IBM Cloud Security and Compliance Center Workload Protection を VMware Cloud Foundation の VPC 展開と統合するためのアーキテクチャ・パターン
このアーキテクチャ パターンでは、IBM Cloud® Security and Compliance Center ワークロード プロテクションを VPC (仮想プライベート クラウド) に VMware Cloud Foundation for VPC 展開する方法を説明します。
Security and Compliance Center Workload Protection は、Microsoft Windows® および Linux® 仮想マシン (VM) を保護する機能を提供し、VMware® 環境上でホストされます。 これらの機能には、コンプライアンス、脆弱性スキャン、脅威検出が含まれる。
Security and Compliance Center Workload Protection は他の IBM Cloud サービス用の機能を提供しますが、これらの機能についてはこのパターンでは説明しません。 詳細については、IBM Cloud Security and Compliance Center Workload Protection を参照してください。
IBM Cloud Security and Compliance Center Workload Protection は Sysdig Secure の機能を実装しています。 Sysdig Secure の文書で提供される情報は、ワークロード保護にも適用されます。
Security and Compliance Center Workload Protection サービスのインスタンスをプロビジョニングした後、Host Shield Agent を Windows または Linux VM に配備できます。 エージェントは、侵入検知、姿勢管理、脆弱性スキャン機能に使用されるデータを収集する。
VMware ワークロードに対する Security and Compliance Center ワークロード保護の概要
Security and Compliance Center ワークロード保護は、 ワークロードに対して以下の3つのプラクティスを可能にします： VMware
- 脅威の検出 - 脅威の検出は、Windows および Linux VM 内のセキュリティ違反、不審な動作、または異常なアクティビティを検出して対応するためのルールで構成されるポリシーを定義することで管理されます。 Security and Compliance Center Workload Protection は、Sysdig の脅威研究チームによって作成および保守される、カスタマイズ可能な組み込みポリシーを提供します。 これらのポリシーは、マルウェア、侵入、DDoS攻撃など、さまざまなセキュリティ脅威を検出して防止することができます。 これらの政策の結果は「イベント」で見ることができる。 詳しくは、イベント・フィードをご覧ください。
- 脆弱性 - Security and Compliance Center Workload Protection は、Windows および Linux VM の脆弱性リスクを非常に正確に表示します。 ビューには、次のような脆弱性リスクに関する豊富な詳細が含まれています：CVSS ベクトル、スコア、修正年数、および NIST National Vulnerability Database (NVD) や VulnDB を含む複数のエキスパート フィードからの洞察です。
- コンプライアンス - 姿勢管理は、コンプライアンスを管理するための統制、ガイドライン、ベンチマーク、基準を含む枠組みを提供する。 Security and Compliance Center Workload Protection を使用すると、 CIS Distribution Independent Linux Benchmark やコンプライアンスポリシー、 CIS Windows Server 2019/2022 Benchmarks など、いくつかの CIS ベンチマークに対して
Windows および Linux VM を評価できます。 詳細については、検出から修復までのコンプライアンス態勢の分析 を参照してください。 典型的な使用例は以下の通り：
- 事前に定義されたポリシーに照らして現在のコンプライアンス状況を確認し、コンプライアンスギャップの大きさを把握する。
- VM のコンプライアンス状況のレポートを作成することで、特定の時点でのコンプライアンス状況を監査人に示す。
Security and Compliance Center ワークロード保護を統合するパターン
次の図は、VPC 内の VMware Cloud Foundation デプロイメントを IBM Cloud Security and Compliance Center Workload Protection と統合する例を示しています。
このアーキテクチャー・パターンをまとめると以下のようになる：
- Windowsまたは Linux VMにインストールされるエージェントは、脅威検出、姿勢管理、脆弱性スキャンに使用されるデータを収集する。 詳細については、Sysdigエージェントを参照してください。 Sysdig Host Shield Agentsは、脅威検出、姿勢管理、脆弱性スキャンを提供します。 詳しくは、以下を参照してください。
- DNS サーバーは、Security and Compliance Center Workload Protection エンドポイントの URL を解決できる必要があります。 必要に応じて、IBM Cloud DNSリゾルバを使用するようにDNSサーバを設定します。
- ファイアウォールルールにより、インターネットからのエージェントのダウンロードと、 HTTPS から Security and Compliance Center のワークロードプロテクションのプライベートエンドポイントへの接続が可能になります。 ファイアウォールルールの構成の詳細については、ゲートウェイファイアウォールポリシーとルールの追加を参照してください。
- VMとVPCに接続されたサービス間のルーティング。 詳細については、Tier-0と VPC 間のプライベート トラフィックを参照してください。
- IBM Cloud Security and Compliance Center Workload Protectionインスタンス。 詳しくは、以下を参照してください。
考慮事項
このアーキテクチャ・パターンを設計または展開する際には、以下の情報を考慮すること：
- このパターンでは、T0に設定されたファイアウォール・ポリシーとSNATについて説明します。 T1の使用も可能である。
- このパターンは分散ファイアウォールを使用しない。 分散ファイアウォールの設定の詳細については、FQDNフィルタリングを参照してください。