OCI Vulnerability Scanning Serviceでインスタンスの脆弱性を検出する

2021年4月にOracle Cloud Infrastructureのセキュリティの新しいサービスとしてVulnerability Scanning Serviceがリリースされました。VMインスタンスが作成される際のデフォルト・プラグインを利用しているためOCIのコンソール設定だけで簡単に利用することができます。また、Cloud Guardと組み合わせてよりセキュアなOCI環境を構築することが可能です。
この機能は、無償サービスとして提供されています。

[Vulnerability Scanningのドキュメント](https://docs.oracle.com/en-us/iaas/scanning/using/overview.htm)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/e9a700f5-7934-6bf3-46e8-d627af5c7fa0.png)

それでは、実際の設定方法を紹介します。
以降の設定はAdministratorグループに所属するユーザーで実行していますが、それ以外の場合は[こちら](https://docs.oracle.com/en-us/iaas/scanning/using/iam-policies.htm#iam_policies)を参考にリソースにアクセスするための適切なポリシーを自身に割り当てて下さい、


##ポリシーの設定
Host Scanningを実行するために、以下のIAMをポリシーを割り当てる。(Compartment指定の場合は、[こちら](https://docs.oracle.com/en-us/iaas/scanning/using/managing-host-targets.htm#required_iam_policy_host_scan))

```
allow service vulnerability-scanning-service to manage instances in tenancy
allow service vulnerability-scanning-service to read compartments in tenancy
allow service vulnerability-scanning-service to read vnics in tenancy
allow service vulnerability-scanning-service to read vnic-attachments in tenancy
```

##レシピの作成
- スキャン・レシピ -> 作成するコンパートメントを指定して、作成をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/f40a4af0-5dd7-921d-db26-f0213da6a2d5.png)

- お好みの設定を指定して作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/38e20c28-11fd-197b-e068-dea3482a6bb6.png)

##ターゲットの作成
- ターゲットを指定して新規作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/8ed1ad87-c178-2b69-9828-f4f6137ab7fa.png)

- 作成したレシピを選択、ターゲット範囲を指定して作成。以下はコンパートメント配下すべてのインスタンス
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/3a3eb356-0b9d-e70b-bf90-aad00bf85b66.png)


設定はこれで完了です。しばらくするとスキャンの結果が反映されます。以降は設定したスケジュールで定期的に自動実行されます。

##ホスト・スキャン
- コンパートメント配下にあるすべてのインスタンスのホスト・スキャン結果サマリー
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/b26b852a-c1eb-2383-42bb-21da935b9f94.png)


- インスタンスごとのスキャン結果
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/0fdb85b2-2f83-6ab3-9012-3ecf3a6511fe.png)

- 検出されたオープンポート
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/7c6711c7-9f75-351e-74b3-aa266fa59570.png)
- 検出された脆弱性。CVE(Common Vulnerabilities and Exposures)の詳細はNISTのページにリンクされる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/15e65b4d-1811-a000-ccde-ca63aed8a44e.png)
- CISベンチマーク(Oracle CloudのCISベンチマークは[こちら](https://www.cisecurity.org/benchmark/oracle_cloud))
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/19ffc11d-3fe9-3449-db77-e0b5d6fa1e88.png)

##ポート・スキャン
- すべてのインスタンスのポート・スキャンの結果サマリー
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/d9a1fcb7-2cd7-8425-8b59-31a626a26497.png)


##Cloud Guardとの連携
- Cloud Guardを有効化しておけば、スキャンによって検出された脆弱性は問題として認識される。結果をEvents + Notificationsサービスで管理者に通知させることが可能
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/1f665991-db2f-2277-c636-bc419890cf65.png)
- Cloud Guardからの通知メール例
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/562423/3b740785-dfbe-e743-caa1-a3e00173acbe.png)


[その他のOracle Cloud Infrastructureに関連するトピック](https://qiita.com/western24/items/4824e4b3799b824197c6)