メインコンテンツにスキップ

リスク評価

リスク評価は、同期されたAWSアセットに対してセキュリティスキャンエンジンを実行し、各アセットのリスク要因を特定します。

スキャンの開始、履歴の確認、結果サマリーの確認、アセットごとの分析のドリルダウンまで、すべてのフローが1つのページで利用できます。

スキャン対象

New Scanは最新の同期されたアセットを対象に実行されます。

実行方法

スキャンは基本的に利用者が New Scan を押したときに実行されます。常時監視やリアルタイムの脅威検知は行わず、結果はスキャンを実行した時点の状態を表します。

接続ごとにプロジェクト設定のScheduled Runsタブで予約を作成すると、毎日・毎週・毎月・四半期ごとなど決まった周期でスキャン(および同期・IAM分析)を自動実行することもできます。予約による実行結果も手動実行と同様にRun Historyに残ります — 常に動き続ける「常時監視」ではなく、決めた時刻に一度だけ起動する仕組みです。

リスク評価は左メニューのCompliance Checkページから実行します。このページは以下のセクションで構成されています：

  • スキャンコントロール – 新しいスキャンの開始と最新結果サマリーの確認
  • スキャン履歴 – 過去のスキャン実行記録
  • スキャン結果 – アセットごとのリスク評価結果
  • Problems – スキャンを重ねても同じ問題を1行で追跡し、対応の判断を記録する一覧(6. Problemsを参照)
  • Compare – 2つのスキャンの間で何が変わったかを確認する比較画面(7. スキャン比較を参照)

1. スキャンの実行とスキャン履歴​

Compliance Check画面

1.1. 新しいスキャンの実行​

リスク評価を実行するには：

  1. 上部のNew Scanボタンをクリックします。
  2. 最新の同期されたアセットを対象にスキャンが開始されます。
  3. 完了すると、スキャン結果セクションに結果が表示されます。

1.2. 最新スキャンサマリーカード​

上部のカードに最新スキャンの結果が一目でわかるように表示されます。

  • スキャンID
  • 実行状態（完了 / 成功など）
  • スキャン時間
  • リスクのあるアセット数
  • 詳細結果ページへの詳細レポートを見るボタン

1.3. スキャン履歴​

下部の履歴テーブルでスキャンIDごとに結果を確認します。

  • 開始 / 終了タイムスタンプ
  • ステータス
  • 概要を見る: そのスキャンのリスク分布サマリーを確認
  • Compare: 別のスキャンと比較(7. スキャン比較を参照)。完了したスキャンでのみ押せます。

スキャンのステータス​

ステータス意味
Pending / Running待機中、または実行中
SUCCESS正常に終了し、結果がスキャン結果に反映されている(ダッシュボードのAssessment HistoryではCompletedと表示)
Failedスキャンが完了しなかった（認証情報のエラー、スキャナーのエラー、制限時間の超過）
CANCELLED利用者が中止した

Failed と CANCELLED は異なります。 CANCELLED は利用者が止めたもの、Failed は製品またはスキャナー側で完了できなかったものです。

スキャンの制限時間

1回のスキャンには制限時間があります（既定で60分）。これを超えるとスキャンプロセスは終了され、その実行は Failed として記録され、理由が実行記録に残ります。途中結果は保存されないため、改めて実行する必要があります。繰り返し制限時間に達する場合は、アセット → 同期の同期スコープで対象範囲を絞ってください。

2. スキャン結果（詳細結果）​

スキャン結果のサマリー

2.1. 上位リスクサマリー​

スキャン結果ページの上部に以下のメトリクスが表示されます：

  • リスクのある総アセット数: リスクがあると評価されたアセットの総数
  • リスクレベル別のアセット数：非常に高い、高い、中程度、低い、非常に低い
リスクレベルグレード

リスクレベルは、アセットの脆弱性、攻撃の可能性、潜在的な影響を組み合わせて計算されます。

  • 非常に高い – 即時対応が必要な重大なセキュリティリスク
  • 高い – 高い攻撃可能性を持つセキュリティ問題
  • 中程度 – 潜在的なセキュリティリスク
  • 低い – 限られた影響のリスク
  • 非常に低い – 低リスクレベル

2.2. アセットリストと詳細パネル​

  • 左側：リスクのあるアセットのリスト（検索とリスクレベルタブフィルター付き）
  • 右側：選択したアセットの詳細結果
  • 右側の詳細パネルには3つのタブがあります：概要 / ファインディング / 詳細

