共通機能

この2つのカテゴリのレシピの違いを理解します。

ディテクタとレスポンダの両方について、クラウド・ガードには次に対するOracle管理レシピの豊富なセットが用意されています:

• OCIアクティビティ・ディテクタ
• OCI構成ディテクタ
• OCIインスタンス・セキュリティ・ディテクタ
• OCI脅威ディテクタ
• レスポンダ

Oracle管理レシピはそのまま使用できますが、場合によっては環境の特定のニーズを満たすように変更を加える必要があります。特に、一部のルールに関連付けられているリスク・レベルを変更したり、他のルールを完全に無効にしたりできます。これらのタイプの変更を行うには、最初にレシピをクローニングしてユーザー管理コピーを作成してから、そのコピーに変更を加えます。

新しいディテクタ・ルールがOracle管理レシピに追加されると、そのレシピのすべてのユーザー管理(クローン)コピーに、Oracle管理ソースのデフォルト値を使用してルールが自動的に追加されます。その後、レシピのユーザー管理コピーで新しいルールの構成を変更できます。

次の表に、Oracle管理レシピの3つのディテクタ・ルールの例と、ユーザー管理コピーの変更方法を示します。ユーザー管理ルールの変更点は、太字で示しています:

同じOracle管理レシピを必要な回数クローニングして、特別な目的のために微調整されたユーザー管理コピーを作成できます。次のような理由により、異なるレシピを用意します:

• 非本番ワークロードと本番ワークロードの異なる処理。
• 異なるコンパートメントのリソースに対する別個の操作または通知プロセス。
• 一部のコンパートメントのリソースに対するリージョナル要件。
• 構成またはアクティビティに異なるルールを必要とする様々なタイプのリソース。

ユーザー管理レシピが、クローニング元のOracle管理レシピとの関連付けをどのように維持しているかを理解します。

• Oracle管理レシピをクローニングすると、ユーザー管理コピーが作成されます。ユーザー管理コピーは、Oracle管理のオリジナルとまったく同じですが、カスタマイズできます。

  クローン・コピーでの変更(ルール設定の変更など)は、元のディテクタまたはレスポンダ・レシピには影響しません。

• ユーザー管理レシピのすべてを変更することはできません。個々のルールについて、リスク・レベルを変更したり、ルールを有効または無効にしてそのリスク・レベルを変更したりできます。ルールの削除や新規ルールの追加はできません。
• ユーザー管理レシピを使用するには、ターゲットに追加する必要があります。ターゲットには、各タイプのレシピ(構成ディテクタ、アクティビティ・ディテクタおよびレスポンダ)を1つのみ追加できます。追加するタイプのレシピがターゲットにすでにある場合は、同じタイプのレシピを追加する前にそのレシピを削除する必要があります。「OCIターゲットおよびそのアタッチされたレシピの編集」を参照してください。
• クラウド・ガードは、ユーザー管理レシピと元のOracle管理レシピの同期を維持します。元のOracle管理レシピに追加された新しいルールは、クローン・コピーに自動的に追加されます。また、元のOracle管理レシピのルールに加えられた改良は、クローン・コピーの同じルールに自動的に反映されます。
• ユーザー管理レシピに追加される新しいルールを監視します。追加された新しいルールは、デフォルトで無効になります。新しいルールを詳細に調べて、有効にするかどうかを判断します。これらの更新については、クラウド・ガードのリリース・ノートを定期的に参照してください。
• ユーザー管理レシピで無効にしたルールのリストをモニターして、有効にする必要があるかどうかを判断します。時間が経過すると、以前に無効にしたいくつかのレシピを使用した方がよいとわかることがあります。これらの更新については、クラウド・ガードのリリース・ノートを定期的に参照してください。

Oracle Cloud Guardがレシピ設定を2つのレベルに分離する方法と、Oracle管理またはユーザー管理(クローン)のディテクタおよびレスポンダ・レシピの様々な設定をそれらの2つのレベルで更新する方法を理解します。

クラウド・ガードは、ディテクタおよびレスポンダ・ルールに対して構成できる設定を、レシピ・レベルとターゲット・レベルの2つのグループに分割します。これらのレベルには様々なページからアクセスします。

