ビュー:

既存のCloudFormationスタックを更新して、TrendAI Vision One™に既に接続されているAWS accountにFile Security Storageをデプロイします。

File Security Storage は、AWS CloudFormation を使用して簡単に展開でき、ストレージにファイルをアップロードする際に自動スキャンを統合し、ウイルス、トロイの木馬、スパイウェアなど、あらゆる種類の不正プログラムを簡単に検出します。
File Security StorageはIAM Permissions Boundaryの使用もサポートしています。CloudFormationテンプレートを設定する際に、この境界ポリシーを適用するためのIamPermissionsBoundaryArnを指定します。
注意
注意
スタック展開時にIamPermissionsBoundaryArnを指定する場合、ARNに関連付けられたIAMポリシーには、有効にする機能に必要な最低限の権限が含まれている必要があります。権限の境界は、AWS CloudTrailのクラウド検出 (Control Towerを含む)、Amazon Security Lakeのクラウド検出、およびFile Security Storageのために作成されたIAMロールに適用されます。境界ポリシーに必要なアクションが含まれていることを確認するためにAWSに必要な権限に記載されている権限を参照してください。
注意
注意
CloudFormationテンプレートにバケットを追加しても、すぐにFile Securityインベントリには表示されません。インベントリは、TrendAI Vision One™が予定されたアセット同期を実行する際に更新されます。これは、ライセンスを持つTrendAI Vision One™ユーザには毎時間、非ライセンスユーザには1日1回行われます。バケットをリアルタイムで追加するには、リアルタイム状態監視を有効にすることができます。
File Security StorageをTrendAI Vision One™に既に接続されているAWS accountにデプロイできます。

手順

  1. [Cloud Security] → [File Security] → [Cloud Accounts] → [インベントリ] → [AWS]に移動します。
  2. リストで既存のAWSアカウントの名前をクリックします。
    [Cloud Account Settings] ドロワーが開きます。
  3. [Stack Update] タブをクリックします。
  4. [機能を選択]リストのために、スクロールダウンして[File Security Storage]を有効にします。
  5. [ File Security Storage] ドロップダウンを開きます。
  6. [Deployment] リストから、地域を少なくとも1つ選択します。
    これは、 File Security Scannerをデプロイするリージョンです。
  7. [Copy S3 URL]をクリックします。
  8. ブラウザの新しいタブで、AWSアカウントにログインします。
  9. AWS CloudFormationで、スタック名を使用してスタックを検索します。
    スタック名: Trend-Vision-One-Cloud-Account-Management
  10. [アップデート]
  11. [Replace current template] を選択し、コピーしたS3 URLを貼り付けます。
  12. [File Security Storage]セクションまでスクロールし、次のパラメーターを入力してください。

    File Security Storage CloudFormationパラメータ

    パラメータ
    説明
    FileSecurityStorageKMSKeyARNsForBucketSSE
    顧客提供の隔離、クリーン、失敗バケットのSSE-KMS暗号化に使用されるKMS Key ARNのカンマ区切りリストを提供し、SSE-KMSが有効になっているソースバケットも含めてください。検索後またはソースバケットでSSE-KMSが有効でない場合は、このフィールドを空白のままにしてください。
    注意
    注意
    スキャンされたソースバケットまたは顧客提供のポストアクションバケットでSSE-KMS暗号化を使用する場合、このパラメータに対応するKMS Key ARNを提供する必要があります。
    FileSecurityStorageObjectCreatedEventFilter
    オブジェクト作成イベントをフィルタリングするためのイベントパターンのJSON文字列を提供してください。
    FileSecurityStorageScannerEphemeralStorage
    スキャナーLambda Functionの一時ディレクトリのサイズをMB単位で提供してください。
    FileSecurityStorageQuarantineBucket
    悪意のあるファイルを隔離するバケットを入力してください。デフォルトではこのパラメータはグローバルですが、地域別またはグローバルと地域別の両方の組み合わせにすることもできます。詳細については、単一アカウントで地域別の隔離とプロモートバケットを追加を参照してください。隔離を無効にするには、このフィールドを空白のままにしてください。
    FileSecurityStorageCleanBucket
    スキャン後にクリーンファイルを昇格させたいバケットを入力してください。デフォルトではこのパラメータはグローバルですが、地域別またはグローバルと地域別の両方の組み合わせにすることもできます。詳細については、単一アカウントで地域別の隔離とプロモートバケットを追加を参照してください。このフィールドを空白のままにすると、クリーンファイルの昇格が無効になります。
    FileSecurityStorageFailureBucket
    スキャンできなかったファイルを隔離するバケットを入力してください。パラメータをグローバルにするか、地域ごとにするかを指定する必要があります。詳細については、失敗したスキャンバケットを追加を参照してください。
    FileSecurityStorageScanResultTagFormat
    検索対象にタグ付けされた検索結果の形式を入力してください。
    SyncBucketsEventBridge
    バケットのデフォルト監視のためにEventBridge設定を同期するには「true」を選択してください。スタックを更新する場合は、クラウドアカウント管理コンソールを使用してテンプレートを毎回ダウンロードし、AWS CloudFormationコンソールに移動して「既存のテンプレートを置換する」オプションでテンプレートを更新する必要があります。
  13. [Quick create stack] 画面の一番下までスクロールし、確認オプションを選択して、[Create stack.] をクリックします
  14. TrendAI Vision One™コンソールで[Save Change]をクリックします。

次のステップ

次に、テンプレートで有効にした各リージョンのバケットに対してスキャナーを有効にする必要があります。File Security StorageコンソールでEventBridgeが有効になっているバケットのみがスキャンされます。AWSコンソールでEventBridgeが有効になっているバケットはスキャンされません。
注意
注意
スキャンを有効にしても、File Security Storageは現在バケット内にあるファイルを検索しません。既存のファイルを検索するには、手動検索を実行する必要があります。詳細については、AWSバケットの手動検索を参照してください。
初めてFile Security Storageスタックをデプロイすると、EventBridgeが有効になっているすべてのS3 Bucketsを監視します。監視バケットを追加または削除すると、File Security Storageはその構成に監視バケットのリストを保存し、その構成に基づいてバケットをスキャンします。この動作は後方互換性のために存在します。古いFile Security Storageテンプレート (監視バケットがEventBridgeの有効化に基づいていた) を、コンソールでの選択に基づく強化版に更新しても、監視バケットを再構成することなく保護が維持されます。
  • スタックバージョン1.2.0以前では、スキャンを有効にするかどうかを制御するためにEventBridgeをオンまたはオフにする必要があります。
  • スタックバージョン1.2.0以上では、File Security Storageは環境内にS3構成バケットを作成します。この構成バケットの情報を使用して、特定のバケットを検索するかどうかを判断します。検索をオンにするたびに、File Security StorageはEventBridgeを有効にします。ただし、検索をオフにした場合、File Security StorageはEventBridgeを無効にせず、現在の検索ステータスを構成バケットに保存します。
  • 既に拡張版をインストールしており、新機能を取得するためにテンプレートを更新した場合、監視バケットの設定はそのまま残るため、以前の監視設定が引き続き保護します。しかし、既存のスタックを削除して新しいスタックをインストールする場合、File Security Storageはこれを新しいインストールと見なし、以前の設定が失われます。