3. 概要タブ​

Overviewタブ

概要タブでは、選択したアセットのリスク評価サマリーが表示されます。

3.1. レーダーチャートメトリクス​

レーダーチャートは、総合リスクレベルの計算に使用される主要メトリクスを可視化します。

  • テクニック: 失敗したチェック項目に紐づくMITRE ATT&CKテクニックの数
  • CVE: 上記テクニックに紐づくCVEの数
  • 平均EPSS: それらのCVEの平均EPSS（悪用予測スコア）
  • 深刻度: アセットの深刻度レベル
  • コントロール: 関連するセキュリティコントロールの数
CVE件数の読み方

本製品は脆弱性（CVE）スキャンを行いません。 ここでのCVE件数は、アセットから発見された脆弱性の数ではなく、失敗したチェック項目に対応するATT&CKテクニックに、公開されたマッピングデータ上で結び付いているCVEの数です。それらのCVEがこのアセットに実在することを意味するものではなく、EPSSの平均値も、そのテクニックが実際にどの程度悪用されているかを測る相対的な指標としてのみご利用ください。OS・パッケージ・コンテナイメージの脆弱性確認には、別途の脆弱性スキャナーが必要です。

3.2. 総合リスクレベル​

総合リスクレベルはNIST SP 800-30に基づいて計算されます。

Overall Risk LevelとNIST SP 800-30マトリクス

  • リスク = 可能性 × 影響
  • 可能性: リスクが発生する確率
  • 影響: 発生した場合の影響
この計算の根拠をfindingごとに確認できます

この算式はバージョン管理された定義として登録されており、各findingの詳細には、どの区間・マッピングを経てこのリスクレベルになったかの根拠が表示されます。組織ごとに変更できる基準値(EPSS区間、未使用クレデンシャルの基準日数など)と、算式バージョンが変わった際に推移グラフでその地点がどう表示されるかについては、リスクスコアの説明を参照してください。

4. ファインディングタブ​

Findingsタブ

ファインディングタブでは、アセットに適用されるセキュリティチェックが合格したか不合格だったかを表示します。

  • PASS: チェック合格
  • FAIL: チェック不合格
  • 各項目のドキュメントを見るをクリックして対応する修正ガイドを確認

5. 詳細タブ​

Detailsタブ

詳細タブでは、リスク項目を詳細なテーブル形式で表示します。

  • 脅威
  • MITRE ATT&CKテクニック
  • CVE
  • 平均EPSS
  • チェックタイトル
  • 深刻度
  • 推奨事項

NIST SP 800-53要件もページの下部に表示されます。

  • これらはアセットが準拠することが期待されるセキュリティコントロール項目です。

6. Problems (問題一覧)​

ファインディングタブとスキャン結果は「今回のスキャンが何を見たか」を示します。Problems画面は「このアカウントで何が問題になっていて、それはいつからか」を示します。同じリソースで同じチェックが10回のスキャンにわたって失敗した場合、findingは10件ですが、Problemsでは1行になり、最初に検出された日付と最後に検出された日付が併せて表示されます。各問題はアカウント・リージョン・リソース・チェック項目の組み合わせで識別されます。

Compliance Check画面右上のProblemsボタンから開きます。

6.1. 一覧​

一覧の上には2行のフィルターがあります。複数の値を同時に選択でき、何も選ばなければすべてが表示されます。

  • State – 状態別のフィルター。ボタンごとに、その状態の問題数が併せて表示されます。
  • Severity – Critical・High・Medium・Low・Informational
  • Refresh – 一覧を再読み込みします。
列内容
Checkチェック項目ID。クリックするとその問題の詳細画面に移動します。解決後に再び現れたことがある場合は、下にcame back N timesが表示されます。
Resource対象リソース
Severity深刻度
State現在の状態(下表)
Owner担当者
Due対応期限。期限を過ぎると赤色で表示されます。
Age最初に検出されてからの経過日数
Last seen最後にスキャンで検出された日付

1ページに25件ずつ表示され、Newer / Olderでページを移動します。条件に合う問題がない場合はNothing matches. A problem appears here once a scan has seen it.が表示されます — 問題はスキャンが一度でも検出して初めてこの一覧に現れます。

状態の値​

画面表示意味
Open最新のスキャンで検出され、まだ何も判断していない状態
Came back解決された後、再び現れた状態
Acceptedリスクを認識したうえで、決めた日付まで抱えておくことにした状態(受容)
Suppressed報告する価値がないと判断し、再オープンするまで集計から除外した状態
Fixedスキャンから消えた、またはユーザーが手動で解決済みにした状態
Superseded2つのスキャンの間でスキャナーが変わったために消えた状態。消えたからといって修正された証拠にはなりません。

