnerability Scanning in a new Oracle Cloud Infrastructure tenancy.

脆弱性スキャン の開始後、このチェックリストを使用して、定期的に実行するセキュリティ・タスクを識別します。

ポリシーを使用して、脆弱性スキャンへのアクセスを制限します。

脆弱性スキャンのポリシーを作成する場合は、次の組織上の質問を考慮してください。

• すべてのコンパートメントのリソース間で脆弱性スキャンを構成する専用グループはありますか。
• コンパートメント管理者は、個々のコンパートメント内のリソースに対する脆弱性スキャンの構成を担当していますか。
• すべてのコンパートメント内のリソースのスキャン結果を監視し、これらの結果をコンパートメント所有者またはリソース所有者に伝える専用グループがありますか。
• コンパートメント管理者は、個々のコンパートメント内のリソースのスキャン結果を監視し、これらの結果をリソース所有者に通知しますか。
• リソース所有者はスキャン結果にアクセスする必要がありますか。

コンピュート・・インスタンス(ホスト)にエージェントベースのスキャンを使用するには、Oracle Cloud Agentをターゲット・インスタンスにデプロイするための脆弱性スキャン・サービス権限を付与する必要もあります。

最小限のIAMユーザーおよびグループ・セットにDELETE権限を付与することをお薦めします。この演習では、権限のあるユーザーによる不注意な削除または悪意のあるアクターからのデータの損失を最小限に抑えます。DELETE権限はテナンシ管理者およびコンパートメント管理者にのみ付与します。

Allow group SecurityAdmins to manage vss-family in tenancy
Allow service vulnerability-scanning-service to manage instances in tenancy
Allow service vulnerability-scanning-service to read compartments in tenancy
Allow service vulnerability-scanning-service to read vnics in tenancy
Allow service vulnerability-scanning-service to read vnic-attachments in tenancy

Allow group SalesAdmins to manage vss-family in compartment SalesApps
Allow service vulnerability-scanning-service to manage instances in compartment SalesApps
Allow service vulnerability-scanning-service to read compartments in compartment SalesApps
Allow service vulnerability-scanning-service to read vnics in compartment SalesApps
Allow service vulnerability-scanning-service to read vnic-attachments in compartment SalesApps

Allow group SecurityAuditors to read vss-family in tenancy

Allow group SalesAuditors to read vss-family in compartment SalesApps

脆弱性スキャン・ポリシーの詳細および例は、IAMポリシーのスキャンを参照してください。

脆弱性スキャンを使用して、プライベート・サブネット上にあるリソースをスキャンするか、パブリックIPアドレスを持たないリソースをスキャンします。

A Compute instance is associated with a VCN (virtual cloud network)  and a subnet . When you create a subnet in a VCN, by default the subnet is considered public and internet communication is permitted. If an instance you want to scan is on a private subnet  or has no public IP address, the VCN must include a service gateway  and a route rule for the service gateway. See Access to Oracle Services: Service Gateway.

アクセス・ログおよびその他のセキュリティ・データを脆弱性スキャンで検索します。

監査サービスは、Oracle Cloud Infrastructureリソースに対するすべてのAPIコールを自動的に記録します。監査サービスを使用してテナンシ内のすべてのユーザー・アクティビティをモニターすることで、セキュリティおよびコンプライアンスの目標を達成できます。コンソール、SDKおよびコマンドライン(CLI)のコールはすべてAPIを経由するため、これらのソースからのすべてのアクティビティが含まれます。監査レコードは、認証されたフィルタ可能な問合せAPIを介して使用可能であるか、オブジェクト・ストレージからバッチ・ファイルとして取得できます。監査ログの内容には、発生したアクティビティ、アクティビティを開始したユーザー、リクエストの日時、リクエストのソースIP、ユーザー・エージェントおよびHTTPヘッダーが含まれます。監査ログ・イベントの表示を参照してください。

たとえば、スキャン・ターゲットの作成、更新および削除に関連するすべてのAPIアクティビティを定期的に監査できます。監査サービスでは、次のイベントを検索できます。

• CreateHostScanTarget
• UpdateHostScanTarget
• DeleteHostScanTarget

{
  "eventType": "com.oraclecloud.vulnerabilityScanning.CreateHostScanTarget.begin",
  "cloudEventsVersion": "0.1",
  "eventTypeVersion": "2.0",
  "source": "vulnerabilityScanning",
  "eventId": "<unique_ID>",
  "eventTime": "2021-09-20T13:19:20.046Z",
  "contentType": "application/json",
  "data": {
    "eventGroupingId": "<unique_ID>",
    "eventName": "CreateHostScanTarget",
    "compartmentId": "<unique_ID>",
    "compartmentName": "MyCompartment",
    "resourceName": "MyScanTarget",
    "resourceId": "<unique_ID>",
    "availabilityDomain": "AD3",
    "freeformTags": {},
    "definedTags": {},
    "identity": {
      "principalName": "myuser",
      "principalId": "<unique_ID>",
      "authType": "natv",
      "callerName": null,
      "callerId": null,
      "tenantId": "<unique_ID>",
      "ipAddress": "<IP_address>",
      "credentials": "<credentials>",
      "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36",
      "consoleSessionId": "<unique_ID>"
    },
    ...
  }
}

すべての脆弱性スキャン・イベントのリストは、イベントのスキャンを参照してください。