詳細がわからない場合、Oracle Cloud Guardでの検出器およびレスポンダ・レシピの管理が混乱する可能性があります。この項では、「ターゲット」ページまたは各レシピ・ページからアクセスしたときの、すべてのタイプのレシピに関する情報を示します。

• レシピ・レベルの設定は、戦略的な性質があります。つまり、影響の範囲が最も広く、レシピがアタッチされているすべてのターゲットに影響を与えます。これらの設定を変更するには、最高レベルの権限が必要です。
  • セキュリティ原則: レシピ設定はクラウド・ガードに広範な影響を与えるため、このレベルでの設定変更を許可するユーザーは少なくする必要があります。
  • レシピ・レベルで変更できる設定:
    • ディテクタ:
      • ステータス(ルールの有効化または無効化、ユーザー管理のみ)。
      • リスク・レベル(ユーザー管理のみ)。
      • ラベル。
      • 入力設定(ルールに適用される場合)。
      • 「条件付きグループ」設定
    • 応答者:
      • ステータス(ルールの有効化または無効化、ユーザー管理のみ)。
  • スコープ: レシピ・レベルでディテクタおよびレスポンダ・ルールに対して行われる変更:
    • ステータスの変更(ルールの有効化または無効化):
      • ユーザー管理(クローン)レシピでのみ可能です。
      • ディテクタまたはレスポンダがすでにアタッチされているか、後でアタッチされるすべてのターゲットにグローバルに適用されます。
    • 「条件付きグループ」設定:
      • ディテクタまたはレスポンダ・レシピが後で追加されるすべてのターゲットにデフォルト値を指定します。
      • ターゲットにレシピを追加した後は、そのターゲットからのみ「条件グループ」設定を変更できます。
    • ポリシー・ステートメント(レスポンダ・ルールの場合、ターゲット・レベルのみ):
      • ポリシー・ステートメントの有効化はグローバルであり、レシピ・レベルとターゲット・レベルの両方で、ポリシーを必要とするすべてのレスポンダ・ルールに適用されます。
      • ポリシーを有効にする必要があるのは、テナンシ内で1回のみです。
  • アクセス: 前述のように、レシピ・ページ、「ディテクタ・レシピ」または「レスポンダ・レシピ」からディテクタおよびレスポンダ・ルールにアクセスして、これらの設定を変更します。
• ターゲット・レベルの設定は、戦術的な性質があります。つまり、これらは単一のターゲットにのみ影響するため、変更するには低レベルの権限で十分である可能性があります。
  • セキュリティ原則: ターゲットは、より狭い範囲に影響する傾向があり、コンパートメントのサブセットにのみ影響を与えるため、このレベルではより多くのユーザーに設定変更を許可できます。
  • ターゲット・レベルで変更できる設定:
    • ディテクタ:
      • 条件グループ(ユーザー管理のみ)。
    • 応答者:
      • ステータス(ルールの有効化または無効化、ユーザー管理のみ)。
      • 「入力設定」: 「修正後通知」を有効または無効にします(ルールに適用される場合)。
      • 「ルール・トリガー」の「自動的に実行」と「実行前に確認する」を変更します。
      • その他の設定を変更します(たとえば、「必須のポリシー・ステートメント」および「修正通知」の有効化または無効化)。
  • スコープ: ターゲット・レベルでディテクタおよびレスポンダ・ルールに対して行われる変更は、次に適用されます:
    • 一般に、変更は現在のターゲットに適用されます。変更は、ディテクタまたはレスポンダ・レシピがすでにアタッチされているターゲットの設定には影響しません。レシピをターゲットにアタッチした後、そのターゲットの設定をさらに変更するには、同じターゲットから行う必要があります。後でレシピ・レベルで行った変更により、ターゲットにアタッチされているレシピが自動的に更新されます。
    • 必要なポリシーの有効化および修正通知の有効化および無効化(両方ともレスポンダ・レシピの場合のみ)では、変更により、ユーザー管理(クローン)ディテクタまたはレスポンダ・レシピが後で追加されるすべてのターゲットのデフォルト値が提供されます。
  • アクセス: 前述のように、これらの設定を変更するには、「ターゲット」ページからディテクタおよびレスポンダ・ルールにアクセスします。

