よくある質問 Workload Protection
IBM Cloud Security and Compliance Center Workload Protection に関するよくある質問。
無料トライアルと段階的プランの違いは何ですか？
無料トライアルプランでは、 Workload Protection のすべての機能を30日間無料でご利用いただけます。 30日後、有料プランであるGraduated Tierプランにアップグレードすることができます。 詳しくは「 価格 」をご覧ください。
Workload Protection では料金はどのように計算されますか?
価格設定は、 Workload Protection の使用方法によって異なります：
- クラウドコンプライアンスのためのクラウドセキュリティポスチャ管理（CSPM）：スキャン対象となるコンピューティングインスタンスごとに課金されます。 課金対象となるコンピューティングインスタンスの一覧については、「 課金対象リソース」を 参照してください。 CSPMの対象としてスキャンされるその他のクラウドリソースについては、料金は発生しません。
- Kubernetes クラスタにインストールされたエージェントによる保護：ワーカーノード1台あたりの1時間単位で課金されます。
- 仮想マシンにエージェントをインストールしたホスト保護：仮想マシン（ VM ）1ノード時間あたりの料金。
料金は消費量に応じて月単位または時間単位で計算される。 使用量が増えるにつれて、価格段階を超えたボリュームディスカウントの恩恵を受けることができます。 詳しくは「 価格 」をご覧ください。
Terraformを使って、 Workload Protection のプロビジョニングを自動化することはできますか？
はい。 Workload Protection モジュールは、 IBM Cloud Security and Compliance Center Workload Protection インスタンスのプロビジョニングと管理を「コード」として行うための、厳選されたTerraform設定を提供します。 これを使用すると、 アカウントや環境をまたいで、インスタンスの設定を一貫して自動化することができます。 利用可能な IBM Cloud のTerraformモジュールの概要については、 「Terraform IBM モジュールについて 」を参照してください。
Workload Protection エージェントはどのオペレーティングシステムとプラットフォームをサポートしていますか？
エージェントは Kubernetes クラスタ ( Kubernetes Service, ROKS), Red Hat OpenShift クラスタ, Satellite クラスタ, Linux ホスト ( Debian, Ubuntu, CentOS, RHEL, Fedora, Amazon Linux ), Windows サーバ, Power Virtual Server 上の AIX ホスト, Power Virtual Server 上の Linux ホストをサポートします。
また、他のクラウドプロバイダーやオンプレミスなど、 IBM Cloud の外部で実行される Kubernetes または Red Hat OpenShift クラスタにエージェントをデプロイすることもできます。 展開手順については、 エージェントの管理 を参照してください。
Workload Protection エージェントはどのネットワークポートを必要としますか？
エージェントは、ポート 6443 のコレクターエンドポイントおよびポート 443 の API エンドポイントへのアウトバウンド TCP トラフィックを必要とする。 クラスタまたはホストから Workload Protection サービス・エンドポイントへのアウトバウンド・トラフィック用に、両方のポートを開いておく必要があります。 これは、バーチャル・プライベート・エンドポイント（VPE）を使用した接続を含め、パブリック・エンドポイント接続とプライベート・エンドポイント接続の両方に適用されます。
エンドポイントのリストについては、「 エンドポイント 」を参照。
Workload Protection エージェントを展開するために必要な Helm のバージョンは？
Helm 3.6 Kubernetes、 Red Hat OpenShift、 Satellite のクラスタに Helm チャートとともに Workload Protection エージェントをデプロイするには、それ以降が必要です。
コンテナやホストごとにどのような機能が利用できますか？
Workload Protection は、エージェントを配置する場所に応じて、以下のセキュリティ機能を提供します：
| 環境 | 脅威の検知と対応 | Posture management | ホストのスキャン |
|---|---|---|---|
| Kubernetes クラスター |  |
|
|
| Red Hat OpenShift クラスタ | |
|
|
| Satellite クラスター | |
|
|
| Linux ホスト | |
|
|
| Windows サーバー | |
|
|
| Linux ホスト Power Virtual Server | |
|
|
| AIX ホスト Power Virtual Server | |
- 脅威の検知と対応
- アプリケーション、ネットワーク、ホストのアクティビティに基づいて脅威を特定します。
- Posture management
- ホストの設定ファイルとリソースをスキャンし、 CIS ベンチマークなどのベンチマークに準拠しているかどうかを確認します。
- ホストのスキャン
- 脆弱性を検出し、解決の優先順位を特定する。
