FAQ
L1 サポート向け FPT CDR (Cloud Detection & Response) に関するよくある質問と回答。
1. Threats
| # | 質問 | 回答 |
|---|---|---|
| 1.1 | Threat とは何で、どこから来ますか? | Threat は現在進行中の脅威で、システムが複数のシグナルソース（runtime signals、CSPM、KSPM detector）から**相関（correlate）**し、Security Graph で強化したものです（Threats 画面のサブタイトル: "Active threats correlated from runtime signals and enriched by Security Graph."）。単一の Finding と異なり、Threat は関連する複数の Finding を 1 つの攻撃の全体像にまとめます。 |
| 1.2 | Proven in runtime と Theoretical の違いは何ですか? | Type 列は Threat の確証度を示します。Proven in runtime（赤バッジ）は実際の runtime シグナルで確認済みで、優先的に対応します。Theoretical（青バッジ）は理論分析に基づき、まだ runtime シグナルで確認されていません。 |
| 1.3 | Open と Closed は何を意味しますか? | Open（青バッジ）は未対応で開いている Threat です。Closed（グレーバッジ）は Tenant Admin が閉じた Threat です。Threat は常に Open で作成され、Open と Closed を行き来できます。 |
| 1.4 | Threat を Close または Re-open するにはどうすればよいですか? | Threat List で 1 つ以上の Threat にチェックを入れます（Change Status ボタンが有効化されます。未選択でホバーすると "Select threats first" が表示されます）。Change Status をクリックし、Close または Re-open を選び、必要に応じて Comment を入力して Save (N) をクリックします。トーストで "N threat(s) closed" または "N threat(s) re-opened" が表示され、変更が History に記録されます。Threat Detail からも status を変更できます。 |
| 1.5 | Open と Closed の Threat を同時に選択するとどうなりますか? | ドロップダウンには Close と Re-open の両方が表示されますが、システムは一致する Threat にのみ適用します。Close は Open のみ、Re-open は Closed のみに作用します。トーストの N は実際に変更された数です。すべて失敗した場合は "Failed to update threats. Please try again." が表示され、Refresh するまでリストは変わりません。 |
| 1.6 | Threat の検索とフィルターはどうしますか? | Search は Threat 名または INV ID（3 文字以上）。Type: Proven in runtime / Theoretical。Status: Open / Closed。条件は AND で結合し、リストは Detected At の降順（列ヘッダーをクリックで反転）。ページまたは page size を変更すると選択中のチェックは解除されます。 |
| 1.7 | Threat 列の INV-... · N finding(s) は何を意味しますか? | 各 Threat には INV ID（INV-2026-0420 のような調査コード）と、その Threat がまとめた Finding 数があり、Threat 列の 2 行目に表示されます（例: "INV-2026-0420 · 3 findings"）。1 行目の Threat 名をクリックすると Threat Detail が開きます。 |
2. Threat Detail
| # | 質問 | 回答 |
|---|---|---|
| 2.1 | Threat Detail 画面には何が表示されますか? | Info Card（Threat ID、Type、Detected At、クリック可能な MITRE techniques、Kill chain）、Attack path グラフ、Factors contributing to this threat テーブル、Comments（デフォルト）と History タブ。← Back ボタンは、直前のフィルター・ソート・ページを保持したまま Threat List に戻ります。 |
| 2.2 | Attack path はどう読みますか? | Attack path は攻撃チェーンのグラフです。各ノードは entity（例: IAM Role、S3 Bucket、Pod）で、アクションのラベル付き矢印（例: "Runs"、"Grants role"）で接続されます。ノードの役割（Legend 参照）: Entry point（起点ノード）、Attack step（中間、赤枠）、Target（到達先）。Zoom out / Zoom in / Reset layout / Full screen で操作します。 |
| 2.3 | Attack path の "View in Graph" は何のためですか? | Attack path のノードをクリックすると、ノード名・リソースタイプと View in Graph → ボタンのポップアップが表示されます。これは Security Graph に切り替え、そのノードを検索して青枠でハイライトし、周辺の接続を深く調査できるよう Node Detail パネルを自動的に開きます。 |
| 2.4 | "Factors contributing to this threat" とは何ですか? | Threat を形成した Finding/Issue のテーブルで、列は Id · Source · Finding/issue · Asset · Detected at。Source 列は検出元を示します: CSPM Issue（オレンジ）、KSPM Issue（青）、K8s Runtime（紫）。テーブルはページング対応（デフォルト 10 行/ページ）。 |