• 重要な制限のサマリー - 一部の設定は、レシピまたはターゲット・レベルでのみ、またはOracleまたはユーザー管理レシピでのみ変更できます:
  • ディテクタ:
    • ステータス(ルールの有効化または無効化) - ユーザー管理レシピ内、レシピ・レベルでのみ。
    • リスク・レベル - ユーザー管理レシピ内、レシピ・レベルでのみ。
    • ラベル - ユーザー管理レシピ内、レシピ・レベルでのみ。
  • 対応者:
    • ステータス(ルールの「有効化」または「無効化」) - ユーザー管理レシピ内、レシピ・レベルでのみ。
    • 「入力設定」。「修正後通知」を有効または無効にする場合(ルールに適用する場合)、ターゲット・レベルでのみ(Oracle管理レシピとユーザー管理レシピの両方)。
    • ルール・トリガー(「自動的に実行」と「...前に確認」の間) - ターゲット・レベルでのみ(Oracle管理とユーザー管理の両方のレスポンダ・レシピの場合)。

次の表は、Oracle管理レシピとユーザー管理レシピの両方について、レシピ・レベルおよびターゲット・レベルで変更できるディテクタおよびレスポンダ・ルール設定をまとめたものです。

コンパートメント階層をターゲットにマップします。ターゲットにアタッチするディテクタ・レシピは、コンパートメント階層内のリソースをモニターします。

コンパートメントの下位に他のコンパートメントがある場合、ディテクタ・レシピのルールは、階層内のすべての下位レベル・コンパートメントに自動的に適用されます。

コンパートメント階層に、異なるレベルのコンパートメントに適用されるディテクタ・レシピがある場合、ルールが競合すると、下位レベルで適用されるディテクタ・レシピのルールによって、上位レベルで適用されるディテクタ・レシピのルールがオーバーライドされます。これは、ディテクタ・レシピが適用されるコンパートメントとその下位にあるすべてのコンパートメントに適用されます。

ディテクタ・レシピとそのディテクタ・ルール内のフィールドは、4つのレベルで変更できます。それぞれに独自の制限セットがあります。

1. Oracle: クラウド・ガードで新しいOracle管理レシピを更新または作成する必要がある場合、それらはすべてのテナントで使用できます。
2. テナント: これらは特定のテナントにのみ適用可能な変更です。
   • これらのフィールドは、Oracle管理レシピのテナント・レベルで変更できます:
     • ラベル(追加のみ可能)
     • 構成(「設定」とも呼ばれる)
     • 条件
   • これらのフィールドは、Oracle管理レシピのテナント・レベルで変更できません:
     • ステータス(有効/無効)
     • リスク・レベル
   • これらのフィールドは、Oracle以外の管理レシピのテナント・レベルで変更できます:
     • ステータス(有効/無効)
     • リスク・レベル
     • ラベル
     • 構成(「設定」とも呼ばれる)
     • 条件
3. ターゲット: これらは特定のターゲットにのみ適用可能な変更です。
   • これらのフィールドは、Oracle管理レシピとOracle以外の管理レシピの両方のターゲット・レベルで変更できます:
     • 条件
   • これらのフィールドは、Oracle以外の管理レシピのターゲット・レベルで変更できます:
     • ステータス(有効/無効)
     • リスク・レベル
     • ラベル
     • 構成(「設定」とも呼ばれる)
4. ターゲットのサブコンパートメント: これらは、ターゲットの子孫ツリーから選択されたコンパートメントにのみ適用可能な変更です。
   • これらのフィールドは、Oracle管理レシピとOracle以外の管理レシピの両方のターゲット・レベルで変更できます:
     • 条件
   • これらのフィールドは、Oracle以外の管理レシピのターゲット・レベルで変更できます:
     • ステータス(有効/無効)
     • リスク・レベル
     • ラベル
     • 構成(「設定」とも呼ばれる)