6.2. 問題の詳細​

一覧でCheckをクリックすると、その問題1件の詳細画面が開きます。タイトルはチェック項目ID、その下は対象リソースです。

Where and since whenカードにはState、Severity、Account、Region、First seen、Last seen、Age、Came back(再び現れた回数)、Fixed at、Owner、Due、Accepted until、Control、Identityが表示され、その下に現在の状態の意味が1行で説明されます。

Every time a scan saw this表は、この問題を検出したスキャンを古い順に並べます(Seen、Scan、Severity、Outcome、Title)。途中に空いた回があれば、その間にスキャンが実行されたもののこの問題を検出しなかったことを意味します。ScanのIDをクリックするとそのスキャンの結果画面に移動し、実際に悪用事例が知られている項目にはknown exploitedが併せて表示されます。

6.3. 対応の判断 (Decide)​

右側のDecideエリアで、問題の状態と担当情報を変更します。

  • State – 現在の状態から移行できる状態だけが選択肢に表示されます。現在の状態は(leave as is)と表示されます。
  • Owner – 対応担当者
  • Due date – 対応期限
  • Accepted until – 受容の有効期限。Acceptedに変更するときは必ず入力する必要があります。この日付を過ぎると受容が終了し、問題は自動的に再オープンされます。
  • Reason – 受容・除外の理由
  • Note – 次にこの問題を見る人へのメモ

Saveをクリックすると、変更した項目だけが保存されます。何も変更していない場合はNothing changed.が表示されます。

現在の状態手動で変更できる状態
Open、Came backAccepted、Suppressed、Fixed
Accepted、SuppressedOpen
Fixed、Superseded手動では変更できません — 次のスキャン結果で決まります

サーバーが状態の変更を拒否した場合、その理由がDecideエリアの上にそのまま表示されます。

受容・除外の効果

AcceptedやSuppressedにした問題は、次のスキャンで再び検出されても新しい問題として報告されません。 判断・担当者・日付が付いているため、「オープンな問題の数」が実際に対応すべき作業の数を表すようになります。

権限

読み取り専用ユーザー(Viewer)と監査人は詳細画面を閲覧できますが、Decideエリアの入力欄とSaveボタンは無効になります。

7. スキャン比較 (Scan comparison)​

2つのスキャンの間で、何が新たに発生し何が消えたかを比較します。

  1. スキャン履歴で、1つ目のスキャンのCompareをクリックします。ボタンがPickedに変わり、一覧の上にComparing from <スキャンID>. Pick a second scan to compare it with.という案内が表示されます。Cancelで取り消せます。
  2. 2つ目のスキャンのCompareをクリックすると、Scan comparison画面が開きます。どちらを先に選んだかに関係なく、先に実行されたスキャンを基準に後のスキャンを比較します。

Compareは完了したスキャンでのみ押せます。

画面の一番上には結果が1行で要約され(例: 3 new, 1 gone; 12 still there.)、その下の5つのカードにグループごとの件数が表示されます。カードをクリックすると、そのグループの問題一覧(Check、Resource、Severity、State、First seen、Last seen)が下に表示されます。Checkをクリックすると問題の詳細画面に直接移動するため、新たに発生した問題にその場で担当者を割り当てられます。

カード意味
New後のスキャンで初めて検出された
Came back前のスキャンの時点ではなかったが、後のスキャンで再び現れた
Still there両方のスキャンに存在する
Gone前のスキャンにはあり、後のスキャンにはない
Superseded後のスキャンで消えたが、その間にスキャナーが変わったため修正された証拠にはならない
スキャナーが変わった2つのスキャン

2つのスキャンが異なるスキャナーバージョンで実行された場合、The scanner changed between these runs (...)という警告が表示されます。このとき消えた問題は修正されたのではなく、スキャナーのチェック項目から外れた可能性があるため、GoneではなくSupersededに分類されます。推移グラフで同じ地点をどう表示するかは、リスクスコアの説明の推移と算式の断絶を参照してください。

8. 運用のヒント​

  • 最新の同期済みアセットに対して繰り返しスキャンを実行し、リスクの推移を管理する(定期実行が必要な場合はScheduled Runsで予約)
  • スキャン履歴でスキャン単位のステータスと結果を素早く比較し、Compareで2つのスキャン間の変化を確認する
  • 概要でリスクレベルを把握し、ファインディング/詳細ですぐに根本原因を分析して対応する
  • Problemsで担当者と期限を決め、すぐには修正しない問題は有効期限付きで受容し、オープンな問題の数を実際の作業量として保つ