| 2.5 | Comment と History は何のためですか? | Comments は Threat に関する議論を記録します（入力して Add comment、最大 2000 文字）。History は時系列の活動ログで、各行に日時・イベント・実行者が表示され、最初の行は常に "Threat detected · System" です。status 変更（コメントがあればそれも）はすべてここに記録されます。 |
3. Security Graph
| # | 質問 | 回答 |
|---|---|---|
| 3.1 | Security Graph とは何で、どう構成されていますか? | Security Graph は、cloud と Kubernetes のリソースがどう接続しているかを可視化し、関係とリスクを調査できます（サブタイトル: "See how your resources connect and where the risks are."）。ノードは上から 7 レイヤーで構成されます: EXTERNAL · ORGANIZATION · NETWORK · COMPUTE · K8S · IDENTITY · DATA。Graph メニュー、または Threat Detail の View in Graph → から開きます。 |
| 3.2 | 赤・グレー・青のノード枠は何を意味しますか? | 赤枠: Open の linked threat が 1 つ以上あるノード。グレー枠: 通常のノード（open threat なし）。青枠: 選択中のノード（赤枠より優先表示）。 |
| 3.3 | ノードをクリックすると何が見られますか? | ノードをクリックすると右側に Node Detail パネル（タイトル "Resource Details"）が開きます: リソース情報（Name、Type、VPC、Cluster、Namespace — ない場合は —）、LINKED THREATS [N]（Open の Threat のみ、新しい順。クリックで Threat Detail。N = 0 のとき "No records found"）、CONNECTIONS [N]（直接の接続。連番・関係タイプ・方向・関連ノード）。同じノードを再クリックするか Close でパネルを閉じます。 |
| 3.4 | グラフ内でノードを検索・フィルターするには? | Search（"Search by resource name"）は 3 文字以上必要で、未満だと "Type at least 3 characters to see matching resources" が表示されます。オートコンプリートは一致ノードを最大 25 件表示し、選択するとそこへ pan/zoom します。Select VPC と Select cluster で canvas を絞り込みます。条件は AND で結合し、一致がなければ canvas に "No records found" が表示されます。Refresh は最新の topology を再読み込みします。 |
| 3.5 | 一部のレイヤーが表示されないのはなぜですか? | ノードが 1 つもないレイヤー（読み込み後、またはフィルター適用後）は canvas から非表示になり、残りのレイヤーの順序は保たれます。フィルターを解除してレイヤーにノードが戻ると、再び表示されます。これは正常な動作であり、データ欠落ではありません。 |
| 3.6 | ノードを選択したとき、リンク上の数字と矢印のスタイルは何を意味しますか? | 通常、リンクにラベルはありません。ノードを選択（Node Selected mode）すると、直接のリンクに CONNECTIONS パネルと一致する連番（1, 2, 3…）が表示されます。実線の矢印は outgoing（このノード → 相手）、破線の矢印は incoming（相手 → このノード）。無関係なノード・リンクは淡色表示になります。具体的な関係タイプ（例: Grants role、Runs as）はリンク上ではなく CONNECTIONS パネルで確認します。Mini Map と Legend も利用できます。 |
4. アクセス権限
| # | 質問 | 回答 |
|---|---|---|
| 4.1 | 誰が Threat を閲覧・操作できますか? | CDR（Threats と Security Graph）は CSPM と CWPP と権限を共有し、両サービスのデータに基づいて動作します。CSPM/CWPP の Admin または Member ロールを持つすべてのアカウントが完全に閲覧・操作できます — Threat の Close/Re-open、Add comment、View in Graph。Admin 専用に制限された操作はありません。 |
5. 一般的なエラー
| # | 症状 | 主な原因 | 対処方法 |
|---|---|---|---|
| 5.1 | "System is busy. Please try again later." | 一時的なバックエンドエラー（リスト、詳細、グラフ、status 変更） | 数分後に再試行する |
| 5.2 | "No records found" | 一致するデータがない（threat、finding、comment、node）、または検索・フィルターが一致しない | フィルター条件を確認する |
| 5.3 | "Failed to update threats. Please try again." | status 変更の対象 threat がすべて失敗した | Refresh してから再試行する |
| 5.4 | "Some threats were already updated. Please refresh." | 操作の送信前に（例: 他のユーザーにより）status が変更された | Refresh して最新の状態を読み込む |
| 5.5 | "You don't have permissions to access" | モジュールへのアクセス権限がない（CSPM/CWPP の Admin または Member ロールが必要） | 組織管理者に連絡する |