CSPMを有効にする

CSPM を利用することで、 IBM Cloud の全リソースにおけるクラウドのセキュリティ状況を可視化できます。 CSPMは、セキュリティのベスト・プラクティスとコンプライアンス・フレームワークに照らして、クラウド・リソースを自動的に検出し、評価します。

デフォルトでは、新しい Workload Protection インスタンスを作成すると CSPM が有効になります。 CSPM を有効にしておくと、 IBM Cloud のアカウントリソースを自動的にスキャンし、コンプライアンスを確認できます。 インスタンスを作成する前にCSPMを無効にすると、 後で手動で接続を設定できます。

組み込みのコンプライアンス・フレームワークを使用する

Workload Protection は、 IBM Cloud Framework for Financial Services、DORA、 CIS IBM Cloud Foundations Benchmark、PCI標準などのビルトイン・コンプライアンス・フレームワークを提供します。 これらのフレームワークを使用して、業界標準に対するコンプライアンス態勢を評価し、セキュリティ管理のギャップを特定し、監査用のコンプライアンスレポートを作成し、長期的な改善状況を追跡します。

定義済みのポリシーから 始め、適切なゾーンに適用する。 これらのポリシーは定期的に更新され、新しいパラメータやチェックが追加される。 定義済みのポリシーが要件を満たさない場合は、既存のコントロールまたはカスタマイズされたコントロールに基づいて カスタムポリシーを作成します。 実行中のコンプライアンス スキャンに影響を与えないようにするため、ポリシーを設計および構成している間はドラフト状態に保つ。 ポリシーはパブリッシュされるまで、あなたの環境では実行されません。

改善策の検討と優先順位付け

最初のスキャンが完了したら、「 攻撃対象領域」＞「コンプライアンスの調査結果 」から姿勢に関する結果を確認してください。 すべてのコンプライアンス違反が同じリスクを伴うわけではない。 重大度別に修復作業を集中させ、重要で重大性の高い発見から対処する。 詳しくは「 調査結果 」を参照。

インベントリを使用して、接続されているすべての IBM Cloud リソースを確認し、機能フィルタを使用して、最も一般的でリスクのあるリソースに絞り込みます。

戦略的にエージェントを追加する

セキュリティの可視化とコンプライアンス監視が必要なすべての環境にエージェントを導入します：

Kubernetes および OpenShift クラスタ

Helm チャートを使用してエージェントを配置し、管理と更新を容易にします。 Helm 3.6 またはそれ以降が必要。 エージェントをアプリケーションのワークロードから分離するために、専用のネームスペース（例えば、 ibm-observe ）を作成する。

仮想サーバー

Linux および Windows 仮想サーバーにエージェントをインストールし、ホストレベルのセキュリティを監視する。

IBM Cloud Satellite のロケーション

ハイブリッド環境全体で一貫したセキュリティを実現するために、 Satellite- 管理されたインフラストラクチャにエージェントを展開します。

Power Systems

AIX と Linux on Power にエージェントをインストールし、これらのプラットフォームにセキュリティ監視を拡張する。

コンソールを使用して、既存の Red Hat OpenShift または Kubernetes クラスターを Workload Protection のインスタンスに接続できます。 IBM Cloud コンソールで、 Containers > Clusters と進み、既存のクラスターにアクセスする。 次に、 Workload Protection ウィジェットの Connect をクリックして、クラスタを Workload Protection に接続します。

プログラムでエージェントを追加するには、以下のオプションから選択してください：

• Kubernetes クラスタへのエージェントの配置
• OpenShift クラスタへのエージェントの配置
• にエージェントを配置する Satellite
• の Linux ホストにエージェントを展開する。 Power Virtual Server
• の AIX ホストにエージェントを展開する。 Power Virtual Server
• 外部の Kubernetes または Red Hat OpenShift クラスタにエージェントを展開する。
• Windows上でのエージェントの展開
• Linux ホストへのエージェントの展開

エージェントを適切に設定する

お客様の環境と要件に基づいてエージェント構成をカスタマイズします：

eBPF ドライバー

サポートされている場合は、ユニバーサル eBPF ドライバを設定する。 ユニバーサル eBPF ドライバは、カーネルバージョン 5.8 またはそれ以降を必要とします。 古いバージョンを使っている場合は、BPFリングバッファのサポートとBTF（BPF Type Format）を公開するカーネルが必要です。 エージェントのインストール中に問題が発生した場合は、 eBPF の設定を削除するか、サポートにお問い合わせください。

プライベート・エンドポイント

セキュリティ要件として、データが公共のインターネットを通過しないことが義務付けられている場合は、プライベートエンドポイントを使用するようにエージェントを構成します。 お使いのアカウント、仮想ルーティングおよび転送（VRF）が有効になっていることを確認してください。

リソース割り振り

アプリケーションのワークロードでリソースが競合しないように、エージェントに適切なCPUとメモリの制限を設定します。 エージェントのCPUとメモリ使用量を監視し、アプリケーションのパフォーマンスに影響を与えないようにする。

アクセス・キー

エージェントが使用するアクセスキーを保護する。 不正アクセスを防止するため、定期的にキーをローテーションし、未使用のキーは直ちに無効化する。

代理店に最新情報を提供

定期的にエージェントを最新バージョンにアップデートし、新機能、バグフィックス、セキュリティパッチの恩恵を受けましょう。 Agentのリリースノートでアップデートを確認してください。

エージェントを共有する Monitoring

Workload Protection と IBM Cloud Monitoring の両方を使用する場合、両方の製品で動作する単一のエージェントを配備する。 どちらかのサービスのインスタンスを作成するときに接続することで、エージェントの重複を避け、コストを最適化することができます。

ゾーンでリソースを整理する

デフォルトでは、 Workload Protection、接続されているすべてのリソースに対して「 インフラストラクチャ全体 」というゾーンが作成される。 カスタムゾーンを作成し、事業部門、地理的な場所、コンプライアンス要件などに基づいて、コンプライアンス評価のためのリソースを論理的に整理します。

コンテキスト・ベースの制限を処理する

リソースに対してコンテキストベースの制限が有効になっている場合、アクセスが提供されない限り、構成データを収集することはできない。 適切なネットワークゾーンを作成し、 App Configuration を参照サービスとして参照し、 Workload Protection がリソースをスキャンできるようにする。 詳しくは、 コンテキストベースの制限を作成するを 参照してください。

信頼できるプロフィール・テンプレートの設定

エンタープライズアカウント、 Workload Protection がアカウントコンプライアンスをスキャンできるように、信頼済みプロファイルテンプレートを設定する必要があります。 これは、CSPMによる全社的なコンプライアンス管理のための重要な要件である。 詳細は すべてのアカウント設定データを収集するために、 App Configuration を設定する を参照。

アカウント ID に基づいてゾーンを作成し、企業内のさまざまな部分のコンプライアンス レポートを整理および管理します。

企業アカウント IAMを有効にする

エンタープライズアカウント、信頼されたプロファイルテンプレートとアカウントサポートするために、IAMが有効になっている必要があります。 アカウント CSPMを設定する前に、エンタープライズ・ アカウント IAMが有効になっていることを確認してください。

企業全体のアクセス管理

最小特権の原則を企業全体に導入する：

• IAMアクセス・グループを 使用して、同様のアクセス・ニーズを持つユーザーを編成する。
• タスクの実行に必要な最小限の権限のみをユーザーに付与する。
• プラットフォームとサービスの役割を適切に分ける。
• 定期的にアクセス権を見直し、役割が変わっても適切なアクセス権が維持されるようにする。