IBM Cloud Security and Compliance Center Workload Protection 概説

IBM Cloud® Security and Compliance Center Workload Protection を導入し、AI ワークロードを含むハイブリッド・マルチクラウド環境およびオンプレミス環境全体に、強固なセキュリティ基盤を構築しましょう。 クラウドネイティブ・アプリケーション保護プラットフォーム（CNAPP）の機能を活用することで、リスクの評価、脆弱性の優先順位付け、脅威の検知を行い、アプリケーションのライフサイクル全体を通じてセキュリティとコンプライアンスを一貫して管理することができます。

Workload Protection Sysdig Secureの機能を利用しています。 このコンテンツのあちこちで、 Sysdig Secure のドキュメントへのリンクが表示される場合がありますが、その情報は Workload Protection にも当てはまるためです。

開始前に

Workload Protection インスタンスを設定する前に、リソースグループ内でリソースを作成する権限があることを確認してください。

IBM Cloud アカウント所有者は、サービスのインスタンスを作成、表示、削除することができ、他のユーザーに IBM Cloud Security and Compliance Center Workload Protection サービスの操作権限を付与することができます。 管理者または編集者の役割を持つ他の IBM Cloud ユーザーは、 Workload Protection サービスを管理できます。 アクセス管理の詳細については、「 Workload Protection の IAM アクセス管理 」および「 IBM Cloud におけるユーザーアクセスの管理 」を参照してください。

Workload Protection のセットアップ

IBM Cloud で Workload Protection のセキュリティ機能を追加するには、このサービスのインスタンスを作成する必要があります。

インスタンスはリソースグループ内で作成されます。 リソースグループは、アクセス制御や課金の目的でサービスを整理するためのものです。 Workload Protection インスタンスは、デフォルトのリソースグループまたはカスタムリソースグループ内に作成できます。

以下のステップを実行します。

  1. IBM Cloud コンソールの カタログに移動します。

  2. 「 Security and Compliance Center Workload Protection 」を検索し、そのタイルを開きます。

  3. 場所とプランを選択してください。

  4. （オプション）CSPMはデフォルトで有効になっています。 この機能を有効にすると、 Workload Protection は、 IBM Cloud アカウントおよびリソースのコンプライアンス状況をスキャンします。 アカウントコンプライアンス状況のスキャンを行いたくない場合は、CSPMを無効にすることができます。

    IBM Cloud に加えて、複数のクラウドアカウントセキュリティ対策にご興味はおありですか？ Workload Protection は、 AWS や Azure など、複数のクラウドプロバイダーに対応しています。 詳細については、 クラウドアカウント連携する をご覧ください。

  5. 「作成」 をクリックします。

エージェントを追加して、コンテナとホストを保護する

Workload Protection のインスタンスを作成したら、クラスターにエージェントをデプロイできます。 エージェントは、侵入検出、ポスチャー管理、脆弱性スキャン、およびインシデント対応の各機能に使用できるデータを収集します。

IBM Cloud Security and Compliance Center Workload Protection
IBM Cloud Security and Compliance Center Workload Protection

コンソールを使用して、既存の Red Hat OpenShift または Kubernetes クラスターを、 Workload Protection のインスタンスに接続することができます。 「 コンテナ」＞「クラスター 」に移動して、既存のクラスターにアクセスします。 次に、「 Workload Protection 」ウィジェットの 「接続 」をクリックして、クラスターを Workload Protection に接続します。

プログラムでエージェントを追加するには、以下のオプションから選択してください：

他のコンテナやホストにエージェントを追加することもできます。これには、 IBM Satellite、 Power Virtual Server 上の Linux ホスト、 Power Virtual Server 上の AIX ホスト などが含まれます。

エージェントを追加すると、 Workload Protection のUIを通じてデータの閲覧、管理、分析を行うことができます。 そこにアクセスするには、「 IBM Cloud 」のコンプライアンスページに移動し、お使いの Workload Protection インスタンスを選択して、「 ダッシュボードを開く 」をクリックしてください。

環境の保護

エージェントを追加した後、以下のタスクを実行することで、環境のセキュリティを確保できます

スキャンをCI/CDパイプラインに組み込む
CI/CD パイプラインにスキャンを組み込み、CI/CD のワーカー・ノードにあるイメージを分析できます。 詳細については、「 スキャンを CI/CD パイプラインに統合する 」を参照してください。
通知チャネルの設定
注意が必要なイベント、異常、またはセキュリティー・インシデントについて通知を受け取るように通知チャネルを構成できます。 詳細については、「 通知チャネルの管理 」を参照してください。
ルールを設定する
ルールは、セキュリティポリシーを作成するための基本的な構成要素です。 ルールとは、組織がその環境内で検知したいと考えるあらゆる種類の活動を指します。 詳細については、「 ルールの管理 」を参照してください。
コンプライアンスの結果を確認してください
コンプライアンス・モジュールは、リソースをインベントリに永続化することに依存しています。 これにより、リソースの可視性が向上し、状況全体を踏まえた優先順位付けが可能になることで、違反事項の是正と解決が促進されます。 詳細については、「 コンプライアンス結果の確認 」をご覧ください。