展開手順については、以下のエージェント展開ドキュメントを参照してください。 Kubernetes, Red Hat OpenShift, SatelliteWindows サーバー、 PowerVS の Linux ホスト、または PowerVS の AIX ホストのための エージェントの展開ドキュメントを参照してください。
ワークロードを保護するためにエージェントを導入するには？
展開プロセスは、ワークロードが実行される環境によって異なる：
コンテナへのエージェントの追加 ( Kubernetes, Red Hat OpenShift, Satellite )
コンテナ環境にエージェントを配備するには、以下の手順を実行する：
- Helm 3.6 またはそれ以降がインストールされていることを確認してください
- インスタンスから Workload Protection アクセスキーとコレクターエンドポイントを取得する
- アウトバウンドの TCP トラフィックがポート
6443(コレクター) およびポート443(API) で許可されていることを確認する - Workload Protection Helm リポジトリを追加する
- アクセスキーとコレクタエンドポイントを使用して、 Helm チャートを使用してエージェントを展開します
- エージェントポッドが正常に実行されていることを確認してください
ホストへのエージェントの追加 ( Linux, Windows, AIX on Power Virtual Server )
ホスト・システムにエージェントを展開するには、以下の手順を実行します：
- インスタンスから Workload Protection アクセスキーとコレクターエンドポイントを取得する
- アウトバウンドの TCP トラフィックがポート
6443(コレクター) およびポート443(API) で許可されていることを確認する - お使いのオペレーティング・システムに適したエージェント・インストーラをダウンロードする
- アクセスキーとコレクターのエンドポイントを使用して、インストールスクリプトまたはコマンドを実行する
- エージェントサービスが実行され、接続されていることを確認する
お使いの環境に特化した詳細な展開手順については、以下のエージェント展開ドキュメントを参照してください。 Kubernetes, Red Hat OpenShift または ホスト環境の エージェント展開ドキュメントを参照してください。
Workload Protection エージェントを最新の状態に保つ責任は誰にありますか？
IBM は、新機能、不具合修正、セキュリティ修正を含むエージェントイメージの定期的なアップデートを提供し、エージェントリリースノートに変更を文書化します。 新しいバージョンが利用可能になったときに、それを最新の状態に保つために、あなたの環境でエージェントを更新する責任があります。 これらの リリースノートで、新機能や機能強化を追跡することができます。
IBM Cloud どのサービスをスキャンしてコンプライアンス上の問題を調べることができますか？
IBM Cloud Object Storage, Kubernetes Service, Red Hat OpenShift, 仮想プライベートクラウド（VPC）リソース、 Secrets Manager, Databases for Elasticsearch, Key Protect, Container Registry, Code Engine, Event Streams, Direct Link, Transit Gateway, Schematics, Monitoring, Hyper Protect Crypto Services, App ID, などのデータベースを含む、幅広い IBM Cloud サービスについて、コンプライアンス問題をスキャンすることができます。 全リストは、 IBM Cloud Security Posture Management （CSPM）についてを ご覧ください。
Workload Protection は、コンプライアンス・スキャンのために、私の IBM Cloud リソース設定をどのように収集しますか？
Workload Protection は、 App Configuration のアグリゲーター機能を使用して、コンプライアンススキャンのためのリソース構成の詳細を収集します。 アグリゲーター機能は無料で、 App Configuration のベーシックプランに含まれている。 この統合は、 IBM Cloud Identity and Access Management 信頼されたプロファイルを使用して権限を管理する。 詳細については、 CSPM の実装（ IBM Cloud ）を参照。
IBM Cloud アカウント Workload Protection に接続してから、コンプライアンス・スキャン結果が表示されるまでどのくらいかかりますか？
結果は通常、 アカウントリソース数にもよりますが、接続が確立されてから5～10分後に表示されます。
Workload Protection を使用して、 IBM Cloud 企業をスキャンしてコンプライアンスを確認できますか？
はい。 IBM Cloud エンタープライズアカウント統合して、組織内のすべてのアカウントコンプライアンスをスキャンできます。 詳細については、 CSPM for IBM Cloud の実装と、 Workload Protection を設定して企業のコンプライアンス・スキャンを行うを 参照してください。
Workload Protection で使用するためのエンタープライズ・ アカウント設定方法を教えてください
Workload Protection で企業内のすべてのアカウントスキャンできるようにするには、企業アカウント信頼済みプロファイルテンプレートと信頼済みプロファイルを設定する必要があります。 この設定を行わないと、 App Configuration はアカウントスキャンできず、コンプライアンスデータは企業アカウント収集されます。
以下のステップを実行します。
- 以下のアクセスポリシーを持つ信頼済みプロファイルテンプレートを作成する：すべてのアカウント管理サービスには「Viewer」および「 ConfigReader 」、すべての Identity and Access 対応サービスには「Reader」、「Viewer」、「 ConfigReader 」を指定します。
- 信頼済みプロファイルテンプレートを企業内のアカウントおよびアカウントグループに割り当てます。
- 信頼済みプロファイルを作成して、 App Configuration に、以下のアクセスポリシーで信頼済みプ ロファイルテンプレートを読み取るためのアクセス権を付与します：Enterprise サービスでは Viewer ロール、すべての IAM アカウント Management サービスでは Template Administrator、Assignment Administrator、および Viewer ロールを使用します。
- エンタープライズ ID、信頼済みプロファイルテンプレート ID、および信頼済みプロファイル ID を使用して、 App Configuration インスタンスの構成アグリゲータを構成します。
ステップバイステップの詳細な手順については、 Workload Protection を設定して企業のコンプライアンス・スキャンを行うを 参照してください。 ベストプラクティスについては、 企業アカウントベストプラクティス。
IBM Cloud リソースのコンテキスト・ベースの制限を有効にした場合、CSPM データ収集に影響はありますか？
はい。 IBM Cloud アカウントリソースに対してコンテキストベースの制限が有効になっている場合、そのリソースへのアクセスが明示的に提供されない限り、構成データを収集することはできません。 アクセスを提供するには、ルールを作成する必要がある。 コンテキストの追加を求められたら、ネットワークゾーンを作成し、参照サービスとして App Configuration。 詳細については、 CSPM の実装（ IBM Cloud ）を参照。
Workload Protection IBM Cloud のリソースをスキャンしてコンプライアンスを確認する頻度はどのくらいですか？
Workload Protection は、適用したコンプライアンス・ポリシーに基づき、接続されているすべての IBM Cloud アカウント 24 時間ごとに自動的にスキャンします。 24時間のスケジュールは、あなたが初めてアカウント接続したときに開始されます。 追加料金なしでオンデマンド・スキャンも可能です。
コンプライアンス違反は、 Workload Protection UI の Compliance ページに表示されます。 コンプライアンス・スナップショットは、 IBM Cloud コンソールの 「Security 」 > 「 Overview」からも入手できる。
コンプライアンス・リスクを是正せずに受け入れることは可能か？
はい。 失敗したコントロールについては、一時的（有効期限付き）または恒久的にリスクを受け入れることができる。 個々のリソースレベルでリスクを受け入れることも、特定のコントロールに関連するすべてのリソースに対してグローバルにリスクを受け入れることもできます。 承認されたリスクは追跡され、コンプライアンス概要に表示される。 詳細については、「 検出から修復までのコンプライアンス態勢の分析 」をご覧ください。
カスタムポスチャーポリシーとコントロールを作成できますか？
はい。 カスタムポスチャーポリシーは、ゼロから作成することも、既存の定義済みポリシーをテンプレートとして作成することもできます。 また、カスタム コントロールを作成し、コントロール パラメータをカスタマイズして、コンプライアンス評価を組織固有の要件に合わせて調整することもできます。 詳細については、 「コンプライアンス態勢管理の仕組み」 をご覧ください。
カスタム脅威検知ルールとポリシーの管理は誰が行うのか？
IBM。要件が変更されると、デフォルトのルールとポリシーが更新されます。 詳しくは、「 自分の責任を理解する 」をご覧ください。
Workload Protection を使用するには、どのようなアクセスが必要ですか？
Workload Protection で作業するには、プラットフォームとサービスの両方のロールが必要です：
- プラットフォーム・ロール
- IBM Cloud でインスタンスを管理するためのアクセスを制御する。 インスタンスを表示するにはViewerロールが、インスタンスを作成または削除するにはAdministratorまたはEditorロールが必要です。
- サービス・ロール
- Workload Protection UI内でパーミッションを定義する。 マネージャーの役割は、アクセスキー、チーム、エージェントの管理を含むフルアクセスを提供します。 ライターの役割では、コンテンツの作成と編集、ポリシーの管理、レポートの閲覧が可能です。 リーダーロールは、イベント、レポート、ポリシーへの閲覧のみのアクセスを提供します。
「管理者」プラットフォーム・ロールを持つユーザーには、自動的に「マネージャー」サービス・ロールの権限が付与されます。 ロールとパーミッションの詳細については、 IAMによるアクセス制御を 参照してください。
Workload Protection で使用できる定義済みのポリシーにはどのようなものがありますか？
Workload Protection は、ワークロードのセキュリティを確保するために、いくつかのタイプの定義済みポリシーを提供します：
- サプライチェーン・ポリシー
- デプロイ前にコンテナイメージの署名を検証し、セキュリティ要件を実施する。 これらのポリシーは、信頼できるイメージだけが環境で実行されるようにするのに役立ちます。
- 脅威検出ポリシー
- アプリケーション、ネットワーク、およびホストのアクティビティを監視するファルコベースのルールを使用して、ランタイムの脅威を検出します。 これらのポリシーは、不審な行動やセキュリティ・インシデントが発生した際に特定する。
- 脆弱性管理ポリシー
- コンテナイメージとホストの脆弱性を特定し、優先順位をつける。 これらのポリシーは、どの脆弱性が最大のリスクをもたらし、最初に修復されるべきかを理解するのに役立つ。
- 姿勢方針
- CIS ベンチマーク、PCI DSS、NIST、 IBM Cloud Framework for Financial Services などのセキュリティベンチマークや規制フレームワークに対するコンプライアンスを評価する。 これらのポリシーは、クラウド リソースとワークロード構成をスキャンし、コンプライアンス違反を検出します。
これらのポリシーは、 Workload Protection の 「Policies 」から表示および適用できます。 ポリシーの種類とその使用方法の詳細については、Sysdigドキュメントの「 ポリシー 」を参照してください。 IBM Cloud- 特定のポスチャー・ポリシーについては、 ポスチャー・ポリシーを 参照。
コンテキストに基づく制限は、 Workload Protection エージェントの接続性に影響するか？
いいえ エージェントは、 IBM Cloud® Identity and Access Management トークンではなく、アクセスキーを使用して認証するため、コンテキストベースの制限は、 Workload Protection エージェントの接続性には影響しない。 エージェントは、パブリックまたはプライベートのサービス・エンドポイントを介して接続できる。 詳しくは、 コンテキストベースの制限によるリソースの 保護をご覧ください。
IBM Cloud アカウントリソースに対してコンテキスト ベースの制限が有効になっている場合、そのリソースへのアクセスが明示的に提供されない限り、コンプライアンス データを収集することはできません。
Workload Protection のコンテキストベースの制限ルールを作成または更新するには、どのような IAM ロールが必要ですか？
コンテキスト ベースの制限ルールを作成、更新、または削除するには、 Workload Protection サービスの Administrator ロールが必要です。 ネットワークゾーンの作成、更新、削除を行うには、ユーザーはContext-based RestrictionsサービスのEditorまたはAdministratorロールを持っている必要があります。 Context-based RestrictionsサービスのViewerロールを持つユーザーは、既存のルールにネットワークゾーンを追加することしかできません。 詳しくは、 コンテキストベースの制限によるリソースの 保護をご覧ください。
Workload Protection は、地域の停電中も利用可能ですか？
はい。 Workload Protection は、マルチゾーン・リージョン（MZR）に展開されるマルチテナントの地域サービスです。 各リージョンには、独立した電源、冷却、ネットワークインフラを備えた冗長性のための3つのアベイラビリティゾーン（データセンター）がある。 1つのゾーンに障害が発生しても、残りのゾーンからサービスは継続される。 このサービスは、アジア太平洋、ヨーロッパ、北米、南米の9地域で利用できる。 詳しくは、 高可用性とディザスタリカバリを ご覧ください。
Workload Protection、どのようなアクションが監査イベントを発生させるのか？
Workload Protection は、以下のアクションが発生すると、 Activity Tracker Event Routing 監査イベントを自動的に生成する：
- キャプチャの作成、読み取り、一覧表示、更新、削除時
- チームの作成、閲覧、掲載、更新、削除時
- アクセスキー作成時
それらのイベントは、Cloud Auditing Data Federation (CADF) 標準に準拠しています。 詳しくは、 オーディティング・イベントを ご覧ください。
Workload Protection、どのような高度なセキュリティ機能を提供していますか？
Workload Protection は、ワークロードに対する包括的なセキュリティ機能を提供する。 主要機能は以下のとおりです:
- Posture Management
- コンプライアンス評価のためにリソースをゾーンに整理し、ポスチャーポリシーを適用し、クラウドインフラと Git リポジトリ全体のコンプライアンスを追跡します。
- サプライチェーンのセキュリティ
- イメージシグネチャを検証し、 Kubernetes クラスタにサプライチェーンポリシーを適用し、デプロイ前にコンテナイメージがセキュリティ要件を満たしていることを確認します。
- ランタイム・プロテクション
- Falcoベースの検出ルールを使用して継続的に脅威を検出し、誤検出を減らすためにランタイムポリシーを調整し、観察されたアプリケーションの動作に基づいてセキュリティポリシーを自動的に調整します。
- インシデント対応
- Rapid Response を使用してリモートシェルに接続し、セキュリティイベントを調査したり、アラートから直接セキュリティツールを実行したり、別のホストにアクセスせずにインシデントのトラブルシューティングを行ったりできます。
- アクティビティ・モニター
- フォレンジックや調査のために、Activity Auditでコマンド、ネットワークアクティビティ、ファイル操作、 Kubernetes APIリクエストを追跡します。
- 統合
- セキュリティイベントをサードパーティのSIEMプラットフォーム（ Splunk、Elastic Stack、 QRadar、 ArcSight ）に転送し、一元的なセキュリティ分析を行う。
これらの機能の詳細な設定と使用方法については、 Sysdig Secure のドキュメントを 参照してください。 IBM Cloud-特有のセットアップと統合については、 Workload Protection ドキュメントを ご覧ください。